第二十三章入侵检测

第二十三章入侵检测第1页，课件共26页，创作于2023年2月入侵检测入侵检测原理入侵检测技术分析入侵检测系统LINUX下的入侵检测系统基于用户特征分析的入侵检测系统入侵检测发展方向第2页，课件共26页，创作于2023年2月入侵检测原理原则基本入侵检测入侵检测理论模型第3页，课件共26页，创作于2023年2月原则一个能够抵抗入侵的计算机系统将表现出以下特性：用户以及应用的过程将被限制在一种可以预知的模式下。当用户运行了一个简单程序后不会使系统进入一种维护状态。用户以及应用过程将不允许包含破坏系统安全的命令序列，理论上来说，所有这种序列都应该排除。实际上，只有被列入安全系统的序列才能被检测到。所有的应用过程都必须遵守操作的具体规范，只有系统允许运行时才可以。第4页，课件共26页，创作于2023年2月基本入侵检测网络攻击变的越来越复杂而且自动化程度越来越高，一个复杂的进攻并不一定是由一个有经验的入侵者发动的定义：一个入侵工具是一种用来破坏系统安全的自动化的脚本入侵工具绝对不是更改入侵检测的本质。他们排除了许多由于不正确安装而造成的错误。并且以一种常规的步骤排除了一些零碎的攻击。但是他们不能完全排除系统隐患。入侵检测系统拥有以下四重目的：广泛的入侵检测。时常进行入侵检测。介绍一种简单，易于理解的格式。正确性。第5页，课件共26页，创作于2023年2月入侵检测理论模型CIDF模型异常模型误用模型规范模型第6页，课件共26页，创作于2023年2月入侵检测入侵检测原理入侵检测技术分析入侵检测系统LINUX下的入侵检测系统基于用户特征分析的入侵检测系统入侵检测发展方向第7页，课件共26页，创作于2023年2月入侵检测技术分析常用的检测方法拒绝服务攻击及防范第8页，课件共26页，创作于2023年2月常用的检测方法入侵检测系统常用的检测方法有:特征检测对已知的攻击或入侵的方式作出确定性的描述，形成相应的事件模式。统计检测统计模型常用异常检测。异常检测(Anomalydetection)的假设是入侵者活动异常于正常主体的活动。常用的入侵检测统计模型为：操作模型多元模型马尔柯夫过程模型专家系统用专家系统对入侵进行检测，经常是针对有特征入侵行为。第9页，课件共26页，创作于2023年2月拒绝服务攻击及防范拒绝服务攻击正在向分布式（DDos）方向发展，分布式拒绝服务攻击采用了一种比较特别的体系结构，从许多分布的主机同时攻击一个目标。从而导致目标瘫痪。第10页，课件共26页，创作于2023年2月拒绝服务攻击及防范保护这些主机最好的办法就是及时了解有关本操作系统的安全漏洞以及相应的安全措施。及时安装补丁程序并注意定期升级系统软件，以免给黑客以可乘之机。应该定期使用漏洞扫描软件对内部网络进行检查。设置好单位内部的网络设备。最重要的就是路由器和防火墙。第11页，课件共26页，创作于2023年2月入侵检测入侵检测原理入侵检测技术分析入侵检测系统LINUX下的入侵检测系统基于用户特征分析的入侵检测系统入侵检测发展方向第12页，课件共26页，创作于2023年2月入侵检测系统组成审计跟踪攻击检测系统现状 入侵检测产品分析常见的攻击检测工具第13页，课件共26页，创作于2023年2月

组成

一个最简化的网络实时入侵监测系统由两个部分构成：探测引擎（数据链路层的包分析）抓获数据包并将过滤规则适用于数据包，复杂的包分析引擎还可能具有包重组以及跟踪功能。记录响应控制台第14页，课件共26页，创作于2023年2月审计跟踪审计跟踪指系统活动的记录，这些记录足以重构、评估、审查环境和活动的次序，这些环境和活动在一项事务的开始到最后结束期间能够围绕或导致的一项操作、一个过程或一个事件。第15页，课件共26页，创作于2023年2月攻击检测系统现状攻击检测系统(IDSs)是基于侵入者的行为与合法用户的行为之间存在的明显不同，实现对非授权的行为的检测的。现在的攻击检测系统更多的是对许多互联在网络上的主机的监视。典型的系统有为LosAlamos国家实验室的集成计算机网络设计的网络异常检测和侵入报告系统NADIR，这是一个自动专家系统；加利福尼亚大学的NSM系统，它是通过广播LAN上的信息流量来检测入侵行为；分布式入侵检测系统DIDS等。第16页，课件共26页，创作于2023年2月入侵检测产品分析基于网络的入侵检测基于主机的入侵检测混合入侵检测文件完整性检查第17页，课件共26页，创作于2023年2月常见的攻击检测工具NAI公司是领先的专业网络安全产品提供商，其攻击检测系统产品主要是三个独立产品：CybercopScannerCybercopServerCybercopNetworkISS公司（InternetSecuritySystem）的RealSecure2.0forWindowsNTAbirnet公司的Session-wall-3Anzen公司的NFR提供了一个网络监控框架IBM公司的IERS系统第18页，课件共26页，创作于2023年2月入侵检测入侵检测原理入侵检测技术分析入侵检测系统

LINUX下的入侵检测系统基于用户特征分析的入侵检测系统入侵检测发展方向第19页，课件共26页，创作于2023年2月LINUX下的入侵检测系统从实现结构上看，共分成三个应用程序，它们分别是：数据收集及分析程序；告警信息收集程序；告警信息显示程序第20页，课件共26页，创作于2023年2月入侵检测入侵检测原理入侵检测技术分析入侵检测系统LINUX下的入侵检测系统基于用户特征分析的入侵检测系统入侵检测发展方向第21页，课件共26页，创作于2023年2月基于用户特征分析的入侵检测系统设计目标是能够根据当前主机使用用户的特征数据，通过实时检测和分析系统的各种状态，与用户特征进行比对，得出不信任值，当不信任值到达一定程度时，对使用用户进行再确认或阻断其使用主要功能：审查用户日志系统监测设置用户口令设置 用户特定行为设定口令检测性能第22页，课件共26页，创作于2023年2月基于用户特征分析的入侵检测系统技术方案：用户的特征状态捕捉进程监控Shell监控键盘监控文件监控用户的特征状态分析系统的运行状态其它的一些辅助监控第23页，课件共26页，创作于2023年2月入侵检测入侵检测原理入侵检测技术分析入侵检测系统LINUX下的入侵检测系统基于用户特征分析的入侵检测系统入侵检测发展方向第24页，课件共26页，创作于2023年2月入侵检测发展方向入侵技术的发展与演化主要反映在下列几个方面：入侵或攻击的综合化与复杂化。入侵主体对象的间接化，即实施入侵与攻击的主体的隐蔽化。入侵或攻击的规模扩大。入侵或攻击技