10-入侵检测技术_CISP.pdfVIP

信息安全技术之 入侵检测技术 内容概要 • IDS综述 • IDS技术分析 • IDS应用指南 • IDS实例分析 • 问题讨论 A. IDS综述 IDS综述 • 引子 • 概念与术语 • 起源与发展历程 • 现状与将来 PDR模型 • PDR模型是近10年来，在信息安全领域影响最为广泛 和深远的四个模型之一。(RM/CIA/ITA) 安全— — 及时的检测和处理 Pt 来自Internet 的网络攻击 时间 Dt Rt 什么是安全？ Pt Dt + Rt 银行金库的安全是什么决定的？ • 防护：金库的墙、门、锁 • 如果我们从抢金库人的角度看。作为入侵者不惧 怕墙和门，墙和门是死的，可以钻可以炸。 • 检测：保安、保安监控系统 • 响应：报警之后增援的警察和武警 – 入侵者惧怕的是检测和响应。 金库的墙、门、锁实际上提供了一个防护时间。在 防护时间内，可以及时地发现入侵行为并且做出足 够的响应，那么被保护的金库就是安全的。 安全的相对性 Pt 相对安全 相对不安全 时间 Dt Rt IDS 能做什么？ • 监控网络和系统 • 发现入侵企图或异常现象 • 实时报警 • 主动响应 常见安全产品 • 身份认证 • 加密 • 防病毒 • 防火墙 • 入侵检测 为什么需要IDS ？ • 关于防火墙 – 网络边界的设备 – 自身可以被攻破 – 对某些攻击保护很弱 – 不是所有的威胁来自防火墙外部 • 入侵很容易 – 入侵教程随处可见 – 各种工具唾手可得 IDS概念与术语 • 攻击 • 事件 • 入侵 • 入侵检测 • 入侵检测系统 • 误报与误报率 • 漏报与漏报率 攻击与事件 • 攻击 • 攻击者利用工具，出于某种动机，对目标系统采 取的行动，其后果是获取/破坏/篡改目标系统的 数据或访问权限 • 事件 •在攻击过程中发生的可以识别的行动或行动造成 的后果；在IDS中，事件常常具有一系列属性和 详细的描述信息可供用户查看。 入侵、入侵检测与IDS • 入侵 • 对信息系统的非授权访问及（或）未经许可在信 息系统中进行操作 • 入侵检测 • 对企图入侵、正在进行的入侵或已经发生的入侵 进行识别的过程 • 入侵检测系统（IDS） • 用于辅助进行入侵检测或者独立进行入侵检测的 自动化工具