入侵检测第四章1.pptVIP

第四章 网络陷阱技术 吴凡 制作 被动防御和主动防御 目前网络安全解决方案多数基于被动防御，存在一些不可避免的缺陷和不足，使得网络安全领域里仍存在许多漏洞和需要完善的问题。 为此，主动防御的概念被提出来。网络陷阱技术作为主动防御机制里一个重要实现手段，对更好的实现主动防御目标起了至关重要作用。 传统网络安全防御方式 传统网络安全防御方式也称被动防御方式，指通过检测入侵、检测日志信息等来发现网络系统中的攻击行为。其特点是遭受攻击后只能茫然等待下一次攻击到来，不能对攻击行为进行控制和反击。 传统网络安全防御技术主要代表是防火墙和入侵检测技术。 防火墙技术 防火墙是设置在被保护网络和外部网络之间的一道屏障，实现网络的安全保护，以防止发生不可预测的、潜在破坏性的侵入。防火墙本身具有较强的抗攻击能力，它是提供信息安全服务、实现网络和信息安全的基础设施。 防火墙的发展简史 第一代防火墙：采用了包过滤（Packet Filter）技术。 第二、三代防火墙：1989年，推出了电路层防火墙，和应用层防火墙的初步结构。 第四代防火墙：1992年，开发出了基于动态包过滤技术的第四代防火墙。 第五代防火墙：1998年，NAI公司推出了一种自适应代理技术，可以称之为第五代防火墙。 防火墙的发展简史 防火墙示意图 防火墙的实质 防火墙是内部网络与外部网络之间的安全防范系统。它使得内部网络与因特网之间或者与其它外部网络之间互相隔离、限制网络互访，用来保护内部网络。它通常安装在内部网络与外部网络的连接点上，内外网互通的数据流必须经过防火墙。 逻辑上：分离器、限制器、分析器 物理上：一套硬件和适当软件的组合 防火墙的主要功能 （1）防火墙是网络安全的屏障 （2）防火墙可以强化网络安全策略 （3）对网络存取和访问进行监控审计 （4）防止内部信息的外泄 防火墙的优点 1 可以作为网络安全策略的焦点 2 可以强化安全策略 3 可以有效记录网络活动 4 可以掩盖内部网络拓扑结构 5 为解决IP地址危机提供了可行方案 防火墙的主要缺陷 （1）防火墙防外不防内。 （2）防火墙难于管理和配置，易造成安全漏洞。 （3）很难为用户在防火墙内外提供一致的安全策略。 （4）防火墙只实现了粗粒度的访问控制。 （5） 防火墙不能防止数据驱动式攻击 防火墙基本准则 1 一切未被禁止的就是允许的 这时防火墙转发所有信息流，逐项屏蔽规则中禁止的服务。 2 一切未被允许的就是禁止的 这时防火墙封锁所有信息流，然后对符合开放规则的服务逐项开放。 防火墙的技术分类 1．包过滤防火墙 2．代理防火墙 3．复合型防火墙 包过滤防火墙 （1）数据包过滤技术的发展：静态包过滤、动态包过滤。 （2）包过滤的优点：不用改动应用程序、一个过滤路由器能协助保护整个网络、数据包过滤对用户透明、过滤路由器速度快、效率高。 包过滤防火墙 包过滤的缺点：不能彻底防止地址欺骗；一些应用协议不适合于数据包过滤；一些应用协议不适合于数据包过滤；正常的数据包过滤路由器无法执行某些安全策略；安全性较差 ；数据包工具存在很多局限性。 包过滤防火墙 静态和动态的包过滤防火墙 代理防火墙 代理防火墙的原理： 代理防火墙通过编程来弄清用户应用层的流量，并能在用户层和应用协议层间提供访问控制；而且，还可用来保持一个所有应用程序使用的记录。记录和控制所有进出流量的能力是应用层网关的主要优点之一。 代理防火墙 主要保存Internet上那些最常用和最近访问过的内容：在Web上，代理首先试图在本地寻找数据，如果没有，再到远程服务器上去查找。为用户提供了更快的访问速度，并且提高了网络安全性。 代理技术的优点 1）代理易于配置。 2）代理能生成各项记录。 3）代理能灵活、完全地控制进出流量、内容。 4）代理能过滤数据内容。 5）代理能为用户提供透明的加密机制。 6）代理可以方便地与其他安全手段集成。 代理技术的缺点 1）代理速度较路由器慢。 2）代理对用户不透明。 3）对于每项服务代理可能要求不同的服务器。 4）代理服务不能保证免受所有协议弱点的限制。 5）代理不能改进底层协议的安全性。 代理防火墙的工作方式 代理防火墙的工作层次 两种防火墙的对比 复合型防火墙 它将包过滤防火墙和代理服务结合在一起，从而实现网络安全性、性能和透明度优势互补。 目前的新技术不断被吸收到防火墙的设计中来。 屏蔽路由器防火墙 双穴主机网关防火墙 屏蔽主机网关防火墙 被屏蔽子网防火墙 入侵检测技术 入侵检测是防火墙的合理补充，帮助系统对付网络攻击，扩展了系统管理员的安全管理能力（包括安全审计、监视、进攻识别和响应），提高了信息安全基础结构的完整性。 它从计算机网络系统中的若干关键点收集信息，并分析这些