網(wǎng)絡(luò)攻擊與防范ppt-閱讀頁
2024-12-23 11:50本頁面
【正文】 全技術(shù) 》 ?2． 入侵檢測系統(tǒng)（ IDS）的特點 ? 提高信息安全體系整體的完整性 ? 跟蹤用戶從進入到退出的所有活動或影響 ? 發(fā)現(xiàn)系統(tǒng)配置的錯誤，必要時予以更正 ? 可使系統(tǒng)管理人員能夠?qū)⒆钚碌陌姹旧壧砑拥匠绦蛑? ? 在無人干預(yù)的情況下，無法執(zhí)行對攻擊的檢查 ? 不能彌補網(wǎng)絡(luò)協(xié)議的漏洞 ? 不能分析網(wǎng)絡(luò)繁忙時所有的事務(wù) ? 不能應(yīng)付現(xiàn)代網(wǎng)絡(luò)的硬件及特性 《 計算機網(wǎng)絡(luò)安全技術(shù) 》 IDS中的相關(guān)術(shù)語 ?1． Alerts（報警） ? 當一個入侵正在發(fā)生或者試圖發(fā)生時， IDS系統(tǒng)將發(fā)布一個報警（ alert）信息通知系統(tǒng)管理員。 ? 在報警中，可分為錯誤的報警和正確的報警兩種。 ? 當 IDS工作于正常的狀態(tài)下所生產(chǎn)的報警稱為誤報。 漏報。漏報說明 IDS雖然在進行攻擊的檢測，但它卻沒有命中真正的攻擊。下面列出的是 IDS能夠檢測出的最常見的 Inter攻擊類型： ? ? ? ? 《 計算機網(wǎng)絡(luò)安全技術(shù) 》 IDS的分類 ?1． 異常檢測模型 ? 異常檢測（ Anomaly Detection）模型主要檢測與可接受行為之間的偏差。 ?3． 混合檢測模型 ? 混合檢測模型是對異常檢測模型和誤用檢測模型的綜合。此工作由放置在不同網(wǎng)段的傳感器或不同主機上的代理來進行，包括系統(tǒng)和網(wǎng)絡(luò)日志文件、網(wǎng)絡(luò)流量、非正常的目錄和文件改變、非正常的程序執(zhí)行等。主機型入侵檢測系統(tǒng)保護的一般是所在的主機系統(tǒng)。 基于主機的 IDS部署如圖 710所示。網(wǎng)絡(luò)型入侵檢測系統(tǒng)擔(dān)負著保護整個網(wǎng)段的任務(wù)，基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)由遍及網(wǎng)絡(luò)中每個網(wǎng)段的傳感器（ sensor）組成?；诰W(wǎng)絡(luò)的 IDS部署如圖 711所示（當單位內(nèi)部網(wǎng)絡(luò)存在多個網(wǎng)段時，建議在每一個網(wǎng)段分別安裝一個傳感器）?；诰W(wǎng)絡(luò)的信息收集和基于主機的信息收集都存在不足之處，會造成防御體系的不全面，而混合型入侵檢測系統(tǒng)既可以發(fā)現(xiàn)網(wǎng)絡(luò)中的攻擊信息，也可以從系統(tǒng)日志中發(fā)現(xiàn)異常情況。 ? 從信息生成地或?qū)俚刂苯荧@取數(shù)據(jù)。 ? 從能反映監(jiān)控目標行為的數(shù)據(jù)源處獲取數(shù)據(jù)。 《 計算機網(wǎng)絡(luò)安全技術(shù) 》 ?3． 信息收集的渠道 ? 入侵檢測利用的信息一般來自以下四個方面。 ?2． 統(tǒng)計分析 ? 統(tǒng)計分析方法首先給系統(tǒng)對象（如用戶、文件、目錄和設(shè)備等）創(chuàng)建一個統(tǒng)計描述，統(tǒng)計正常使用時的一些測量屬性（如訪問次數(shù)、操作失敗次數(shù)和延時等）。 《 計算機網(wǎng)絡(luò)安全技術(shù) 》 ?3． 完整性分析 ? 完整性分析主要關(guān)注某個文件或?qū)ο笫欠癖桓?，可以通過該文件或該文件所在目錄的屬性來發(fā)現(xiàn)。 《 計算機網(wǎng)絡(luò)安全技術(shù) 》 IDS的特點 ? 對系統(tǒng)構(gòu)造和弱點的審計； ? 異常行為模式的統(tǒng)計分析； ? 操作系統(tǒng)的審計跟蹤管理，并識別用戶違反安全策略的行為。RealSecure在網(wǎng)絡(luò)中的部署如圖 717所示。對于小型網(wǎng)絡(luò)來說，可以僅在中心交換機上安裝一個網(wǎng)絡(luò)傳感器即可，如圖 718所示。只要在這些網(wǎng)絡(luò)設(shè)備上安裝相應(yīng)的模塊就可以作為一臺網(wǎng)絡(luò)傳感器來使用。 《 計算機網(wǎng)絡(luò)安全技術(shù) 》 ? 還值的一提的是，在中小型網(wǎng)絡(luò)中，為了同時監(jiān)控多個網(wǎng)段， Cisco公司還推出了多監(jiān)控接口的傳感器，在該傳感器上提供了多個網(wǎng)絡(luò)接口，每一個網(wǎng)絡(luò)接口可以分別連接一個網(wǎng)段，如圖 719所示。 IDS以關(guān)聯(lián)方式部署在不同的服務(wù)器和網(wǎng)段上，先將服務(wù)器或網(wǎng)段上的流量鏡像到網(wǎng)絡(luò)傳感器上，再通過 IDS管理控制臺進行分析，如果發(fā)現(xiàn)入侵或攻擊，則會產(chǎn)生報警， IDS在網(wǎng)絡(luò)中的部署方式如圖 720所示。 《 計算機網(wǎng)絡(luò)安全技術(shù) 》 圖 720 IDS在網(wǎng)絡(luò)中的部署方式 圖 721 IPS在網(wǎng)絡(luò)中的部署方式 《 計算機網(wǎng)絡(luò)安全技術(shù) 》 ?IPS應(yīng)具有以下的技術(shù)特征： ?只有以嵌入模式運行的 IPS設(shè)備才能夠?qū)崿F(xiàn)實時的安全防護，實時阻斷所有可疑的數(shù)據(jù)包，并對該數(shù)據(jù)流的剩余部分進行攔截。 深入分析和控制。 ?與防病毒系統(tǒng)的病毒庫一樣，較為完整的高質(zhì)量的入侵特征庫是 IPS高效運行的必要條件。 ? IPS必須具有對數(shù)據(jù)包的高效處理能力，爭取對整個網(wǎng)絡(luò)性能的影響降至最低水平，避免 IPS成為網(wǎng)絡(luò)的瓶頸。 HIPS可以根據(jù)自定義的安全策略以及分析學(xué)習(xí)機制來阻斷對服務(wù)器等主機發(fā)起的惡意入侵， HIPS可以阻斷緩沖區(qū)溢出、更改登錄口令、改寫動態(tài)鏈接庫以及其他試圖獲得操作系統(tǒng)入侵權(quán)的行為，加強了系統(tǒng)整體的安全性。與 IDS的并聯(lián)方式不同，由于 IPS采用串聯(lián)方式，所以一旦檢測出入侵行為或攻擊數(shù)據(jù)流， NIPS就可以去除整個網(wǎng)絡(luò)會話。 《 計算機網(wǎng)絡(luò)安全技術(shù) 》 ?3． 應(yīng)用入侵防護 ? 應(yīng)用入侵防護（ AIP）是 NIPS產(chǎn)品的一個特例，它把 NIPS擴展成為位于應(yīng)用服務(wù)器之前的網(wǎng)絡(luò)設(shè)備，為應(yīng)用服務(wù)器提供更安全的保護。而 NIPS工作在網(wǎng)絡(luò)上，直接對數(shù)據(jù)包進行檢測和阻斷，與具體的服務(wù)器或主機的操作系統(tǒng)平臺無關(guān)。 ? IPS則傾向于提供主動性的防護，其設(shè)計目的為預(yù)先對入侵活動和攻擊性網(wǎng)絡(luò)流量進行攔截，避免其造成損失，而不是簡單地在惡意流量傳送時或傳送后才發(fā)出報警。這是由于 IPS必須串聯(lián)到網(wǎng)絡(luò)中，這就可能造成網(wǎng)絡(luò)瓶頸或單點故障。在眾多的安全產(chǎn)品中，入侵防御系統(tǒng)的重要性會不斷被用戶所
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1