入侵检测技术ids.pdfVIP

入侵检测技术(IDS) •为什么要用IDS •IDS的作用 •IDS的实现方式 •IDS分析方式 •IDS的性能指标 •IDS的发展 防火墙 安全域1 安全域2 Host A Host B Host C Host D 两个安全域之间通 信流的唯一通道 Source Destination Permit Protocol Host A Host C Pass TCP Host B Host C Block UDP 根据访问控制规则决 定进出网络的行为 一种高级访问控制设备一种高级访问控制设备，，置于不同置于不同网络安全域网络安全域之间的一系列部件的组合之间的一系列部件的组合，，它是不同它是不同 网络安全域间通信流的网络安全域间通信流的唯一通道唯一通道，，能根据企业有关的安全政策能根据企业有关的安全政策控制控制 （（允许允许、、拒绝拒绝、、 监视监视、、记录记录））进出网络的访问行为进出网络的访问行为。。 防火墙的局限 Dir c:\ %c1%1c %c1%1c 防火墙的局限 v防火墙不能防止通向站点的后门。 v防火墙一般不提供对内部的保护。 v防火墙无法防范数据驱动型的攻击。 v防火墙不能防止用户由Internet上下载 被病毒感染的计算机程序或者将该类程 序附在电子邮件上传输。 确保网络的安全,就要对网络内部进行实时的 检测,这就需要IDS无时不在的防护！ 什么是入侵行为 入侵行为主要是指对系统资源的非 授权使用，它可以造成系统数据的丢失 和破坏、可以造成系统拒绝对合法用户 服务等危害。 什么是入侵检测系统 IDS（ ）就是入 侵检测系统，它通过抓取网络上的所有报 文，分析处理后，报告异常和重要的数据模 式和行为模式，使网络安全管理员清楚地了 解网络上发生的事件，并能够采取行动阻止 可能的破坏。 摄像机=探测引擎 后门 监控室=控制中心 Card KeyCard Key 保安=防火墙 形象地说，它就是网络摄象机，能够捕获并记录网络上的所有数据，同时它也是 智能摄象机，能够分析网络数据并提炼出可疑的、异常的网络数据，它还是X光 摄象机，能够穿透一些巧妙的伪装，抓住实际的内容。它还不仅仅只是摄象机， 还包括保安员的摄象机，能够对入侵行为自动地进行反击：阻断连接、关闭道路 （与防火墙联动）。 入侵检测系统的作用 在安全体系中，IDS是唯一一个通过数据和行为模式 判断其是否有效的系统，如下图所示，防火墙就象一 道门，它可以阻止一类人群的进入，但无法阻止同一 类人群中的破坏分子，也不能阻止内部的破坏分子； 访问控制系统可以不让低级权限的人做越权工作，但