入侵檢測技術(shù)課后答案-文庫吧資料
2025-07-04 12:35本頁面
【正文】 要一個IDS系統(tǒng)的合作來檢測跨越網(wǎng)絡(luò)或跨越較長時間段的不同攻擊。圖 端口掃描的檢測（5） 舉例說明如何檢測拒絕服務(wù)攻擊。（4） 舉例說明如何檢測端口掃描。一個網(wǎng)絡(luò)數(shù)據(jù)包的分析就是一條從根到某個葉子的路徑。答：協(xié)議分析的功能是辨別數(shù)據(jù)包的協(xié)議類型，以便使用相應(yīng)的數(shù)據(jù)分析程序來檢測數(shù)據(jù)包。過濾器決定某一數(shù)據(jù)包是被接受或者拒絕以及如果被接受，數(shù)據(jù)包的那些部分會被復(fù)制給應(yīng)用程序。（2） 簡述包捕獲機(jī)制BPF的原理。因此，實現(xiàn)交換網(wǎng)絡(luò)的數(shù)據(jù)捕獲要采用一些特殊的方法。第6章 基于網(wǎng)絡(luò)的入侵檢測技術(shù)思考題：（1） 簡述交換網(wǎng)絡(luò)環(huán)境下的數(shù)據(jù)捕獲方法。5．配置分析技術(shù)的基本原理是基于哪兩個觀點？配置分析技術(shù)的基本原理是基于如下兩個觀點：①一次成功的入侵活動可能會在系統(tǒng)中留下痕跡，這可以通過檢查系統(tǒng)當(dāng)前的狀態(tài)來發(fā)現(xiàn)。②規(guī)則動態(tài)更新問題。但在具體實現(xiàn)中，專家系統(tǒng)主要面臨如下問題：①專家知識獲取問題。（需要對上述方法的基本原理進(jìn)行掌握）4．簡述基于專家系統(tǒng)的入侵檢測技術(shù)的局限性。這就要求獲取的審計數(shù)據(jù)在被檢測模塊使用之前，對不理想的原始數(shù)據(jù)進(jìn)行有效的歸納、進(jìn)行格式統(tǒng)一、轉(zhuǎn)換和處理。2．獲取審計數(shù)據(jù)后，為什么首先要對這些數(shù)據(jù)進(jìn)行預(yù)處理？答：當(dāng)今現(xiàn)實世界中的數(shù)據(jù)庫的共同特點是存在不完整的、含噪聲的和不一致的數(shù)據(jù)，用戶感興趣的屬性，并非總是可用的。但其中最主要的是防火墻聯(lián)動，即當(dāng)入侵檢測系統(tǒng)檢測到潛在的網(wǎng)絡(luò)攻擊后，將相關(guān)信息傳輸給防火墻，由防火墻采取響應(yīng)措施，從而更有效的保護(hù)網(wǎng)絡(luò)信息系統(tǒng)的安全。這就需要采用入侵檢測系統(tǒng)的聯(lián)動響應(yīng)機(jī)制。而對于大量的非法訪問，如DoS類攻擊，僅僅采用入侵檢測系統(tǒng)本身去響應(yīng)是遠(yuǎn)遠(yuǎn)不夠的。這就是告警與響應(yīng)要完成的任務(wù)。（2） 入侵分析需要考慮哪些因素？答：入侵分析需要考慮的因素主要有以下四個方面：需求；子目標(biāo)；目標(biāo)劃分；平衡。第4章 入侵檢測流程選擇題：（1） C（2） A 思考題：（1） 入侵分析的目的是什么？答：入侵分析的主要目的是提高信息系統(tǒng)的安全性。因此在高安全性要求的環(huán)境下在防火墻外部部署入侵檢測產(chǎn)品，進(jìn)行先于防火墻的一次檢測、防御。但是在有些情況下，還需要考慮來自外部的針對防火墻本身的攻擊行為。答：防火墻系統(tǒng)起防御來自外部網(wǎng)絡(luò)的攻擊的作用，在這時和入侵檢測系統(tǒng)互相配合可以做更有效的安全管理。（6） 誤用入侵檢測系統(tǒng)的優(yōu)缺點分別是什么？答：誤用入侵檢測系統(tǒng)的優(yōu)點是誤報少；缺點是它只能發(fā)現(xiàn)已知的攻擊，對未知的攻擊無能為力。比如，通過流量統(tǒng)計分析將異常時間的異常網(wǎng)絡(luò)流量視為可疑。在異常入侵檢測中，假定所有入侵行為都是與正常行為不同的，這樣，如果建立系統(tǒng)正常行為的軌跡，那么理論上可以把所有與正常軌跡不同的系統(tǒng)狀態(tài)視為可疑企圖?；诰W(wǎng)絡(luò)的入侵檢測系統(tǒng)通常利用一個運行在混雜模式下的網(wǎng)絡(luò)適配器來實時監(jiān)視并分析通過網(wǎng)絡(luò)的所有通信業(yè)務(wù)。如果匹配，系統(tǒng)就會向管理員報警，以采取措施。（4） 基于主機(jī)的入侵檢測系統(tǒng)和基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)的區(qū)別是什么？答：基于主機(jī)的入侵檢測系統(tǒng)可監(jiān)測系統(tǒng)、事件和操作系統(tǒng)下的安全記錄以及系統(tǒng)記錄。將分布式系統(tǒng)看作是一臺虛擬的計算機(jī)的觀點簡化了對跨越單機(jī)的入侵行為的識別。也就是給出了將分散的原始數(shù)據(jù)轉(zhuǎn)換為高層次的有關(guān)入侵和被監(jiān)測環(huán)境的全部安全假設(shè)過程。代表這三個階段的入侵檢測系統(tǒng)的基本模型分別是通用入侵檢測模型（Denning模型）、層次化入侵檢測模型（IDM）和管理式入侵檢測模型（SNMPIDSM）。格式化串漏洞和普通的緩沖溢出有相似之處，但又有所不同，它們都是利用了程序員的疏忽大意來改變程序運行的正常流程。（6） 格式化字符串攻擊的原理是什么？答：所謂格式化串，就是在*printf()系列函數(shù)中按照一定的格式對數(shù)據(jù)進(jìn)行輸出，可以輸出到標(biāo)準(zhǔn)輸出，即printf()，也可以輸出到文件句柄，字符串等，對應(yīng)的函數(shù)有fprintf,sprintf,snprintf,vprintf,vfprintf,vsprintf,vsnprintf等。這樣多出的數(shù)據(jù)就會被寫到緩沖區(qū)之外，這時就可能寫入到其它的內(nèi)存區(qū)域中。一個強(qiáng)健的程序應(yīng)該可以創(chuàng)建足夠大的緩沖區(qū)以保存它接收的數(shù)據(jù)，或者可以監(jiān)測緩沖區(qū)的使用情況并拒絕接收超過緩沖區(qū)中可以保存的數(shù)據(jù)。如果說計算機(jī)與網(wǎng)絡(luò)的處理能力加大了10倍，用一臺攻擊機(jī)來攻擊不再能起作用的話，攻擊者使用10臺攻擊機(jī)同時攻擊呢？用100臺呢？DDoS就是利用更多的傀儡機(jī)來發(fā)起進(jìn)攻，以比從前更大的規(guī)模來進(jìn)攻受害者。（4） 分布式拒絕服務(wù)攻
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1