网络与信息安全网络安全（二）.pptVIP

STAT的优缺点 优点： 状态转移图提供了一种针对入侵渗透模式的直观的、高层次的、与审计记录无关的表示方法 用状态转移法，可以描述出构成特定攻击模式的特征行为序列 状态转移图给出了保证攻击成功的特征行为的最小子集，从而使得检测系统可以适应相同入侵模式的不同表现形式 可使攻击行为在到达入侵状态之前就被检测到，从而采取措施阻止攻击行为 可以检测协同攻击和慢速攻击 缺点： 状态(assertions)和特征行为需要手工编码 Assertions和特征用于表达复杂细致的入侵模式时可能无法表达 STAT只是一个框架，需要具体的实现或者与其他系统协同工作 STAT的速度相对比较慢 STAT——USTAT USTAT：用于UNIX系统的STAT实现 包括四部分 预处理器：对数据进行过滤，并转换为与系统日志文件无关的格式 知识库：包括状态描述库和规则库。规则库用于存放已知攻击类型所对应的状态转移规则；状态描述库存放系统在遭受不同类型攻击下所出现的状态 推理引擎：根据预处理器给出的信息和状态描述库中定义的系统状态，判断状态的变化并更新状态信息。一旦发现可疑的安全威胁，通知决策引擎 决策引擎：将安全事件通知管理员，或者采取预先定义的自动响应措施 基于STAT的IDS USTAT NSTAT 把USTAT扩展到多台主机，从而可以检测到针对多台共享同一个网络文件系统的主机的攻击 NetSTAT 是一个基