[计算机软件及应用]8IDS入侵检测系统.pptVIP

异常检测 前提：入侵是异常行为的子集 用户轮廓（Profile）：通常定义为各种行为参数和阈值的集合。用于描述正常行为范围 过程 特点：误报率高、漏报率低 监控 量化 判定 修改 比对 异常检测 异常检测的效率和准确性取决于用户轮廓的完备性和监控的频率 不需要对任何入侵行为进行定义，能有效的检测未知的入侵行为 系统能针对用户行为的改变进行自我调整和优化，但随着检测模型的逐步精确，异常检测会消耗系统更多的资源 误用检测 前提：所有的入侵行为都有可被检测到的特征 攻击特征库：当监测的用户或系统行为与库中的记录相匹配时，系统就认为这种行为是入侵 过程 特点：误报率低、漏报率高 监控 特征提取 判定 匹配 误用检测 误用检测的效率和准确性取决于攻击特征库完整性和对攻击行为特征提取的准确性 采用模式匹配，能明显降低误报率，但是漏报率较高。攻击特征的细微变化，可能导致系统漏报。 按系统结构分类 集中式：系统的各个模块，包括数据的收集分析都集中在一台服务器上运行。 分布式：系统的各个模块，分布在不用的计算机和设备上 按数据来源分类 基于主机的入侵检测系统（HIDS） 系统获取数据主要来源于系统所运行的主机，保护的目标也是系统所运行的主机。 基于网络的入侵检测系统（NIDS）：系统获取的数据是网络传输的数据包，保护的是整个网络的正常运行。 主机IDS实现 收集 过程 ID:2092 用户名: Administrator 登录 ID: (0x0,0x141FA) 分析处理 文 进 日 注册……. 件 程 志 表…….. 结果 基于网络的IDS Internet NIDS 网络服务器1 数据包=包头信息+有效数据部分 客户端 网络服务器2 X 检测内容： 包头信息+有效数据部分 HIDS特点 监视和分析主机的审计日志和系统日志、应用日志、系统调用、端口调用 监控主机上特定用户活动、系统运行情况 精确地判断攻击行为是否成功 能够检测到NIDS无法检测的攻击 能适用加密的和交换的环境 主要用于保护运行关键应用的服务器 适合于检测内部人员的误用或经过某些手段避开传统中的活动检测方法，而渗透到内部网络 不需要额外的硬件设备 消耗被保护主机的资源 安全性受到宿主操作系统的限制 NIDS 在共享网段上对数据进行侦听采集数据 不受异种主机数据格式的限制 网络IDS系统是一个独立的网络设备，可以做到对黑客透明，隐蔽性强 不对网络中的主机增加负担 可以与防火墙联动，在攻击预警的同时，还可以有效的阻止入侵和破坏 很难适应高速的网络 非共享网段数据如何获取 对加密数据无可奈何 NIDS和HIDS的对比 网络IDS 主机IDS 检测速度快 相对较慢 视野更宽 视野集中 隐蔽性好 保护更周密 不消耗主机资源 消耗主机资源 按实效性分类 离线入侵检测系统：非实时工作，在行为发生后，对产生的数据进行分析 在线入侵检测系统：实时工作，在数据产生的同时或或发生改变时进行分析 * NIDS 部署方式 HUB Monitored Servers Console IDS Sensors L4或L7 交换设备 * IDS部署示意 Internet IDS 1 IDS 2 IDS 3 IDS 4 子网 A 子网 B 交换机 带主机IDS感应器的服务器 服务器 含HIDS的网络体系结构 * IDS 工作原理－NIDS抓包 从链路层抓包 分析数据包 模式匹配 Ethernet IP TCP Ethernet IP TCP 协议分析 HTTP Unicode XML * IDS 产品 免费产品 Snort (http:// ) 国内市场上的IDS厂商 启明星辰 安氏 绿盟 金诺 瑞星等 国外的IDS产品 CyberCop Monitor, NAI Dragon Sensor, Enterasys eTrust ID, CA NetProwler, Symantec NetRanger, Cisco NID-100/200, NFR Se