入侵檢測技術重點總結
1.黑客:早先對計算機的非授權訪問稱為“破解”,而hacking(俗稱“黑”)則指那些熟練
使用計算機的高手對計算機技術的運用,這些計算機高手稱為“黑客”。隨著個人計算
機及網絡的出現(xiàn),“黑客”變成一個貶義詞,通常指那些非法侵入他人計算機的人。2.入侵檢測(intrusiondetection):就是對入侵行為的發(fā)覺,它通過從計算機網絡或計算機
系統(tǒng)中的若干關鍵點收集信息,并對其進行分析,從中發(fā)現(xiàn)網絡或者系統(tǒng)中是否有違反安全策略的行為和被攻擊的跡象。3.入侵檢測系統(tǒng)的六個作用:1)、通過檢測和記錄網絡中的安全違規(guī)行為,懲罰網絡犯罪,
防止網絡入侵事件的發(fā)生。2)、檢測其他安全措施未能阻止的攻擊或安全違規(guī)行為。3)、檢測黑客在攻擊前的探測行為,預先給管理員發(fā)出警報。4)、報告計算機系統(tǒng)或網絡中存在的安全威脅。5)、提供有關攻擊的信息,幫助管理員診斷網絡中存在的安全弱點,利于其進行修補。6)、在大型、復雜的計算機網絡中布置入侵檢測系統(tǒng),可以顯著提高網絡安全管理的質量。
4.tP>tD+tRd的含義:tp:保護安全目標設置各種保護后的防護時間。tD:從入侵者開始發(fā)動入
侵開始,系統(tǒng)能夠檢測到入侵行為所花費的時間。tR:從發(fā)現(xiàn)入侵行為開始,系統(tǒng)能夠做出足夠的響應,將系統(tǒng)調整到正常狀態(tài)的時間。公式的含義:防護時間大于檢測時間加上響應時間,那么在入侵危害安全目標之前就能檢測到并及時采取防護措施。
5.入侵檢測原理的四個階段:數(shù)據(jù)收集、數(shù)據(jù)處理,數(shù)據(jù)分析,響應處理。
6.攻擊產生的原因:信息系統(tǒng)的漏洞是產生攻擊的根本原因。7.誘發(fā)入侵攻擊的主要原因:信息系統(tǒng)本身的漏洞或脆弱性。
8.漏洞的概念:漏洞是在硬件、軟件、協(xié)議的具體實現(xiàn)或系統(tǒng)安全策略上存在的缺陷,它
是可以使攻擊者能夠在未授權的情況下訪問或破壞系統(tǒng)。漏洞會影響到很大范圍內的軟件及硬件設備,包括操作系統(tǒng)本身及其支撐軟件、網絡客戶和服務器軟件、網絡路由和安全防火墻等。漏洞是與時間緊密相關的,,一般是程序員編程時的疏忽或者考慮不周導致的。
9.漏洞的具體表現(xiàn):存儲介質不安全,數(shù)據(jù)的可訪問性,信息的聚生性,保密的困難性,
介質的剩磁效應,電磁的泄漏性,通信網絡的脆弱性,軟件的漏洞。10.漏洞iongde分類(按被利用的方式):物理接觸、主機模式、客戶機模式、中間人模式。11.入侵檢測系統(tǒng)的基本原理主要分四個階段:數(shù)據(jù)收集、數(shù)據(jù)處理、數(shù)據(jù)分析、響應處
理。
12.常用的5種檢測模型:操作模型、方差模型、多元模型、馬爾柯夫過程模型、時間序列
分析模型。
13.信息系統(tǒng)面臨的三種威脅:非人為因素和自然力造成的數(shù)據(jù)丟失、設備失效、線路阻斷;
人為但屬于操作人員無意的失誤造成的數(shù)據(jù)丟失;來自外部和內部人員的惡意攻擊和入侵。
14.攻擊的四個步驟:攻擊者都是先隱藏自己;再踩點或預攻擊探測,檢測目標機器的各種
屬性和具備的被攻擊條件,然后采取相應的攻擊行為,達到自己的目的,最后攻擊者會清除痕跡刪除自己的行為日志。
Ping掃描:ping是一個DOS命令,它的用途是檢測網絡的連通狀況和分析網絡速度。
端口掃描:端口掃描時一種用來查找網絡主機開放端口的方法,正確的使用端口掃描,能夠起到防止端口攻擊的作用。
操作系統(tǒng)識別掃描:黑客入侵過程的關鍵環(huán)節(jié)是操作系統(tǒng)的識別與掃描。
漏洞掃描:主要是查找操作系統(tǒng)或網絡當中存在什么樣的漏洞,并給出詳細漏洞報告,引導用戶到相關站點下載最新系統(tǒng)漏洞補貼程序,確保系統(tǒng)永遠處在最安全的狀態(tài)下,以減少被攻擊的可能性。1.欺騙攻擊的類型:IP、ARP、DNS、源路由、URL2.拒絕服務攻擊:攻擊者想辦法讓目標主機停止提供服務或資源訪問,它是黑客常用的攻
擊手段之一。
3.拒絕服務攻擊的原理:SYN洪流攻擊,IP欺騙拒絕服務攻擊,UDP洪流攻擊,ping洪
流攻擊,淚滴攻擊,Land攻擊,Smurf攻擊,F(xiàn)raggle攻擊。
4.數(shù)據(jù)庫攻擊:危害最大的屬于SQL注入式攻擊。源于英文:SQLInjectionAttack,就其
本質而言,SQL注入式攻擊利用的工具是SQL的語法,針對的是應用程序開發(fā)者編程過程中的漏洞。當攻擊者能夠操作數(shù)據(jù),往應用程序中插入一些SQL語句時,SQL注入式攻擊就發(fā)生了。
5.木馬攻擊:特洛伊木馬本質上只是一種遠程管理工具,而且本身不帶傷害性,也沒有感
染力,所以原則上不能成為病毒。特洛伊木馬之所以被視為病毒是因為如果有人不正當?shù)氖褂,其破壞力可以比病毒更強。木馬是一種基于遠程控制的黑客工具,具有隱蔽性和非授權性的特點!氨印钡拈_放端口是7626.
6.入侵檢測系統(tǒng)模型分為3個模塊:信息收集模塊、信息分析模塊、報警與相應模塊7.入侵檢測利用的信息來源:系統(tǒng)和網絡日志文件;目錄和文件中不期望的改變;程序執(zhí)
行中的不期望行為;物理形式的入侵。
8.信息分析的四種方法:模式匹配;統(tǒng)計分析;完整性分析;數(shù)據(jù)流分析。
9.蜜罐技術:蜜罐是一個安全程序,設計用來觀測入侵者如何探測并最終入侵系統(tǒng),其中
包含一些并不威脅公司機密的數(shù)據(jù)或應用程序,同時對于入侵者來說又具有很大誘惑力,它安裝在網絡上的一臺專用的計算機上,同時通過一些特殊配置,使該計算機看起來像是一個“有價值”的目標,以引誘潛在的入侵者并捕獲他們。
10.蜜網技術:蜜網是一種專門設計用來讓人攻擊的網絡,一旦被入侵者所攻破,入侵者的
一切信息、工具等都將被用來分析和學習,其想法和蜜罐相似,但兩者之間還是有些不同。
11.誤用入侵檢測的思想是:如果所有的入侵行為和手段(及其變種)都能夠表達為一種模
式或特征,那么所有已知的入侵方法就可以用匹配的方法來發(fā)現(xiàn)。其難點在于如何設計模式,使其既表達入侵又不會將正常的活動包含起來。
12.誤用入侵檢測系統(tǒng)的類型:專家系統(tǒng),模型推理系統(tǒng),模式匹配系統(tǒng),狀態(tài)轉換分析系
統(tǒng)。
13.異常入侵檢測:是與誤用入侵檢測技術相對應的另一種入侵檢測技術。基于異常入侵檢
測技術的入侵檢測系統(tǒng)首先總結正常操作應該具有的特征,如CPU利用率、緩存剩余空間、用戶使用計算機的習慣等,在后續(xù)的檢測過程中對操作進行監(jiān)視,一旦發(fā)現(xiàn)偏離正常統(tǒng)計學意義上的操作模式,進行報警。
14.典型的3種威脅模型:外部入侵、內部滲透、不當行為
15.異常入侵檢測方法:統(tǒng)計分析、模式預測、數(shù)據(jù)挖掘、神經網絡、免疫系統(tǒng)、特征選擇、
貝葉斯推理、貝葉斯網絡、貝葉斯聚類等9種方法。16.當前模式匹配問題屬于串處理(stringprocessing)和模式組合匹配(combinatorialpattern
matching)
精確模式串匹配算法檢測符號序列的方式主要分為3種模式:前綴模式、后綴模式、結合模式。
前綴匹配模式KMP(Knuth-Morris-Pratt)。后綴模式主要算法:單串匹配的Boyer-Moore算法和多串匹配的Commentz-Walter算法、Wu-Manber算法。結合模式:BDM(BackwardDAWGMatching)、BOM(BachwardOracleMatching)、SBDM(SetBackwardDAWGMatching)、SBOM(SetBackwardOracleMatching)1.近似模式串匹配算法求解的四種途徑:動態(tài)規(guī)劃法、基于自動機的方法、位并行方法、
過濾篩選法。
2.注意:從理論上講,復雜度低的算法的實現(xiàn)性能可能會低于復雜度高的算法。
3.串匹配算法的四種改進方法:基于自動機算法的改進、基于跳躍算法的改進、基于數(shù)值
型算法的改進、基于編碼算法的改進。
4.基于主機的入侵檢測系統(tǒng)如何檢測入侵?通過監(jiān)視和分析主機的審計日志檢測入侵,
審計和日志功能對于系統(tǒng)來說是非常重要的,可以把感興趣的造作都記錄下來,供分析和檢查。日志是使系統(tǒng)順利運行的重要保障。標準的日志功能不能自動過濾和檢查日志記錄,并提供系統(tǒng)管理員所需要的信息。
5.WindowsNT的日志文件分為3類:系統(tǒng)日志、應用程序日志、安全日志。
6.在WindowsXP操作系統(tǒng)里有Ineternet連接防火墻(ICF),它的日志文件分
為2類:ICF審核通過的IP數(shù)據(jù)包,ICF拋棄的IP數(shù)據(jù)包。
7.WindowsXP日志文件存放在C:/WINDOWS目錄下,均以.log為文件的擴展名,
其中最重要的一個文件名就是pfirewall.log.8.UNIT采用Syslog工具實現(xiàn)日志功能。
9.入侵特征預處理:系統(tǒng)收集到的原始數(shù)據(jù)非常龐大,包含許多無用的信息,
格式也各不相同,無法直接輸入入侵檢測系統(tǒng)?梢圆捎萌鏟erl腳本等格式化原始數(shù)據(jù),并進一步將其歸一化為服從均值為0、標準差為1的實數(shù),形成一個18維的樣本矢量,作為入侵檢測的輸入。根據(jù)目的不同,這些樣本數(shù)據(jù)可分為訓練樣本、校驗樣本、測試樣本3種,其中訓練樣本和校驗樣本是用于確定最佳模式分類器,測試樣本是在工作狀態(tài)下的待檢測數(shù)據(jù)。10.基于主機的入侵系統(tǒng)的優(yōu)點:基于主機的入侵系統(tǒng)對分析“可能性的攻擊行
為”非常有用;誤報率通常低于基于網絡的入侵檢測系統(tǒng),這是因為檢測在主機上運行的命令序列比檢測網絡數(shù)據(jù)流更簡單,系統(tǒng)的復雜性也降低的多;可部署在那些不需要廣泛的入侵檢測、傳感器和控制臺之間的通信寬帶不足的場合。
11.基于主機的入侵系統(tǒng)的缺點:①需要安裝在被保護的主機上②它依賴于服務
器固定有的日志與監(jiān)控能力③全面部署代價比較高④只監(jiān)控本主機,根本不監(jiān)控網絡上的情況。
12.基于網絡的入侵檢測系統(tǒng)(NIDS):也稱硬件入侵檢測系統(tǒng),放置在比較重
要的網絡段,不停地監(jiān)視網絡段中的各種數(shù)據(jù)包,對每一個數(shù)據(jù)包或可疑的數(shù)據(jù)包進行特征分析;诰W絡的入侵檢測系統(tǒng)是指監(jiān)測整個網絡流量的系統(tǒng)。
13.網卡的兩種最常用的用途:1、普通模式:受數(shù)據(jù)包里面的MAC地址決定,
數(shù)據(jù)被發(fā)送到目的主機2、混雜模式:所有可以被檢測到的信息均被主機接收。
14.WinPcap是BPF模型LibPcap函數(shù)庫在Windows平臺下包捕獲和網絡狀態(tài)分
析的一種體系結構,這個體系結構是由一個核心的包過濾器、一個底層的動態(tài)鏈接庫(Packet.dll)和一個高層的獨立于系統(tǒng)的函數(shù)庫(LibPcap)組成。15.網卡的4種工作模式:廣播模式、多播傳送、直接模式、混雜模式。16.基于網絡的入侵檢測系統(tǒng)的優(yōu)點:成本低、檢測基于主機的系統(tǒng)漏掉的攻擊、
攻擊者不易轉移數(shù)據(jù)、實時監(jiān)測和響應、檢測未成功的攻擊和不良意圖、操作系統(tǒng)無關性。
17.基于網絡的入侵檢測系統(tǒng)的缺點:①只檢測它直接連接的網絡短段得通信,不能檢測其他網絡段得包②為了性能目標通常采用特征檢測方法,可以檢測出普通的一些攻擊,很難實現(xiàn)一些復雜的需要大量計算和分析時間的攻擊檢測③可能會將大量的數(shù)據(jù)傳回分析系統(tǒng)中④處理加密的會話過程比較困難。
18.為了提高系統(tǒng)對新型變種攻擊的適應性,用反向傳播(BackPropagation,BP)
人工神經網絡技術構造異常入侵分析器。
19.對BP神經網絡實現(xiàn)分類模型時要考慮的問題:中間層(隱含層)數(shù)的選取、
輸入層和輸出層維數(shù)、隱含層神經元數(shù)、權重初始化、訓練樣本的選取20.比較常用的數(shù)據(jù)挖掘算法:分類算法、關聯(lián)規(guī)則挖掘算法、序列模式挖掘算
法。
21.協(xié)議分析是新一代入侵檢測系統(tǒng)探測攻擊手法的主要技術,他利用網絡協(xié)議
的高度規(guī)則性快速探測攻擊的存在,它的優(yōu)勢在于完整的協(xié)議分析使誤報率降低,從而提高系統(tǒng)的性能。
22.基于協(xié)議分析的入侵檢測的方法將高速包捕獲、協(xié)議分析和命令解析結合起
來進行入侵檢測,是一種新的入侵檢測技術,它彌補了模式匹配技術的不足。23.基于入侵容忍的入侵檢測:入侵容忍是容錯方法在安全中的應用,這種方法
假設系統(tǒng)的弱點不能被完全消除,并且,外部攻擊者或內部惡意的攻擊者將識別和利用這種弱點獲得對系統(tǒng)的違法訪問。入侵容忍的目標是:在系統(tǒng)有些部分被入侵、性能下降的情況下還可以維持系統(tǒng)的正常服務。24.現(xiàn)在的入侵檢測系統(tǒng)大多數(shù)都采用單一體系結構,它的缺點:可擴展性較差、
單點失效、系統(tǒng)缺乏靈活性和可配置性。
25.分布式入侵檢測系統(tǒng)的特征:分布式部署、分布分析、安全產品的聯(lián)動、系
統(tǒng)管理平臺、可伸縮性和擴展性。
26.完整的入侵檢測系統(tǒng)包含的10個模塊:數(shù)據(jù)探測模塊、主體模塊、分析模
塊、關聯(lián)與融合模塊、控制模塊、決策模塊、協(xié)調與互動模塊、安全響應模塊、數(shù)據(jù)庫模塊、人機界面。
27.分布式入侵檢測體系的優(yōu)點:節(jié)點之間的相對獨立性、強調了安全部件的聯(lián)
動、可以實現(xiàn)全局預警、體系結構的靈活性和可擴展性。
28.推動基于主體系統(tǒng)的開放,主體技術必須解決的關鍵問題:主體間的通信、
主體內部構造、主體生命周期管理、主體的移動、主體的代理功能、主體的安全、身份和相關策略、系統(tǒng)的軟件開發(fā)方法。
29.入侵檢測系統(tǒng)主體分為三類:中心主體;分析主體;主機主體和網絡主體。30.知識查詢和操縱語言(KQML)的三大屬性:KQML獨立于網絡傳輸協(xié)議(如:
TCP、STMP);KQML獨立于內容語言(如:SQL、OWL、PROLOG、);KQLM獨立于內容實體。
31.美國國防高級研究計劃署(DARPA)提出的建議草案是:公共入侵檢測框架
(CIDF),最早由加州大學戴維斯分校安全試驗室主持起草工作。
32.IDWG(入侵檢測工作組)提出的草案包括3個部分:入侵檢測消息交換格
式(IDMEF)、入侵檢測交換協(xié)議(IDXP)、隧道輪廓(tunnelprofile)。
33.入侵檢測系統(tǒng)分維個基本組件:事件產生器、事件分析器、響應單元、事件
數(shù)據(jù)庫。
34.公共入侵檢測框(CIDF)的通信機制主要涉及消息的封裝和傳遞,共4個方
面:配對服務、路由、消息層、消息層處理。
35.入侵檢測系統(tǒng)的性能指標簡介:數(shù)據(jù)流量、每秒抓包數(shù)、每秒能監(jiān)控的網絡連接數(shù)、每秒能夠處理的事件數(shù)。
36.入侵檢測系統(tǒng)的測試步驟:創(chuàng)建或選擇一些測試工具或測試腳本;確定計算
機環(huán)境所要求的條件,比如背景計算機活動的級別;配置運行入侵檢測系統(tǒng);運行測試工具或測試腳本;分析入侵檢測系統(tǒng)的檢測結果。37.DIDS(DistributedInterusionDectionSystem)由美國加州大學Davis分校提出,
初衷是:將基于主機和基于網絡的入侵檢測系統(tǒng)結合起來,用來追蹤使用者在網絡中的移動和行為。DIDS采用“分布采集、集中處理”的策略。
38.CSM(CooperatingSecurityManagers)由美國TexasA&M大學提出,設計初
衷:克服DIDS集中分析的缺點,采用對等(PeertoPeer)機制來組織系統(tǒng)。39.AAFI(AutonomousAgentsforIntrusionDetection)由普渡大學設計的一種分布
式入侵檢測系統(tǒng),首次在入侵檢測中提出來自治代理的概念。
40.NetSTAT入侵檢測系統(tǒng)是由美國加州大學圣塔芭芭拉分校(UCSB)的可靠軟
件小組研究、開發(fā)的,該系統(tǒng)將STAT轉臺轉移技術擴展應用到網絡環(huán)境中。41.MAIDS(MobileAgentsIntrusionDetectionSystem)由美國Iowa州大學提出,它
提出來一整套的理論和實現(xiàn)技術,將“需求工程”(RequirementEngineering)和代理系統(tǒng)結構結合起來。
42.入侵檢測系統(tǒng)產品的特征:市場持續(xù)增長、一線廠商穩(wěn)定發(fā)展、二線廠商競
爭激烈、外國廠商表現(xiàn)平平、格局預測。
43.入侵檢測系統(tǒng)產品的易用性包括5個方面:界面易用、幫助易用、策略容易
編輯、日志報告靈活、報警事件優(yōu)化技術。
44.Snort是由MartinRoesch等人開發(fā)的,它具有實時數(shù)據(jù)流量分析和記錄IP
網絡數(shù)據(jù)包的能力,能夠進行協(xié)議分析,對內容進行搜索/匹配。
45.Snort的3種工作模式:嗅探器、包記錄器和網絡入侵檢測系統(tǒng)。在嗅探模
式下,Snort僅是從網絡上讀取包,并作為連續(xù)不斷的流顯示在終端上。在包記錄器模式下,Snort把包記錄到硬盤上。網絡入侵檢測系統(tǒng)模式是最復雜的,而且是可配置的;可以讓Snort分析網絡數(shù)據(jù)流以匹配用戶定義的一些規(guī)則,并根據(jù)檢測結果采取一定的動作。
46.Snort入侵檢測系統(tǒng)概述:Snort可以是一個基于libpcap的輕量級網絡入侵
檢測系統(tǒng);Snort采用一種易于擴展的模塊化體系結構;Snort是一個自由、簡潔、快速、易于擴展的入侵檢測系統(tǒng)。
47.Snort的各個組成部分:解碼器、檢測引擎、日志/報警系統(tǒng)。
48.現(xiàn)有入侵檢測技術的局限性:誤報和漏報的矛盾、隱私和安全的矛盾、被動
分析與主動分析的矛盾、海量信息與分析代價的矛盾、功能性和可管理性的矛盾、單一產品與復雜的網絡應用的矛盾。
49.入侵技術的發(fā)展與演化主要表現(xiàn)的方面:入侵或攻擊的綜合化與復雜化;入
侵主機的間接化;入侵或攻擊的規(guī)模擴大;入侵或攻擊技術的分布化;攻擊對象的轉移。
50.網絡入侵技術的發(fā)展經歷的3個階段:入侵檢測系統(tǒng)(IDS);入侵防御系統(tǒng)
(IPS);入侵管理系統(tǒng)(IMS)。
51.為了避免Apacap監(jiān)聽端口與web服務器默認的端口發(fā)生沖突,必須更改監(jiān)聽端口。方
法是:打開配置文件C:\\Apache2\\conf\\heepd.conf,將其中監(jiān)聽端口8080更改為不常用的端口50080。
擴展閱讀:入侵檢測技術總結
入侵是對信息系統(tǒng)的非授權訪問以及(或者)未經許可在信息系統(tǒng)中進行的操作。
入侵檢測(IntrusionDetection)是對企圖入侵、正在進行的入侵或者已經發(fā)生的入侵進行識別的過程。審計數(shù)據(jù)的獲取是主機入侵檢測技術的重要基石,是進行主機入侵檢測的信息來源。網絡數(shù)據(jù)包的截獲是基于網絡的入侵檢測技術的工作基石。
根據(jù)網絡類型的不同,網絡數(shù)據(jù)截獲可以通過兩種方法實現(xiàn):一種是利用以太網絡的廣播特性,另一種是通過設置路由器的監(jiān)聽端口或者是鏡像端口來實現(xiàn)。
主機入侵檢測所要進行的主要工作就是審計數(shù)據(jù)的預處理工作,包括映射、過濾和格式轉換等操作。預處理工作的必要性體現(xiàn)在一下幾個方面:①不同目標系統(tǒng)環(huán)境的審計記錄格式不相同,對其進行格式轉換的預處理操作形成標準記錄格式后,將有利于系統(tǒng)在不同目標平臺系統(tǒng)之間的移植;同時,有利于形成單一格式的標準審計記錄流,便于后繼的處理模塊進行檢測工作②對于審計系統(tǒng)而言,系統(tǒng)中所發(fā)生的所有可審計活動都會生成對應的審計記錄,因此對某個時間段而言,審計記錄的生成速度是非?斓,而其中往往大量充斥著對于入侵檢測而言無用的事件記錄。所以,需要對審計記錄流進行必要的映射和過濾等操作。
構建狀態(tài)轉移圖的過程大致分為如下步驟:①分析具體的攻擊行為,理解內在機理②確定攻擊過程中的關鍵行為點③確定初始狀態(tài)和最終狀態(tài)
④從最終狀態(tài)出發(fā),逐步確定所需的各個中間狀態(tài)及其應該滿足的狀態(tài)斷言組
文件完整性檢查的目的是檢查主機系統(tǒng)中文件系統(tǒng)的完整性,及時發(fā)現(xiàn)潛在的針對文件系統(tǒng)的無意或者惡意的更改。
檢測引擎的設計是基于網絡入侵檢測的核心問題。檢測引擎可分為兩大類:嵌入式規(guī)則檢測引擎和可編程的檢測引擎。類型優(yōu)點在小規(guī)則集合情況下,工作速度快檢測規(guī)則易于編寫、便于理解并且容易進行定制對新出現(xiàn)的攻擊手段,具備快速升級支持能力對低層的簡單腳本攻擊行為,具備良好的檢測性能對所發(fā)生的攻擊行為類型,具備確定性的解釋能力缺點隨著規(guī)則集合規(guī)模的擴大,檢查速度迅速下降各種變種的攻擊行為,易于造成過度膨脹的規(guī)則集合較易產生虛警信息僅能檢測到已知的攻擊類型,前提是該種攻擊類型的檢測特征已知在小規(guī)則集合情況下,初始的檢測速度相對較慢檢測規(guī)則比較復雜,難以編寫和理解并且通常是由特定廠商實現(xiàn)協(xié)議復雜性的擴展以及實際實現(xiàn)的多樣性,容易導致規(guī)則擴展的困難對發(fā)現(xiàn)的攻擊行為類型,缺乏明確的解釋信息特征分析協(xié)議分析具備良好的性能可擴展性,特別是在規(guī)則集合規(guī)模較大的情況下能夠發(fā)現(xiàn)最新的未知安全漏洞(Zero-DayExploits)較少出現(xiàn)虛警信息DIDS(DistributionIntrusionDetectionSystem)分布式入侵檢測系統(tǒng)主要包括3種類型的組件:主機監(jiān)控器(HostMonitor)、局域網監(jiān)控器(LANMonitor)和中央控制臺(Director)。
主機監(jiān)控器由主機事件發(fā)生器(HostEventGenerator,HEG)和主機代理(HostAgent)組成。
局域網監(jiān)控器由局域網事件發(fā)生器(LANEventGenerator,LEG)和局域網代理(LANAgent)組成?刂婆_主要包括3個部分:通信管理器(CommunicationManager)、專家系統(tǒng)和用戶接口。入侵檢測專家系統(tǒng)(IDES,IntrusionDetectionExpertSystem)是一個混合型的入侵檢測系統(tǒng),使用一個在當時來說是創(chuàng)新的統(tǒng)計分析算法來檢測異常入侵行為,同時,該系統(tǒng)還用一個專家系統(tǒng)檢測模塊來對已知的入侵攻擊模式進行檢測。
人工神經網絡是模擬人腦加工、存儲和處理信息機制而提出的一種智能化信息處理技術,它是由大量簡單的處理單元(神經元)進行高度互連而形成的復雜網絡系統(tǒng)。
神經網絡技術應用于入侵檢測領域具有以下優(yōu)勢:①神經網絡具有概括和抽象能力,對不完整輸入信息具有一定程度的容錯處理能力。②神經網絡具備高度的學習和自適應能力。③神經網絡所獨有的內在并行計算和存儲特性。
神經網絡技術在入侵檢測中的應用還存在以下缺陷和不足:①需要解決神經網絡對大容量入侵行為類型的學習能力問題。②需要解決神經網絡的解釋能力不足的問題。③執(zhí)行速度問題。
數(shù)據(jù)挖掘(DataMining)是所謂“數(shù)據(jù)庫知識發(fā)現(xiàn)”(KnowledgeDiscoveryinDatabase,KDD)技術中的一個關鍵步驟,其提出的背景是解決日益增長的數(shù)據(jù)量與快速分析數(shù)據(jù)要求之間的矛盾問題,目標是采用各種特定的算法在海量數(shù)據(jù)中發(fā)現(xiàn)有用的可理解的數(shù)據(jù)模式。
數(shù)據(jù)融合(Datafusion)是一種多層次的、多方面的處理過程,這個過程是對多源數(shù)據(jù)進行檢測、結合、相關估計和組合以達到精確的狀態(tài)估計和身份估計,以及完整、及時的態(tài)勢評估、本地資產評估和威脅評估。簡言之,數(shù)據(jù)融合的基本目的就是通過組合,可以比從任何單個輸入數(shù)據(jù)元素獲得更多的信息。進化計算的主要算法包括以下5中類型:遺傳算法(GeneticAlgorithm,GA)、進化規(guī)劃(EvolutionaryProgramming,EP)、進化策略(EvolutionaryStrategies,ES)、分類器系統(tǒng)(ClassifierSystem,CFS)和遺傳規(guī)劃(GeneticProgramming,GP)。
1、檢測功能需求2、響應需求3、操作需求4、平臺范圍需求5、數(shù)據(jù)來源需求6、檢測性能需求7、可伸縮性需求8、取證和訴訟需求9、其他需求1、機制的經濟性原則2、可靠默認原則3、完全調節(jié)原則4、開放設計原則5、特權分割原則6、最小權限原則7、最小通用原則8、心理科接受原則用戶需求分析入侵檢測系統(tǒng)的設計考慮系統(tǒng)安全設計原則系統(tǒng)設計的生命周期時鐘活動檔案(ActivityProfile)規(guī)則庫(Ruleset)事件生成器(EventGenerator)審計記錄/網絡數(shù)據(jù)包/應用程序日志通用入侵檢測模型
事件生成器從給定的數(shù)據(jù)來源中(包括主機審計數(shù)據(jù)、網絡數(shù)據(jù)包和應用程序的日志信息等),生成入侵檢測事件,并分別送入到活動檔案計算模塊和規(guī)則庫檢測模塊中;顒訖n案模塊根據(jù)新生成的事件,自動更新系統(tǒng)行為的活動檔案;規(guī)則庫根據(jù)當前系統(tǒng)活動檔案和當前事件的情況,發(fā)現(xiàn)異;顒忧闆r,并可以按照一定的時間規(guī)則自動地刪減規(guī)則庫中的規(guī)則集合。
知識庫配置信息檢測器警報信息控制器數(shù)據(jù)收集器控制動作審計數(shù)據(jù)等目標系統(tǒng)通用入侵檢測系統(tǒng)模型
①數(shù)據(jù)收集器(又可稱為探測器):主要負責收集數(shù)據(jù)。探測器的輸入數(shù)據(jù)流包括任何可能包含入侵行為線索
的系統(tǒng)數(shù)據(jù)。比如網絡數(shù)據(jù)包、日志文件和系統(tǒng)調用記錄等。探測器將這些數(shù)據(jù)收集起來,然后發(fā)送到檢測器進行處理。②探測器(又可稱為分析器或檢測引擎):負責分析和檢測入侵的任務,并發(fā)出警報信號。③知識庫:提供必要的數(shù)據(jù)信息支持。例如用戶歷史活動檔案,或者是檢測規(guī)則集合等。④控制器:根據(jù)警報信號,人工或者自動做出反應動作。PDR模型是一個動態(tài)的計算機系統(tǒng)安全理論模型。PDR是Policy(策略)、Protection(防護)、Detection(檢測)和Response(響應)的縮寫,特點是動態(tài)性和基于時間的特性。
Protection22
PolicyDetectionResponseP2DR安全模型
①策略:PDR模型的核心內容。具體實施過程中,策略規(guī)定了系統(tǒng)所要達到的安全目標和為達到目標所采取的
各種具體安全措施及其實施強度等。安全措施的實施必然會影響到系統(tǒng)運行的性能,以及犧牲用戶操作的舒適度,因此安全策略必須按需而制。②防護:具體包括制定安全管理規(guī)則、進行系統(tǒng)安全配置工作以及安裝各種安全防護設備,例如防火墻、VPN
設備等。③檢測:在采取各種安全措施中,根據(jù)系統(tǒng)運行情況的變化,對系統(tǒng)安全狀態(tài)進行實時的動態(tài)監(jiān)控。④響應:當發(fā)現(xiàn)了入侵活動或入侵結果后,需要系統(tǒng)做出及時的反應并采取措施,其中包括:記錄入侵行為、
通知管理員、阻斷進一步的入侵活動以及恢復系統(tǒng)正常運行等。
2原型實現(xiàn)用戶反饋功能定義需求定義
整個周期過程是螺旋式上升過程,前一個周期的原型實現(xiàn)階段完成后,在經過一個用戶反饋的環(huán)節(jié)后,再次進入下一個周期過程中的需求定義環(huán)節(jié)。在新的需求定義階段,將根據(jù)用戶的需求反饋意見,再次更改原有的需求定義和分析規(guī)范,形成新的需求定義文檔,從而推動下一個設計的周期過程。如此循環(huán)反復,直至滿足設定的要求。
系統(tǒng)設計的生命周期
友情提示:本文中關于《入侵檢測技術重點總結》給出的范例僅供您參考拓展思維使用,入侵檢測技術重點總結:該篇文章建議您自主創(chuàng)作。
來源:網絡整理 免責聲明:本文僅限學習分享,如產生版權問題,請聯(lián)系我們及時刪除。