入侵檢測技術ppt課件(2)-文庫吧資料
2025-05-18 06:26本頁面
【正文】 og c c:/Snort/etc/ 2022/6/3 49 Snort的配置 ? 缺省的配置文件 C:/Snort/etc/，內(nèi)容可以分為 6部分 ? 設置用戶的網(wǎng)絡參數(shù)。 Snort啟動時，通過命令選項指明文本文件的位置，就可以根據(jù)文件中的信息，實現(xiàn)入侵檢測的功能。 ? 在 Snort中主要采用基于規(guī)則的模式匹配的檢測方法。 ? h選項后跟網(wǎng)絡地址，表示僅對和某個網(wǎng)段的計算機相關的網(wǎng)絡信息感興趣； 2022/6/3 47 基于網(wǎng)絡的入侵檢測模式 ? Snort是一個完整的基于網(wǎng)絡的入侵檢測系統(tǒng)，可以在收集系統(tǒng)信息的基礎上，對信息進行分析，發(fā)現(xiàn)其中的入侵行為，并做出響應動作。 ? C:\Snort\bin\snort –dv ? C:\Snort\bin\snort –dv i 3 2022/6/3 46 報文記錄模式 ? 將收集到的網(wǎng)絡信息記錄到磁盤等介質(zhì)上 ? 主要涉及到 l、 K、 r、 h命令選項 ? l選項指明日志的目錄 ? K選項設置日志文件的格式 ,缺省以 tcpdump, 如果表示使用 ascii碼形式， K ascii 。 ? 使用 d選項可以增加應用層的信息，既包括 IP、TCP、 UDP和 ICMP等協(xié)議的頭信息又包含網(wǎng)絡數(shù)據(jù)包中攜帶的用戶應用數(shù)據(jù)。 2022/6/3 45 嗅探器模式 ? Snort可以偵聽網(wǎng)絡中的報文信息，并將信息在命令行的屏幕中顯示出來。缺省命令在 C:\Snort\bin目錄下。 2022/6/3 44 安裝 ? Snort提供了多個系統(tǒng)平臺的安裝版本，其中Windows平臺的版本安裝方式最為簡便。日志的格式可以是便于閱讀的 ASCII文本格式，也可以是便于處理的二進制格式。嗅探的結(jié)果可以在控制臺屏幕上分組顯示出來。 ? 可以使用插件進行功能擴充 ? Snort遵守 GPL要求 ? 2022/6/3 42 Snort 系統(tǒng)結(jié)構(gòu) 規(guī)則文件 數(shù)據(jù)包捕捉模塊 解碼器 預處理器 分析引擎 輸出插件 分析插件 各種輸出形式 網(wǎng)絡 2022/6/3 43 Snort的 3種工作模式 ? 嗅探器模式（ Sniffer mode）：相當于一個嗅探器，在網(wǎng)絡中偵聽傳輸?shù)臄?shù)據(jù)包。 ? 學習完備就可以使用人工神經(jīng)網(wǎng)絡對實際系統(tǒng)中的信息進行檢測 。 ? 學習的過程是反復的輸入信息樣本，其中包括正常的信息和存在入侵行為的信息，并說明信息是否正常。 x2 x3 xn 1 xn w1 w3 wn 1 wn W ’1 2022/6/3 37 人工神經(jīng)網(wǎng)絡法 ? 學習和能力。 。 ? 外界信號是人工神經(jīng)網(wǎng)絡的輸入，人腦對信號的反應對應人工神經(jīng)網(wǎng)絡的輸出，神經(jīng)元是大量的簡單的處理單元，神經(jīng)元對外界信號的傳遞效果對應處理單元對輸入信號和輸出信號的互聯(lián)權值或傳遞函數(shù)。這些特征是對歷史數(shù)據(jù)按照某種模型進行處理的結(jié)果，能夠穩(wěn)定、準確的區(qū)分開正常和異常行為。常見輪廓有： ? 單用戶帳號 ? 組帳號 ? 主機系統(tǒng) 2022/6/3 33 統(tǒng)計計算分析 :將用戶行為模型化，檢查它們與正常用戶模型的偏差 . 正常 操作 行為 異常行為 2022/6/3 34 統(tǒng)計分析 ? 是在對一系列相關歷史數(shù)據(jù)的統(tǒng)計分析的基礎上，對新的數(shù)據(jù)進行判斷； ? 歷史數(shù)據(jù)的某種統(tǒng)計特征是衡量新行為的標準，新行為和統(tǒng)計特征相差大于某個閾值，則說明新行為是入侵行為。 2022/6/3 30 誤用檢測方法分析 誤用檢測的優(yōu)點 ? 算法簡單 ? 系統(tǒng)開銷小 ? 準確率高 ? 效率高 2022/6/3 31 誤用檢測的缺點 ? 被動 ? 只能檢測出已知攻擊 ? 新類型的攻擊會對系統(tǒng)造成很大的威脅 ? 特征庫（規(guī)則庫）的建立和維護難 ? 特征庫（規(guī)則庫）要不斷更新 ? 知識依賴于 ? 硬件平臺 ? 操作系統(tǒng) ? 系統(tǒng)中運行的應用程序 2022/6/3 32 入侵檢測方法 ? 異常檢測 ? 異常檢測是指建立系統(tǒng)的正常模式輪廓（統(tǒng)計），若實時獲得的系統(tǒng)或用戶的輪廓值與正常值的差異超出指定的閾值，就進行入侵報警。 ? 條件是否成立來源于對事實和輸入數(shù)據(jù)的分析 ? 動作通常為針對入侵行為所采取的措施 ? 系統(tǒng)維護一個規(guī)則庫 ? 常采用的方法：根據(jù)已有的事實和信息，在規(guī)則庫中先選擇能夠和這些條件匹配的規(guī)則，縮小候選規(guī)則的規(guī)模，然后再從中選出最適合的規(guī)則進行推理，得出判斷結(jié)論。 msg: IMAP buff
教學課件相關推薦
鄂ICP備17016276號-1