第网络防御技术.pptVIP

* 华东理工大学计算机科学与工程系 * * 基于网络的入侵检测系统成为安全策略实施中的重要组件的原因如下所述。 实施成本较低：一个网段上只需安装一个或几个基于网络的入侵检测系统，便可以监测整个网段的情况。且由于往往由单独的计算机做这种应用，不会给运行关键业务的主机带来负载上的增加。 全面而准确的识别攻击特征：基于网络的入侵检测系统检查所有流经网络的数据包，从而发现恶意或可疑的行动迹象。例如，许多拒绝服务攻击（DoS）和teardrop攻击数据包只能在它们经验网络时，通过检查数据包头才能发现。而基于主机的入侵检测系统无法做到这一点。 基于网络的入侵检测系统还可以检查数据包有效负载的内容，查找用于特定攻击的指令或语法。而基于主机的入侵检测系统不能识别数据包中有效负载所包含的攻击信息。 攻击者不易转移证据：基于网络的入侵检测系统利用对正在发生的网络通信进行实时攻击的检测，所以攻击者无法转移证据。被捕获的数据不仅包含攻击的方法，而且还包含可识别的黑客身份及对其进行起诉的信息。 实时检测和响应：基于网络的入侵检测系统可以在攻击发生的同时将其检测出来，并做出实时的响应。例如，当基于网络的入侵检测系统发现一个基于TCP的对网络进行的DoS时，可以通过该系统发出TCP复位信号，在该攻击对目标主机造成破坏前，将其中断。而基于主机的系统只有在可疑的登录信息被记录下来以后才能识别攻击并做出反应。而这时关键系统可能早就遭到了破坏，或者运行基于主机的入侵检测系统的主机已被摧毁。 检测未被成功的攻击和不良的意图：基于网络的入侵检测系统能获得许多有价值的数据，以判别不良的意图。即便防火墙可能正在拒绝这些尝试，位于防火墙之外的基于网络的入侵检测系统也可以查出躲在防火墙后的攻击意图。基于主机的入侵检测系统无法跟踪未攻击到防火墙内主机的未遂攻击，而这些丢失的信息对于评估和优化安全策略是至关重要的。 操作系统无关性：基于网络的入侵检测系统作为安全检测资源，与主机的操作系统无关。与之相比，基于主机的入侵检测系统必须在特定的、没有遭到破坏的操作系统中才能正常工作。 第3章 网络防御技术 指导教师:杨建国 2013年8月10日 3.1 安全架构 3.2 密码技术 3.3 防火墙技术 3.4 杀毒技术 3.5 入侵检测技术 3.6 身份认证技术 3.7 VPN技术 3.8 反侦查技术 3.9 蜜罐技术 第3章 网络防御技术 3.10 可信计算 3.11 访问控制机制 3.12 计算机取证 3.13 数据备份与恢复 3.14 服务器安全防御 3.15 内网安全管理 3.16 PKI网络安全协议 3.17 信息安全评估 3.18 网络安全方案设计 3.5 入侵检测技术 * 网络入侵与防范讲义 * 11.4 入侵检测系统 11.4.1 入侵检测系统概述 11.4.2 基于主机的入侵检测系统 11.4.3 基于网络的入侵检测系统 11.4.4 典型的入侵检测产品介绍 * 网络入侵与防范讲义 * 11.4.1 入侵检测系统概述 入侵检测系统(Intrusion Detection Syetem，简称IDS)，是一种能对潜在的入侵行为作出记录和预测的智能化、自动化的软件或硬件系统。 入侵检测技术作为一种主动防御技术，是信息安全技术的重要组成部分，是传统计算机安全机制的重要补充。 入侵检测系统主要通过监控网络、系统的状态、行为以及系统的使用情况，来检测系统用户的越权使用以及系统外部的入侵者利用系统的安全缺陷对系统进行入侵的企图。 * 网络入侵与防范讲义 * 入侵检测系统概述（2） 当IDS发现入侵行为时，可以提取入侵的行为特征，从而编制安全规则并分发给防火墙，与防火墙联动阻断攻击行为的再次发生。 基于IDS和防火墙的保护方案见下页图所示。 * 网络入侵与防范讲义 * IDS与防火墙的安全联动 Host C Host D Host B Host A 受保护网络 Internet IDS 黑客 发起攻击 发送通知报文 验证报文并 采取措施 发送响应报文 识别出攻击行为 阻断连接或者报警等 防火墙 * 网络入侵与防范讲义 * 入侵检测系统概述（3） 入侵检测系统的组成主要有采集模块、分析模块和管理模块。 采集模块主要用来搜集数据，供入侵检测系统进行分析； 分析模块完成对数据的解析，给出怀疑值或作出判断； 管理模块主要功能是作决策和响应。 为了更好地完成入侵检测系统的功能，系统一般还有数据预处理模块、通信模块、响应模块和数据存储模块等。 根据数据来源的不同，入侵检测系统常被分为基于主机的入侵检测系统和基于网络的入侵检测系统。 * 网络入侵与防范讲义 * 11.4.2 基于主机的入侵检测系统 基于主机的入侵检测系统的数据源来自主机，如日志文件、审计记录等。基于主机的入侵检测系统的检测范