第5章安全防護與入侵檢測(已改無錯字)
2023-03-17 08:45:06 本頁面
【正文】 S ? 1)只檢測內部網絡和外部網絡邊界流量的 IDS系統(tǒng)的部署 ? 在小型網絡結構中，如果內部網絡是可以信任的，那么只需要監(jiān)控內部網絡和外部網絡的邊界流量。這種情況下，入侵檢測系統(tǒng)部署在出口路由器或防火墻的后面，用來監(jiān)控網絡入口處所有流入和流出網絡的流量，網絡拓撲結構可按照圖 。 ? 在圖 ， IDS被部署在內部網絡與 Inter的出口處，IDS設備的監(jiān)聽口連接到了內部網絡出口處的交換機(Switch)鏡像接口上，從而可以捕獲到交換機鏡像接口的網絡流量。 ? 管理員可以通過命令行方式 (Console、 Tel或 SSH)或Web方式 (HTTP或 HTTPS)遠程登錄到 IDS管理接口并對設備進行配置管理。 ? 圖 ，也節(jié)約了投資成本，適合中小規(guī)模企業(yè)的網絡安全應用。 河南化工職業(yè)學院 河南化工職業(yè)學院 ? 2)集中監(jiān)控多個子網流量 ? 在這種組網情況下，內部局域網中劃分了多個不同職能的子網，有些子網訪問某些子網資源量希望受到監(jiān)控和保護，假設具體進行監(jiān)控。 (1)需要對關鍵子網 LAN1的流量進行監(jiān)控。 (2)LAN2子網了放置了各種服務器，因此對LAN2的所有流量也需要進行監(jiān)控。 (3)網絡管理員要能夠集中監(jiān)控網絡的流量和異常情況。 ? 在這種情況下，含 IDS的網絡拓撲如圖 。 河南化工職業(yè)學院 河南化工職業(yè)學院 入侵檢測系統(tǒng)的選型 ? 異常檢測模型的基本原理 ? 異常檢測，也被稱為基于行為的檢測。其基本前提是假定所有的入侵行為都是異常的。其基本原理是，首先建立系統(tǒng)或用戶的 正常行為特征輪廓，通過比較當前的系統(tǒng)或用戶的行為是否偏離正常的行為特征輪廓來判斷是否發(fā)生了入侵。而不是依賴于具體行為是否出現來進行檢測的，從這個意義上來講，異常檢測是一種間接的方法。 河南化工職業(yè)學院 ? 異常檢測的關鍵技術 ? l) 特征量的選擇 ? 異常檢測首先是要建立系統(tǒng)或用戶的 正常 行為特征輪廓，這就要求在建立正常模型時，選取的特征量既要能準確地體現系統(tǒng)或用節(jié)隨行為特征，又能使模型最優(yōu)化，即以最少的特征量就能涵蓋系統(tǒng)或用戶的行為特征。例如，可以檢測磁盤的轉速是否在常， CPU是否無故超頻等異常現象。 ? 2) 參考闊值的選定 ? 因為在實際的網絡環(huán)境下，入侵行為和異常行為往往不是一對一的等價關系，經常發(fā)生這樣的異常情況，如某一行為是異常行為，而它并不是入侵行為 。同樣存在某一行為是入侵行為，而它卻并不是異常行為的情況。這樣就會導致檢測結果的虛警 (false positives) 和漏警 (false negatives) 的產生。由于異常檢測是先建立正常的特征輪廓作為比較的參考基準，這個參考基準即參考闊值的選定是非常關鍵的，閡值定的過大，那漏警率會很高 。闊值定的過小，則虛警率就會提高。合適的參考闊值的選定是影響這一檢測方法準確率的至關重要的因素。 ? 從異常檢測的原理可以看出，該方法的技術難點在于 正常 行為特征輪廓的確定、特征量的選取、特征輪廓的更新。由于這幾個因素的制約，異常檢測的虛警率很高，但對于未知的入侵行為的檢測非常有效。此外，由于需要實時地建立和更新系統(tǒng)或用戶的特征輪廓，這樣所需的計算量很大，對系統(tǒng)的處理性能要求會很高。 河南化工職業(yè)學院 異常檢測模型的實現方法 – 基于統(tǒng)計分析的異常檢測方法 ? 常見的幾種異常測量值的測量類型如下 ： ? 活動強度測量。用以描述活動的處理速度。 ? 審計記錄分布測量。用以描述最近審計記錄中所有活動類型的分布狀況。 ? 類型測量。用以描述特定的活動在各種類型的分布狀況。 ? 順序測量。用以描述活動的輸出結果。 ? 2) 基于特征選擇的異常檢測方法 ? 3) 基于貝葉斯推理的異常檢測方法 ? 4) 基有貝葉斯網絡的異常檢測方法 ? 5) 基于模式預測的鼻常檢測方法 ? 6) 基于件經網絡的異常檢測方法 ? 7) 基于貝葉斯聚類的異常檢測方法 ? 8) 基于機器自學習系統(tǒng)的異常檢測方法 ? 9) 基于數據采掘技術的異常檢測方法 河南化工職業(yè)學院 誤用檢測模型的基本原理 ? 對于誤用檢測系統(tǒng)來說，最重要的技術如下： ? 如何全面描述攻擊的特征，覆蓋在此基礎上的變種方。 ? 如何排除其他帶有干擾性質的行為， 減少誤報率。 河南化工職業(yè)學院 誤用入侵檢測模型的基本方法 ? 誤用檢測模型常用的檢測方法有基于條件概率誤用入侵檢測方法、基于專家系統(tǒng)誤 用入侵檢測方法、基于狀態(tài)遷移分析誤用入侵檢測方法、基于鍵盤監(jiān)控誤用入侵檢測方法和基于模型誤用入侵檢測方法等。 ? 1) 基于條件概率的誤用入侵檢測方法 ? 2) 基于專家系統(tǒng)的誤用入侵檢測方法 ? 3) 基于狀態(tài)遷移分析的誤用入侵檢測方法 ? 4) 基于鍵盤監(jiān)控的誤用入侵檢測方法 ? 5) 基于模型的誤用入侵檢測方法 河南化工職業(yè)學院 ? 異常檢測模型和誤用檢測模型的比較 ? 異常檢測系統(tǒng)試圖發(fā)現一些未知的入侵行為，而誤用檢測系統(tǒng)則是檢測一些已知的入侵行為。 ? 異常檢測指
教學課件相關推薦
鄂ICP備17016276號-1