网络安全概论——入侵检测系统IDS.pdf

⽹络安全概论 ⽹络安全概论——⼊侵检测系统 ⼊侵检测系统IDS ⼀、⼊侵检测的概念 ⼀、⼊侵检测的概念 1 、 ⼊ 侵 检 测 的 概 念 1 、 ⼊ 侵 检 测 的 概 念 检测对计算机系统的⾮授权访问 对系统的运⾏状态进⾏监视，发现各种攻击企图、攻击⾏为或攻击结果，以保证系统资源的保密性、完整性和可⽤性 识别针对计算机系统和⽹络系统或⼴义上的信息系统的⾮法攻击，包括检测外部⾮法⼊侵者的恶意攻击或探测，以及内部合法⽤户越 权使⽤系统资源的⾮法⾏为。 所有能够执⾏⼊侵检测任务和实现⼊侵检测功能的系统都可称为⼊侵检测系统（IDS Intrusion Detection System） ⼊侵检测系统 IDS,它从计算机⽹络系统中的若⼲关键点收集信息，并分析这些信息，检查⽹络中是否有违反安全策略的⾏为和遭到袭击的 迹象。⼊侵检测被认为是防⽕墙之后的第⼆道安全闸门。能在不影响⽹络性能的情况下对⽹络进⾏监测，从⽽提供对内部攻击、外部攻击和 误操作的实时保护，这些都通过它执⾏以下任务来实现： 监视、分析⽤户及系统的活动 系统构造和弱点的审计 识别反映已知攻击的活动模式并向相关⼈员报警 异常⾏为模式的统计分析 评估重要系统和数据⽂件的完整性 操作系统的审计跟踪管理，并识别⽤户违反安全策略的⾏为 2 、 I D S 系 统 模 型 的 四 个 部 分 2 、 I D S 系 统 模 型 的 四 个 部 分 1. 数据收集器 2. 检测器 3. 知识库 4. 控制器 3 、 I D S 的 任 务 3 、 I D S 的 任 务 1. 信息收集 2. 信息分析：模式匹配（与已知⽹络⼊侵数据库⽐较，误报率低，但只能发现已知攻击），统计分析（观察值与正常值⽐较）、完整性 分析（检查某个⽂件是否被修改） 3. 安全响应：主动响应（系统本⾝⾃动执⾏，采取终⽌连接，修正系统环境），被动响应（发出告警信息和通知） 4 、 I D S 的 评 价 标 准 4 、 I D S 的 评 价 标 准 1. 性能检测 2. 功能测试 3. ⽤户可⽤性测试 ⼆、⼊侵检测原理及主要⽅法 ⼆、⼊侵检测原理及主要⽅法 IDS通常使⽤两种基本的分析⽅法来分析事件、检测⼊侵⾏为，即异常检测（Anomaly Detection）和误⽤检测（Misuse Detection） 1 、 异 常 检 测 1 、 异 常 检 测 假定所有⼊侵⾏为都是与正常⾏为不同的，如果建⽴系统正常⾏为轨迹，那么理论上可以通过统计那些不同于我们已建⽴的特征⽂件的所有 系统状态的数量来识别⼊侵企图，把所有与正常轨迹不同的系统状态视为可疑企图。 2 、 误 ⽤ 检 测 （ 基 于 知 识 的 检 测 技 术 ） 2 、 误 ⽤ 检 测 （ 基 于 知 识 的 检 测 技 术 ） 假定所有⼊侵⾏为和⼿段（及其变种）都能够表达为⼀种模式或特征，那么所有已知的⼊侵⽅法都可以⽤匹配⽅法发现。因为很⼤⼀部分的 ⼊侵是利⽤了系统的脆弱性，通过分析⼊侵过程的特征、条件、排列以及事件间关系能具体描述⼊侵⾏为的迹象。 误⽤检测系统的关键问题是如何从已知⼊侵中提取⾦和编写特征，使得其能够覆盖该⼊侵的所有可能的变种，⽽同时不会匹配到⾮法⼊侵活 动（把真正⼊侵与正常⾏为区分开来） 三、ID S 的结构与分类 三、ID S 的结构与分类 1 、 I D S 的 功 能 1 、 I D S 的 功 能 IDS⾄少包含事件提取、⼊侵分析、⼊侵响应和远程管理四部分功能。 2 、 I D S 的 分 类 2 、 I D S 的 分 类 按照数据来源分类： 按照数据来源分类： 、基于⽹络的⼊侵检测系统（NIDS）：数据来⾃于⽹络的数据流。 优缺点：侦测速度快，不容易受到攻击，对主机资源消耗少，//来⾃服务器本⾝的攻击不经过⽹络，误报率⾼ 关键技术：蜜罐技术 ⼯作原理：将⼊侵检测系统的产品放在⽐较重要的⽹段，如果数据包与产品内置的规则吻合就发出警报甚⾄直接切断连接 、基于主机的⼊侵检测系统（HIDS）：数据来⾃于审计记录和系统⽇志。 优缺点：不同操作系统捕获应⽤层⼊侵，误报少，//依赖与主机及其⼦系统，实时性差 ⼯作原理：扫描操作系统和应⽤程序⽇志⽂件，查看敏感⽂件是否被篡改，检验进出主机的⽹络传输流，发现攻击。 监视⽤户和访问⽂件的活动 监视主要系统⽂件和可执⾏⽂件的改变 监视只有管理员才能实施的异常⾏为 、分布式⼊侵检测系统（DIDS）：数据来⾃于系统审计记录和⽹络的数据流。 克服了单⼀HIDS、NIDS的不⾜。 HIDS常安装于被保护的主机上，⽽NIDS常安装于⽹络⼊⼝处 按照⼊侵检测策略分类： 按照⼊侵检测策略分类： 、滥⽤检测 优缺点：只收集相关数据集合，减少系统负担，//需要不断升级 原理：将收集到的信息与已知⽹络⼊侵和数据库⽐对