入侵检测系统设计考虑.pptVIP

* * * * * * * * * * * * * * * * * * * * * * 第9章 入侵检测系统的设计考虑 用户需求分析 系统安全设计原则 系统设计的生命周期 9.1 用户需求分析 需求定义或者需求分析是进行系统设计的第一步，是对后继过程产生最重要影响的阶段。 在需求定义的早期阶段，要注意保持需求定义的适当灵活性。 在实际开发中，通常采用开发需求文档来记录不同阶段内需求定义的变更情况。 9.1 用户需求分析 1. 检测功能需求 对于入侵检测系统而言，足够有力的检测功能是最基本的需求。 按照不同用户的检测目标要求分为不同的类型： 通常的用户需要对发生在外部的针对本地网络的攻击行为进行有效检测，此类用户需求以网络入侵检测技术为主。 安全保护等级要求高的内部网络环境中，对内部网络中用户的异常活动进行检测。 9.1 用户需求分析 1. 检测功能需求 对内部人员威胁的检测，通常要比检测来自外部的威胁更加困难。 将非法操作和一定范围内的合法操作区分开来，是检测内部威胁的最大需求。 首先，入侵检测系统应该能够追踪任何用户对系统内关键对象和资源的访问情况，并建立正常访问的行为模式。 其次，系统应该能够检测内部用户用来获取更高授权时所利用的常见漏洞发掘过程。 9.1 用户需求分析2. 响应需求 响应模块反映了一般用户具有的对所检测到的异常行为进行响应的基本需求。 用户通常最初对响应需求的期望值很高，设计者需要进一步分析自动响应需求所存在的潜在风险。 具体的响应需求包括： 自动注销用户账户。 在调查某个用户的可疑活动时，暂停该用户账户。 在调查过程中，降低用户的权限等级并限制访问范围等。 9.1 用户需求分析 3. 操作需求 操作需求定义了执行入侵检测工作的具体过程。 确定如何操作一个入侵检测系统将极大地影响系统部署的总体有效性。 不同的操作方式类型包含不同的操作需求。 具体的操作方式包括 后台操作、按需操作、预定操作、实时操作和全天候操作。 9.1 用户需求分析 3. 操作需求 ⑴ 后台操作需要入侵检测系统在后台自动地运行，而不需要人力干预。 ⑵ 按需操作也可以减少对外部资源的需求。 ⑶ 预定操作有利于在资源有限的情况下，执行资源密集型的工作任务。 ⑷实时操作在提供用户期望性能需求的同时，带来了很大的资源开销。 ⑸全天候操作主要是针对大型的网络基础设施不间断地实时地进行威胁检测和响应工作。 9.1 用户需求分析4. 平台范围需求 通常用户会从运行平台范围的角度提出自己的需求，例如： 入侵检测系统所能处理的网络协议类型 所能运行的操作系统平台类型 能够监控的计算机和应用程序范围等 平台范围需求通常描述了用户需要监控的目标网络组件类型。 例如，用户提出系统应该具备在Solaris和Windows 2000上的网络结点检测性能；或者是要求系统能够检测针对特定应用程序的攻击行为，包括Web站点和电子邮件服务器等。 9.1 用户需求分析5. 数据来源需求 数据来源的需求，即系统能够监控哪些输入的审计数据源。 不同行业内的信息系统拥有不同类型、种类繁多的审计数据源，并且各种审计数据源都具备不同的安全性能。 对于网络数据来源： 现在大多数的网络系统都建筑在TCP/IP协议之上 某些遗留网络，可能存在着其他的网络协议，例如X.25和令牌环网等。 其他的数据来源需求，可能包括能够分析防火墙日志信息、路由器日志，以及SNMP网管日志等的能力。 9.1 用户需求分析 6. 检测性能需求 不同类型的入侵检测技术各自具备自己的性能需求指标： 传统的基于网络入侵检测 性能指标：通常包括所能监控的网络带宽情况。 网络结点入侵检测 性能需求：主要是网络环境中各结点数据的关联分析性能。 基于主机的入侵检测 性能需求：主要来自于目标监控系统日志产生的速度以及系统处理审计记录的速度要求。 应用程序入侵检测是基于主机入侵检测的一个特例 性能需求：包括主机入侵检测的参数指标。 分布式的入侵检测系统 9.1 用户需求分析 6. 检测性能需求 对于分布式的入侵检测系统，要注意特有的性能需求情况。 首先，分布式入侵检测系统在控制台和检测组件通常会发生大量的双向通信流量，因此它们之间通信接口性能的好坏将会极大影响整个入侵检测系统的总体性能。 其次，不同的网络规模和监控要求会提出系统所能监控结点数目的性能需求，更加细化的指标是每个分析控制点能够同时管理多少个检测组件的数目需求。 9.1 用户需求分析7. 可伸缩性需求 分布式入侵检测系统的性能要求反映了可伸缩性需求的一个方面。 另一个方面是系统部署和操作方面的可伸缩性要求。 9.1 用户需求分析 8. 取证和诉讼需求 如果要把入侵检测系统用于法律起诉用