第5章安全防護與入侵檢測-文庫吧資料
2025-03-02 08:45本頁面
【正文】 攻擊者轉(zhuǎn)移證據(jù)困難； l 實時檢測和響應； l 能夠檢測到未成功的攻擊企圖； l與操作系統(tǒng)無關(guān) 。一旦檢測到攻擊 ， IDS的響應模塊通過通知 、 報警以及中斷連接等方式來對攻擊行為做出反應 。 利用網(wǎng)絡適配器來實時地監(jiān)視并分析通過網(wǎng)絡進行傳輸?shù)乃型ㄐ艠I(yè)務 。 基于主機的入侵檢測系統(tǒng)存在的不足之處在于：會占用主機的系統(tǒng)資源，增加系統(tǒng)負荷，而且針對不同的操作平臺必須開發(fā)出不同的程序，另外所需配置的數(shù)量眾多。 基于主機的 IDS有著明顯的優(yōu)點： l 適合于加密和交換環(huán)境； l 可實時的檢測和響應； l 不需要額外的硬件 。 基于主機的 IDS可以精確地判斷入侵事件 ， 并可對入侵事件及時做出反應 。 它是通過比較這些審計記錄文件的記錄與攻擊簽名 (Attack Signature， 指用一種特定的方式來表示已知的攻擊模式 )以發(fā)現(xiàn)它們是否匹配 。 河南化工職業(yè)學院 入侵檢測系統(tǒng)的分類 入侵檢測系統(tǒng) (IDS)可以分成 3類：基于主機型 (Host Based) 入侵檢測系統(tǒng) 、 基于網(wǎng)絡型 (Network Based) 入侵檢測系統(tǒng)和基于代理型 (Agent Based) 入侵檢測系統(tǒng) 。 (3)數(shù)據(jù)分析 對收集到的有關(guān)系統(tǒng) 、 網(wǎng)絡運行 、 數(shù)據(jù)及用戶活動的狀態(tài)和行為等數(shù)據(jù)通過三種技術(shù)手段進行分析：模塊匹配 、 統(tǒng)計分析和完整性分析 。 數(shù)據(jù)的收集主要來源以下幾個方面：系統(tǒng)和網(wǎng)絡日志文件 、 目錄和文件不期望的改變 、 程序不期望的行為 、 物理形式的入侵數(shù)據(jù) 。 (1) 數(shù)據(jù)收集 入侵檢測的第一步是數(shù)據(jù)收集 ， 內(nèi)容包括系統(tǒng) 、 網(wǎng)絡運行 、 數(shù)據(jù)及用戶活動的狀態(tài)和行為 ， 而且 ， 需要在計算機網(wǎng)絡系統(tǒng)中的若干不同關(guān)鍵點 （ 不同網(wǎng)段和不同主機 ） 收集數(shù)據(jù) 。 IDS對網(wǎng)絡或系統(tǒng)上的可疑行為做出相應的反應，及時切斷入侵源，保護現(xiàn)場并通過各種途徑通知網(wǎng)絡管理員，增大保障系統(tǒng)安全。 如果把防火墻比作大門警衛(wèi)的話 ， 入侵檢測就是網(wǎng)絡中不間斷的攝像機 ， 入侵檢測通過旁路監(jiān)聽的方式不間斷的收取網(wǎng)絡數(shù)據(jù) ， 對網(wǎng)絡的運行和性能無任何影響 ， 同時判斷其中是否含有攻擊的企圖 ， 通過各種手段向管理員報警 。但防火墻的功能也有局限性，防火墻只能對進出網(wǎng)絡的數(shù)據(jù)進行分析，對網(wǎng)絡內(nèi)部發(fā)生的事件完全無能為力?！鞍l(fā)送當前緩沖區(qū)”對話框?qū)@示緩沖區(qū) /文件內(nèi)容的有關(guān)信息，允許您控制發(fā)送數(shù)據(jù)包的方式，如圖 。要顯示捕獲文件，請選擇文件菜單中的打開。 河南化工職業(yè)學院 河南化工職業(yè)學院 發(fā)送捕獲緩沖區(qū)或文件 ? 要發(fā)送當前的捕獲緩沖區(qū)或捕獲文件，您必須先顯示其內(nèi)容。您可在配置選項卡中編輯十六進制的顯示內(nèi)容。要選擇或編輯現(xiàn)有的 (捕獲的 )數(shù)據(jù)包，您必須先從解碼顯示的“摘要”窗格中選擇該數(shù)據(jù)包。您可在配置選項卡中直接編輯十六進制的顯示內(nèi)容。 ? 河南化工職業(yè)學院 發(fā)送單個數(shù)據(jù)包 ? 在發(fā)送數(shù)據(jù)包之前，必須準備好要發(fā)送的消息。要啟動“數(shù)據(jù)包生成器”，選擇工具菜單中的數(shù)據(jù)包生成器。動畫視圖顯示了數(shù)據(jù)包止在發(fā)送的時刻。當發(fā)送多個數(shù)據(jù)包或連續(xù)發(fā)送一個數(shù)據(jù)包時，您可以指定每個數(shù)據(jù)包之間的時延 (以毫秒或希望所發(fā)送數(shù)據(jù)包達到的線路利用率百分比表示 )。也可以發(fā)送捕獲緩沖區(qū)或捕獲文件的全部內(nèi)容。 ? 要啟動“數(shù)據(jù)包生成器”，請選擇工具菜單中的數(shù)據(jù)包生成器。 ? 對于 MAC地址， Snffier軟件進行了頭部的替換，如 00e0fc開頭的就替換成 Huawei，這樣有利于了解網(wǎng)絡上各種相關(guān)設備的制造廠商信息。工具軟件只是提供一個輔助的手段。對于解碼主要要求分析人員對協(xié)議比較熟悉，這樣才能看懂解析出來的報文。在菜單上的位置分別為CaptureDefine Filter和 DisplayDefine Filter。 ? 對于某項統(tǒng)計分析可以通過用鼠標雙擊此條記錄可以查看詳細統(tǒng)計信息且對于每一項都可以通過查看幫助來了解起產(chǎn)生的原因，如圖 示。 河南化工職業(yè)學院 ? 專家分析 ? 專家分析系統(tǒng)提供了一個只能的分析平臺，對網(wǎng)絡上的流量進行了一些分析對于分析出的診斷結(jié)果可以查看在線幫助獲得。 河南化工職業(yè)學院 高級捕獲條件 ? 在“ Advance”頁面下，你可以編輯你的協(xié)議捕獲條件 河南化工職業(yè)學院 任意捕獲條件 河南化工職業(yè)學院 捕獲過程報文統(tǒng)計 在捕獲過程中可以通過查看下面面板查看捕獲報文的數(shù)量和緩沖區(qū)的利用率 河南化工職業(yè)學院 捕獲報文查看 ? Sniffer軟件提供了強大的分析能力和解碼功能。輸入方式為點間隔方式，如：。 河南化工職業(yè)學院 Sniffer Pro的登錄與界面 Fileselect settings 河南化工職業(yè)學院 Sniffer Pro報文的捕獲與解析 河南化工職業(yè)學院 基本捕獲條件 ? 基本的捕獲條件有兩種： ? 1) 鏈路層捕獲，按源 MAC和目的 MAC地址進行捕獲，輸入方式為十六進制連續(xù)輸入，如： 00E0FC123456。 ? 網(wǎng)絡故障的性質(zhì)，產(chǎn)生故障的可能的原因以及
教學課件相關(guān)推薦
鄂ICP備17016276號-1