搜索

[20934] 2017-11-07_IDS技术的使用

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-11-07_IDS技术的使用 I D S 技 术 的 使 用 L e m o n S e c   2 0 1 7 - 1 1 - 0 7 I D S 技 术 简 介 技 术 简 介 当 越 来 越 多 的 公 司 将 其 核 心 业 务 向 互 联 网 转 移 的 时 候 ， 网 络 安 全 作 为 一 个 无 法 回 避 的 问 题 摆 在 人 们 面 前 。 公 司 一 般 采 用 防 火 墙 作 为 安 全 的 第 一 道 防 线 。 而 随 着 攻 击 者 技 能 的 日 趋 成 熟 ， 攻 击 工 具 与 手 法 的 日 趋 复 杂 多 样 ， 单 纯 的 防 火 墙 策 略 已 经 无 法 满 足 对 安 全 高 度 敏 感 的 部 门 的 需 要 ， 网 络 的 防 卫 必 须 采 用 一 种 纵 深 的 、 多 样 的 手 段 。 与 此 同 时 ， 目 前 的 网 络 环 境 也 变 得 越 来 越 复 杂 ， 各 式 各 样 的 复 杂 的 设 备 ， 需 要 不 断 升 级 、 补 漏 的 系 统 使 得 网 络 管 理 员 的 工 作 不 断 加 重 ， 不 经 意 的 疏 忽 便 有 可 能 造 成 重 大 的 安 全 隐 患 。 在 这 种 情 况 下 ， 入 侵 检 测 系 统 I D S （ I n t r u s i o n   D e t e c t i o n   S y s t e m ） 就 成 了 构 建 网 络 安 全 体 系 中 不 可 或 缺 的 组 成 部 分 。 前 面 讨 论 的 只 是 在 用 户 级 上 如 何 加 强 防 范 ， 并 还 击 入 侵 者 的 方 法 。 什 么 是 什 么 是 I D S 入 侵 检 测 （ I n t r u s i o n   D e t e c t i o n ） ， 顾 名 思 义 ， 便 是 对 入 侵 行 为 的 发 觉 。 它 通 过 对 计 算 机 网 络 或 计 算 机 系 统 中 的 若 干 关 键 点 收 集 信 息 并 对 其 进 行 分 析 ， 从 中 发 现 网 络 或 系 统 中 是 否 有 违 反 安 全 策 略 的 行 为 和 被 攻 击 的 迹 象 。 进 行 入 侵 检 测 的 软 件 与 硬 件 的 组 合 便 构 成 了 入 侵 检 测 系 统 （ I n t r u s i o n   D e t e c t i o n     S y s t e m ， 简 称 I D S ） 。 入 侵 检 测 是 防 火 墙 的 合 理 补 充 ， 一 方 面 它 帮 助 系 统 对 付 网 络 攻 击 ， 扩 展 了 系 统 管 理 员 的 安 全 管 理 能 力 （ 包 括 安 全 审 计 、 监 视 、 进 攻 识 别 和 响 应 ） ， 另 一 方 面 它 提 高 了 信 息 安 全 基 础 结 构 的 完 整 性 。 它 通 过 收 集 信 息 、 分 析 信 息 的 模 式 来 发 现 异 常 现 象 和 攻 击 行 为 。 可 以 说 入 侵 检 测 作 为 防 火 墙 之 后 的 第 二 道 安 全 闸 门 ， 在 不 影 响 网 络 性 能 的 情 况 下 实 现 了 对 网 络 进 行 监 测 ， 提 供 对 内 部 攻 击 、 外 部 攻 击 和 误 操 作 的 实 时 保 护 的 功 能 。 １ １ . 入 侵 检 测 的 原 理 入 侵 检 测 的 原 理 入 侵 检 测 可 分 为 实 时 入 侵 检 测 和 事 后 入 侵 检 测 两 种 。 实 时 入 侵 检 测 在 网 络 连 接 过 程 中 进 行 ， 系 统 根 据 用 户 的 历 史 行 为 模 型 、 存 储 在 计 算 机 中 的 专 家 知 识 以 及 神 经 网 络 模 型 对 用 户 当 前 的 操 作 进 行 判 断 ， 一 旦 发 现 入 侵 迹 象 立 即 断 开 入 侵 者 与 主 机 的 连 接 ， 并 收 集 证 据 和 实 施 数 据 恢 复 。 这 个 检 测 过 程 是 不 断 循 环 进 行 的 。 而 事 后 入 侵 检 测 则 是 由 具 有 网 络 安 全 专 业 知 识 的 网 络 管 理 人 员 来 进 行 的 ， 他 们 根 据 计 算 机 系 统 对 用 户 操 作 所 做 的 历 史 审 计 记 录 判 断 用 户 是 否 具 有 入 侵 行 为 ， 如 果 有 就 断 开 连 接 ， 并 记 录 入 侵 证 据 和 进 行 数 据 恢 复 。 事 后 入 侵 检 测 是 管 理 员 定 期 或 不 定 期 进 行 的 ， 不 具 有 实 时 性 ， 因 此 防 御 入 侵 的 能 力 不 如 实 时 入 侵 检 测 系 统 。 ２ ２ .   与 入 侵 检 测 有 关 的 协 议 与 模 型 与 入 侵 检 测 有 关 的 协 议 与 模 型 （ １ ） 入 侵 检 测 的 通 信 协 议 （ １ ） 入 侵 检 测 的 通 信 协 议
I D S 系 统 组 件 之 间 需 要 通 信 ， 不 同 的 厂 商 的 I D S 系 统 之 间 也 需 要 通 信 。 因 此 ， 定 义 统 一 的 协 议 ， 使 各 部 分 能 够 根 据 协 议 所 制 订 的 标 准 进 行 沟 通 是 很 有 必 要 的 。 I E T F   目 前 有 一 个 专 门 的 小 组   I D W G （ I n t r u s i o n D e t e c t i o n   W o r k i n g   G r o u p ） 负 责 定 义 这 种 通 信 格 式 ， 称 作 I n t r u s i o n   D e t e c t i o n   E x c h a n g e   F o r m a t 。 目 前 只 有 相 关 的 草 案 ， 并 未 形 成 正 式 的 R F C 文 档 。 尽 管 如 此 ， 草 案 为 I D S 各 部 分 之 间 甚 至 不 同 I D S 系 统 之 间 的 通 信 提 供 层 协 议 ， 其 设 计 多 其 他 功 能 （ 如 可 从 任 意 端 发 起 连 接 ， 结 合 了 加 密 、 身 份 验 证 等 ） 。 （ （ 2 ） ） C I D F （ （ C o m m o n   I n t r u s i o n   D e t e c t i o n   F r a m e w o r k ） 模 型 ） 模 型 （ C I D F ） （ h t t p : / / w w w . g i d o s . o r g / ） 阐 述 了 一 个 入 侵 检 测 系 统 （ I   D S ） 的 通 用 模 型 。 它 将 一 个 入 侵 检 测 系 统 分 为 以 下 组 件 ： 事 件 产 生 器 （ E v e n t   g e n e r a t o r s ） 事 件 分 析 器 （ E v e n t   a n a l y z e r s ） 响 应 单 元 （ R e s p o n s e   u n i t s   ） 事 件 数 据 库 （ E v e n t   d a t a b a s e s   ） C I D F 将 I D S 需 要 分 析 的 数 据 统 称 为 事 件 （ e v e n t ） ， 它 可 以 是 网 络 中 的 数 据 包 ， 也 可 以 是 从 系 统 日 志 等 其 他 途 径 得 到 的 信 息 。 3 .   入 侵 检 测 的 分 类 入 侵 检 测 的 分 类 （ １ ） 按 入 侵 检 测 的 手 段 、 （ １ ） 按 入 侵 检 测 的 手 段 、 I D S 的 入 侵 检 测 模 型 可 分 为 基 于 网 络 和 基 于 主 机 两 种 。 的 入 侵 检 测 模 型 可 分 为 基 于 网 络 和 基 于 主 机 两 种 。     1 ） 基 于 主 机 模 型 ： ） 基 于 主 机 模 型 ： 也 称 基 于 系 统 的 模 型 ， 它 是 通 过 分 析 系 统 的 审 计 数 据 来 发 现 可 疑 的 活 动 ， 如 内 存 和 文 件 的 变 化 等 。 其 输 入 数 据 主 要 来 源 于 系 统 的 审 计 日 志 ， 一 般 只 能 检 测 该 主 机 上 发 生 的 入 侵 。 这 种 模 型 有 以 下 优 点 ： 一 是 性 能 价 格 比 高 ： 在 主 机 数 量 较 少 的 情 况 下 ， 这 种 方 法 的 性 能 价 格 比 可 能 更 高 。 二 是 更 加 细 致 ： 这 种 方 法 可 以 很 容 易 地 监 测 一 些 活 动 ， 如 对 敏 感 文 件 、 目 录 、 程 序 或 端 口 的 存 取 ， 而 这 些 活 动 很 难 在 基 于 协 议 的 线 索 中 发 现 。 三 是 视 野 集 中 ： 一 旦 入 侵 者 得 到 了 一 个 主 机 用 户 名 和 口 令 ， 基 于 主 机 的 代 理 是 最 有 可 能 区 分 正 常 的 活 动 和 非 法 的 活 动 的 。 四 是 易 于 用 户 剪 裁 ： 每 一 个 主 机 有 其 自 己 的 代 理 ， 当 然 用 户 剪 裁 更 方 便 了 。 五 是 较 少 的 主 机 ： 基 于 主 机 的 方 法 有 时 不 需 要 增 加 专 门 的 硬 件 平 台 。 六 是 对 网 络 流 量 不 敏 感 ： 用 代 理 的 方 式 一 般 不 会 因 为 网 络 流 量 的 增 加 而 丢 掉 对 网 络 行 为 的 监 视 。 2 ） 基 于 网 络 的 模 型 ： ） 基 于 网 络 的 模 型 ： 即 通 过 连 接 在 网 络 上 的 站 点 捕 获 网 上 的 包 ， 并 分 析 其 是 否 具 有 已 知 的 攻 击 模 式 ， 以 此 来 判 别 是 否 为 入 侵 者 。 当 该 模 型 发 现 某 些 可 疑 的 现 象 时 也 一 样 会 产 生 告 警 ， 并 会 向 一 个 中 心 管 理 站 点 发 出 “ 告 警 ” 信 号 。 基 于 网 络 的 检 测 有 以 下 优 点 ： 基 于 网 络 的 检 测 有 以 下 优 点 ： 一 是 侦 测 速 度 快 ： 基 于 网 络 的 监 测 器 通 常 能 在 微 秒 或 秒 级 发 现 问 题 。 而 大 多 数 基 于 主 机 的 产 品 则 要 依 靠 对 最 近 几 分 钟 内 审 计 记 录 的   分 析 。 二 是 隐 蔽 性 好 ： 一 个 网 络 上 的 监 测 器 不 像 一 个 主 机 那 样 显 眼 和 易 被 存 取 ， 因 而 也 不 那 么 容 易 遭 受 攻 击 。 由 于 不 是 主 机 ， 因 此 一 个 基 于 网 络 的 监 视 器 不 用 去 响 应 p i n g ， 不 允 许 别 人 存 取 其 本 地 存 储 器 ， 不 能 让 别 人 运 行 程 序 ， 而 且 不 让 多 个 用 户 使 用 它 。 三 是 视 野 更 宽 ： 基 于 网 络 的 方 法 甚 至 可 以 作 用 在 网 络 的 边 缘 上 ， 即 攻 击 者 还 没 能 接 入 网 络 时 就 被 制 止 。 四 是 较 少 的 监 测 器 ： 由 于 使 用 一 个 监 测 器 就 可 以 保 护 一 个 共 享 的 网 段 ， 所 以 你 不 需 要 很 多 的 监 测 器 。 相 反 地 ， 如 果 基 于 主 机 ， 则 在 每 个 主 机 上 都 需 要 一 个 代 理 ， 这 样 的 话 ， 花 费 昂 贵 ， 而 且 难 于 管 理 。 但 是 ， 如 果 在 一 个 交 换 环 境 下 ， 每 个 主 机 就 得 配 一 个 监 测 器 ， 因 为 每 个 主 机 都 在 自 己 的 网 段 上 。 五 是 占 资 源 少 ： 在 被 保 护 的 设 备 上 不 用 占 用 任 何 资 源 。 这 两 种 模 型 具 有 互 补 性 ， 基 于 网 络 的 模 型 能 够 客 观 地 反 映 网 络 活 动 ， 特 别 是 能 够 监 视 到 主 机 系 统 审 计 的 盲 区 ； 而 基 于 主 机 的 模 型 能 够 更 加 精 确 地 监 视 主 机 中 的 各 种 活 动 。 基 于 网 络 的 模 型 受 交 换 网 的 限 制 ， 只 能 监 控 同 一 监 控 点 的 主 机 ， 而 基 于 主 机 模 型 装 有 I D S 的 监 控 主 机 可 以 对 同 一 监 控 点 内 的 所 有 主 机 进 行 监 控 。 （ ２ ） 按 入 侵 检 测 的 技 术 基 础 可 分 为 两 类 ： 一 种 基 于 标 志 的 入 侵 检 测 （ （ ２ ） 按 入 侵 检 测 的 技 术 基 础 可 分 为 两 类 ： 一 种 基 于 标 志 的 入 侵 检 测 （ s i g n a t u r e - b a s e d ） ， 另 一 种 是 基 于 异 常 情 况 的 ） ， 另 一 种 是 基 于 异 常 情 况 的 入 侵 检 测 （ 入 侵 检 测 （ a n o m a l y - b a s e d ） 。 ） 。 对 于 基 于 标 识 的 检 测 技 术 来 说 ， 首 先 要 定 义 违 背 安 全 策 略 的 事 件 的 特 征 ， 如 网 络 数 据 包 的 某 些 头 信 息 。 检 测 主 要 判 别 这 类 特 征 是 否 在 所 收 集 到 的 数 据 中 出 现 ， 这 有 些 类 似 杀 毒 软 件 的 工 作 原 理 。 而 基 于 异 常 的 检 测 技 术 则 是 先 定 义 一 组 系 统 “ 正 常 ” 情 况 的 数 值 ， 如 C P U 利 用 率 、 内 存 利 用 率 、 文 件 校 验 和 等 （ 这 类 数 据 可 以 人 为 定 义 ， 也 可 以 通 过 观 察 系 统 、 并 用 统 计 的 办 法 得 出 ） ， 然 后 将 系 统 运 行 时 的 数 值 与 所 定 义 的 “ 正 常 ” 情 况 比 较 ， 得 出 是 否 有 被 攻 击 的 迹 象 。 这 种 检 测 方 式 的 核 心 在 于 如 何 精 确 定 义 所 谓 的 “ 正 常 ” 情 况 。 往 往 两 种 检 测 方 法 所 得 出 的 结 论 会 有 非 常 大 的 差 异 。 基 于 异 常 的 检 测 技 术 的 核 心 是 维 护 一 个 知 识 库 。 对 于 已 知 的 攻 击 ， 它 可 以 详 细 、 准 确 的 报 告 出 攻 击 类 型 ， 但 是 对 未 知 攻 击 却 效 果 有 限 ， 而 且 知 识 库 必 须 不 断 更 新 。 基 于 异 常 的 检 测 技 术 则 无 法
准 确 判 别 出 攻 击 的 手 法 ， 但 它 可 以 （ 至 少 在 理 论 上 可 以 ） 判 别 更 广 范 、 甚 至 未 发 觉 的 攻 击 。 如 果 条 件 允 许 ， 两 者 结 合 的 检 测 会 达 到 更 好 的 效 果 。 （ ３ ） （ ３ ）   按 输 入 入 侵 检 测 系 统 的 数 据 的 来 源 来 分 ， 可 以 分 为 三 类 ： 按 输 入 入 侵 检 测 系 统 的 数 据 的 来 源 来 分 ， 可 以 分 为 三 类 ： 1 ）   基 于 主 机 的 入 侵 检 测 系 统 ： 其 输 入 数 据 来 源 于 系 统 的 审 计 日 志 ， 一 般 只 能 检 测 该 主 机 上 发 生 的 入 侵 ； 2 ）   基 于 网 络 的 入 侵 检 测 系 统 ： 其 输 入 数 据 来 源 于 网 络 的 信 息 流 ， 能 够 检 测 该 网 段 上 发 生 的 网 络 入 侵 ； 3 ）   采 用 上 述 两 种 数 据 来 源 的 分 布 式 入 侵 检 测 系 统 ： 它 能 够 同 时 分 析 来 源 于 系 统 的 审 计 日 志 和 来 源 于 网 络 的 信 息 流 ， 这 种 系 统 一 般 由 多 个 部 件 组 成 。 （ ４ ） 按 入 侵 检 测 所 采 用 的 技 术 方 法 又 可 将 其 细 分 为 下 面 四 种 方 法 ： （ ４ ） 按 入 侵 检 测 所 采 用 的 技 术 方 法 又 可 将 其 细 分 为 下 面 四 种 方 法 ： 一 是 基 于 用 户 行 为 概 率 统 计 模 型 的 入 侵 检 测 方 法 ： 一 是 基 于 用 户 行 为 概 率 统 计 模 型 的 入 侵 检 测 方 法 ： 这 种 入 侵 检 测 方 法 是 在 对 用 户 历 史 行 为 建 模 或 在 早 期 的 证 据 或 模 型 的 基 础 上 ， 实 时 检 测 用 户 对 系 统 的 使 用 情 况 ， 根 据 系 统 内 部 保 存 的 用 户 行 为 概 率 统 计 模 型 进 行 检 测 ， 当 发 现 有 可 疑 的 用 户 行 为 发 生 时 ， 立 即 保 持 跟 踪 并 监 测 、 记 录 该 用 户 的 行 为 。 系 统 要 根 据 每 个 用 户 以 前 的 历 史 行 为 ， 生 成 每 个 用 户 的 历 史 行 为 记 录 库 ， 当 用 户 改 变 他 们 的 行 为 习 惯 时 ， 这 种 异 常 就 会 被 检 测 出 来 。 二 是 基 于 神 经 网 络 的 入 侵 检 测 方 法 ： 二 是 基 于 神 经 网 络 的 入 侵 检 测 方 法 ： 这 种 方 法 是 利 用 神 经 网 络 技 术 来 进 行 入 侵 检 测 。 这 种 方 法 对 用 户 行 为 具 有 学 习 和 自 适 应 功 能 ， 能 够 根 据 实 际 检 测 到 的 信 息 有 效 地 加 以 处 理 并 做 出 是 否 有 入 侵 行 为 的 判 断 。 但 该 方 法 还 不 成 熟 ， 目 前 还 没 有 出 现 较 为 完 善 的 产 品 。 三 是 基 于 专 家 系 统 的 入 侵 检 测 技 术 ： 三 是 基 于 专 家 系 统 的 入 侵 检 测 技 术 ： 该 技 术 根 据 安 全 专 家 对 可 疑 行 为 的 分 析 经 验 来 形 成 一 套 推 理 规 则 ， 然 后 在 此 基 础 上 建 立 相 应 的 专 家 系 统 ， 由 此 专 家 系 统 自 动 进 行 对 所 涉 及 的 入 侵 行 为 进 行 分 析 。 该 系 统 可 以 随 着 经 验 的 积 累 而 不 断 自 我 学 习 ， 并 进 行 规 则 的 扩 充 和 修 正 。 四 是 基 于 模 型 推 理 的 入 侵 检 测 技 术 ： 四 是 基 于 模 型 推 理 的 入 侵 检 测 技 术 ： 该 技 术 根 据 入 侵 者 在 进 行 入 侵 时 所 执 行 的 某 些 行 为 程 序 的 特 征 ， 建 立 一 种 入 侵 行 为 模 型 ， 根 据 这 种 行 为 模 型 所 代 表 的 入 侵 行 为 特 征 来 判 断 用 户 执 行 的 操 作 是 否 是 属 于 入 侵 行 为 。 当 然 这 种 方 法 也 是 建 立 在 对 当 前 已 知 的 入 侵 行 为 程 序 的 基 础 之 上 的 ， 对 未 知 的 入 侵 方 法 所 执 行 的 行 为 程 序 的 模 型 识 别 需 要 进 一 步 的 学 习 和 扩 展 。 以 上 几 种 方 法 每 一 种 都 不 能 保 证 能 准 确 地 检 测 出 变 化 多 端 的 入 侵 行 为 。 因 此 在 网 络 安 全 防 护 中 要 充 分 衡 量 各 种 方 法 的 利 弊 ， 综 合 运 用 这 些 方 法 才 能 有 效 地 检 测 出 入 侵 者 的 非 法 行 为 。 4 .   入 侵 检 测 的 技 术 途 径 入 侵 检 测 的 技 术 途 径 （ （ 1 ） 入 侵 检 测 的 第 一 步 ： 信 息 收 集 ） 入 侵 检 测 的 第 一 步 ： 信 息 收 集 收 集 的 内 容 包 括 系 统 、 网 络 、 数 据 及 用 户 活 动 的 状 态 和 行 为 。 收 集 信 息 需 要 在 计 算 机 网 络 系 统 中 不 同 的 关 键 点 来 进 行 ， 这 样 一 方 面 可 以 尽 可 能 扩 大 检 测 范 围 ， 另 一 方 面 从 几 个 信 源 来 的 信 息 的 不 一 致 性 是 可 疑 行 为 或 入 侵 的 最 好 标 识 ， 因 为 有 时 候 从 一 个 信 源 来 的 信 息 有 可 能 看 不 出 疑 点 。 入 侵 检 测 利 用 的 信 息 一 般 来 自 以 下 四 个 方 面 ： 1 ） 系 统 日 志 ） 系 统 日 志 黑 客 经 常 在 系 统 日 志 中 留 下 他 们 的 踪 迹 ， 因 此 ， 充 分 利 用 系 统 日 志 是 检 测 入 侵 的 必 要 条 件 。 日 志 文 件 中 记 录 了 各 种 行 为 类 型 ， 每 种 类 型 又 包 含 不 同 的 信 息 ， 很 显 然 地 ， 对 用 户 活 动 来 讲 ， 不 正 常 的 或 不 期 望 的 行 为 就 是 重 复 登 录 失 败 、 登 录 到 不 期 望 的 位 置 以 及 非 授 权 的 企 图 访 问 重 要 文 件 等 等 。 2 ） 目 录 以 及 文 件 中 的 异 常 改 变 ） 目 录 以 及 文 件 中 的 异 常 改 变 网 络 环 境 中 的 文 件 系 统 包 含 很 多 软 件 和 数 据 文 件 ， 包 含 重 要 信 息 的 文 件 和 私 有 数 据 文 件 经 常 是 黑 客 修 改 或 破 坏 的 目 标 。 3 ） 程 序 执 行 中 的 异 常 行 为 ） 程 序 执 行 中 的 异 常 行 为 网 络 系 统 上 的 程 序 执 行 一 般 包 括 操 作 系 统 、 网 络 服 务 、 用 户 启 动 的 程 序 和 特 定 目 的 的 应 用 ， 例 如 数 据 库 服 务 器 。 每 个 在 系 统 上 执 行 的 程 序 由 一 到 多 个 进 程 来 实 现 。 每 个 进 程 执 行 在 具 有 不 同 权 限 的 环 境 中 ， 这 种 环 境 控 制 着 进 程 可 访 问 的 系 统 资 源 、 程 序 和 数 据 文 件 等 。 一 个 进 程 出 现 了 不 期 望 的 行 为 可 能 表 明 黑 客 正 在 入 侵 你 的 系 统 。 黑 客 可 能 会 将 程 序 或 服 务 的 运 行 分 解 ， 从 而 导 致 运 行 失 败 ， 或 者 是 以 非 用 户 或 非 管 理 员 意 图 的 方 式 操 作 。 4 ） 物 理 形 式 的 入 侵 信 息 ） 物 理 形 式 的 入 侵 信 息   这 包 括 两 个 方 面 的 内 容 ， 一 是 未 授 权 的 对 网 络 硬 件 连 接 ； 二 是 对 物 理 资 源 的 未 授 权 访 问 。 （ （ 2 ） 入 侵 检 测 的 第 二 步 ： 数 据 分 析 ） 入 侵 检 测 的 第 二 步 ： 数 据 分 析 一 般 通 过 三 种 技 术 手 段 进 行 分 析 ： 模 式 匹 配 ， 统 计 分 析 和 完 整 性 分 析 。 其 中 前 两 种 方 法 用 于 实 时 的 入 侵 检 测 ， 而 完 整 性 分 析 则 用 于 事 后 分 析 。
1 ） 模 式 匹 配 ） 模 式 匹 配 模 式 匹 配 就 是 将 收 集 到 的 信 息 与 已 知 的 网 络 入 侵 和 系 统 误 用 模 式 数 据 库 进 行 比 较 ， 从 而 发 现 违 背 安 全 策 略 的 行 为 。 该 方 法 的 一 大 优 点 是 只 需 收 集 相 关 的 数 据 集 合 ， 显 著 减 少 系 统 负 担 ， 且 技 术 已 相 当 成 熟 。 它 与 病 毒 防 火 墙 采 用 的 方 法 一 样 ， 检 测 准 确 率 和 效 率 都 相 当 高 。 但 是 ， 该 方 法 存 在 的 弱 点 是 需 要 不 断 的 升 级 以 对 付 不 断 出 现 的 黑 客 攻 击 手 法 ， 不 能 检 测 以 前 从 未 出 现 过 的 黑 客 攻 击 手 段 。 ２ ） 统 计 分 析 ２ ） 统 计 分 析 统 计 分 析 方 法 首 先 给 系 统 对 象 （ 如 用 户 、 文 件 、 目 录 和 设 备 等 ） 创 建 一 个 统 计 描 述 ， 统 计 正 常 使 用 时 的 一 些 测 量 属 性 （ 如 访 问 次 数 、 操 作 失 败 次 数 和 延 时 等 ） 。 测 量 属 性 的 平 均 值 将 被 用 来 与 网 络 、 系 统 的 行 为 进 行 比 较 ， 任 何 观 察 值 如 果 超 过 了 正 常 值 范 围 ， 就 认 为 有 入 侵 发 生 。 其 优 点 是 可 检 测 到 未 知 的 入 侵 和 更 为 复 杂 的 入 侵 ， 缺 点 是 误 报 、 漏 报 率 高 ， 且 不 适 应 用 户 正 常 行 为 的 突 然 改 变 。 具 体 的 统 计 分 析 方 法 如 基 于 专 家 系 统 的 、 基 于 模 型 推 理 的 和 基 于 神 经 网 络 的 分 析 方 法 ， 这 在 前 面 入 侵 检 测 的 分 类 中 已 经 提 到 。 下 面 只 对 统 计 分 析 的 模 型 做 以 介 绍 。 入 侵 检 测 入 侵 检 测 5 种 统 计 模 型 为 ： 种 统 计 模 型 为 ： 操 作 模 型 ： 该 模 型 假 设 异 常 可 通 过 测 量 结 果 与 一 些 固 定 指 标 相 比 较 得 到 ， 固 定 指 标 可 以 根 据 经 验 值 或 一 段 时 间 内 的 统 计 平 均 得 到 ， 举 例 来 说 ， 在 短 时 间 内 多 次 失 败 的 登 录 很 有 可 能 是 尝 试 口 令 攻 击 ； 方 差 ： 计 算 参 数 的 方 差 并 设 定 其 置 信 区 间 ， 当 测 量 值 超 过 置 信 区 间 的 范 围 时 表 明 有 可 能 是 异 常 ； 多 元 模 型 ： 即 操 作 模 型 的 扩 展 ， 它 通 过 同 时 分 析 多 个 参 数 实 现 检 测 ； 马 尔 柯 夫 过 程 模 型 ： 即 将 每 种 类 型 的 事 件 定 义 为 系 统 状 态 ， 用 状 态 转 移 矩 阵 来 表 示 状 态 的 变 化 ， 当 一 个 事 件 发 生 时 ， 如 果 在 状 态 矩 阵 中 该 转 移 的 概 率 较 小 则 该 可 能 是 异 常 事 件 ； 时 间 序 列 分 析 ： 即 将 事 件 计 数 与 资 源 耗 用 根 据 时 间 排 成 序 列 ， 如 果 一 个 新 事 件 在 该 时 间 发 生 的 概 率 较 低 ， 则 该 事 件 可 能 是 入 侵 。 统 计 方 法 的 最 大 优 点 是 它 可 以 “ 学 习 ” 用 户 的 使 用 习 惯 ， 从 而 具 有 较 高 检 出 率 与 可 用 性 。 但 是 它 的 “ 学 习 ” 能 力 有 时 也 会 给 入 侵 者 以 机 会 ， 因 为 入 侵 者 可 以 通 过 逐 步 “ 训 练 ” 使 入 侵 事 件 符 合 正 常 操 作 的 统 计 规 律 ， 从 而 透 过 入 侵 检 测 系 统 。 3 ） 完 整 性 分 析 ） 完 整 性 分 析 完 整 性 分 析 主 要 关 注 某 个 文 件 或 对 象 是 否 被 更 改 ， 这 经 常 包 括 文 件 和 目 录 的 内 容 及 属 性 ， 它 在 发 现 被 修 改 成 类 似 特 洛 伊 木 马 的 应 用 程 序 方 面 特 别 有 效 。 其 优 点 是 不 管 模 式 匹 配 方 法 和 统 计 分 析 方 法 能 否 发 现 入 侵 ， 只 要 是 有 入 侵 行 为 导 致 了 文 件 或 其 他 对 象 的 任 何 改 变 ， 它 都 能 够 发 现 。 缺 点 是 一 般 以 批 处 理 方 式 实 现 ， 不 用 于 实 时 响 应 。 I D S 的 用 途 的 用 途 从 宏 观 上 讲 ， 入 侵 检 测 功 能 具 有 以 下 功 能 ： 监 督 并 分 析 用 户 和 系 统 的 活 动 、 检 查 系 统 配 置 和 漏 洞 、 检 查 关 键 系 统 和 数 据 文 件 的 完 整 性 、 识 别 代 表 已 知 攻 击 的 活 动 模 式 、 对 反 常 行 为 模 式 的 统 计 分 析 、 对 操 作 系 统 的 校 验 管 理 ， 判 断 是 否 有 破 坏 安 全 的 用 户 活 动 等 。 入 侵 检 测 系 评 估 统 和 漏 洞 工 具 的 优 点 在 于 ： 提 高 了 信 息 安 全 体 系 其 他 部 分 的 完 整 性 、 提 高 了 系 统 的 监 察 能 力 ； 能 够 跟 踪 用 户 从 进 入 到 退 出 的 所 有 活 动 ； 能 够 识 别 并 报 告 数 据 文 件 的 改 动 、 系 统 配 置 的 错 误 ， 并 在 必 要 时 予 以 更 正 ； 能 够 识 别 特 定 类 型 的 攻 击 ， 并 向 相 应 人 员 报 警 ， 以 做 出 防 御 反 应 ； 系 统 管 理 人 员 可 以 不 断 升 级 入 侵 检 测 系 统 以 提 供 最 有 效 的 安 全 保 障 、 允 许 非 专 家 人 员 从 事 系 统 安 全 工 作 ， 为 信 息 安 全 策 略 的 创 建 提 供 指 导 。 具 体 来 说 ，   入 侵 检 测 系 统 的 主 要 功 能 有 ： （ 1 ） 监 测 并 分 析 用 户 和 系 统 的 活 动 ； （ 2 ） 核 查 系 统 配 置 和 漏 洞 ； （ 3 ） 评 估 系 统 关 键 资 源 和 数 据 文 件 的 完 整 性 ； （ 4 ） 识 别 已 知 的 攻 击 行 为 ； （ 5 ） 统 计 分 析 异 常 行 为 ； （ 6 ） 操 作 系 统 日 志 管 理 ， 并 识 别 违 反 安 全 策 略 的 用 户 活 动 。 注 意 ！ 注 意 ！ 但 我 们 必 须 认 识 到 目 前 的 I D S 产 品 并 不 是 无 所 不 能 的 ， 它 们 无 法 弥 补 力 量 薄 弱 的 识 别 和 确 认 机 制 : 在 无 人 干 预 的 情 况 下 ， 无 法 执 行 对 攻 击 的 检 查 ； 无 法 精 确 体 现 公 司 安 全 策 略 的 内 容 ； 不 能 弥 补 网 络 协 议 的 漏 洞 ； 不 能 解 决 系 统 所 提 供 信 息 不 完 整 所 带 来 的 问 题 ； 不 能 分 析 网 络 繁 忙 时 的 所 有 事 务 ； 不 能 完 全 地 解 决 对 数 据 包 级 的 攻 击 ； 也 不 能 很 快 地 适 应 不 断 更 新 的 网 络 硬 件 及 软 件 。 入 侵 检 测 作 为 一 种 积 极 主 动 地 安 全 防 护 技 术 ， 提 供 了 对 内 部 攻 击 、 外 部 攻 击 和 误 操 作 的 实 时 保 护 ， 能 够 在 网 络 系 统 受 到 危 害 之 前 拦 截 和 响 应 入 侵 。 从 网 络 安 全 立 体 纵 深 、 多 层 次 防 御 的 角 度 出 发 ， 入 侵 检 测 理 已 经 受 到 人 们 的 高 度 重 视 ， 这 从 国 外
入 侵 检 测 产 品 市 场 的 蓬 勃 发 展 就 可 以 看 出 。 在 国 内 ， 随 着 上 网 的 关 键 部 门 、 关 键 实 验 样 品 （ 缺 乏 升 级 和 服 务 ） 阶 段 ， 或 者 是 仅 仅 由 防 火 墙 中 集 成 较 为 初 级 的 入 侵 检 测 模 块 。 可 见 入 侵 检 测 产 品 仍 具 有 较 大 的 发 展 空 间 ， 从 技 术 途 径 来 讲 ， 我 们 认 为 ， 除 了 完 善 常 规 的 、 传 统 的 技 术 （ 模 式 识 别 和 完 整 性 检 测 ） 外 ， 应 重 点 加 强 统 计 分 析 的 相 关 技 术 研 究 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理