入侵检测技术课件1

《入侵检测技术课件1》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、入侵检测技术分析第一讲0入侵检测技术分析第一章概论1教材及参考书《入侵检测技术》唐正军等清华大学出版社《入侵检测技术》曹元大人民邮电出版社《Snort2.0入侵检测》BrianCaswell等著宋劲松等著国防工业出版社http://www.chinaitlab.com/2课程安排入侵检测概述6学时入侵检测技术分类2学时基于主机的入侵检测技术2学时基于网络的入侵检测技术4学时混合型的入侵检测技术2学时先进的入侵检测技术2学时分布式入侵检测架构4学时设计考虑及响应问题2学时入侵检测系统的评估与测试4学时Snort分析4学时入侵检测技术的发展趋势2学时3第一章入侵检测概述入侵检测的相关概念入

2、侵检测的作用和任务入侵检测与主机审计入侵检测基本模型的建立入侵检测技术的发展历史网络入侵技术简介41.1入侵的定义安全的概念:图1.1安全要素及关系图ownerThreatagentvalueWishtominimiseToreduceimposeassetsWishtoabuseand/ormaydamageMaybeawareofcountermeasureThatexploitGiverisetoLeadingtoThatmaypossessvulnerabilitiesincreasetotoriskThatmaybereducedby51.1入侵的定义安全策略将抽象的安全目标

3、和概念映射为现实世界中的具体安全规则，通常定义为一组用于保护系统计算资源和信息资源的目标、过程和管理规则的集合。安全策略是思想安全策略是责任安全策略是权限安全策略是行动安全策略是选择61.1入侵的定义威胁:Andernson按照威胁的来源，分为如下3类:外部入侵者(ExternalPenetration)：系统的非授权用户。内部入侵者(InternalPenetration)：超越合法权限的系统授权用户。其中，又可分为“伪装者”和“秘密活动者”。违法者(Misfeasor)：在计算机系统上执行非法活动的合法用户。71.1入侵的定义网络管理不到位越权和滥用物理攻击软硬件故障恶意代码和病毒

4、物理环境威胁蠕虫无作为或操作失误黑客攻击技术泄密、篡改、抵赖81.1入侵的定义入侵在入侵检测中，“入侵”（intrusion）表示系统内部发生的任何违反安全策略的事件，其中包括了上面Anderson模型中提到的所有威胁类型，同时还包括如下的威胁类型：恶意程序的威胁探测和扫描系统配置信息和安全漏洞（IDSG）在1997年给出的关于“入侵”的定义是：入侵是对信息系统的非授权访问以及（或者）未经许可在信息系统中进行的操作。91.2什么是入侵检测美国国家安全通信委员会（NSTAC）下属的入侵检测小组（IDSG）在1997年给出的关于“入侵检测”的定义如下：入侵检测是对企图入侵、正在进行的入侵或

5、者已经发生的入侵进行识别的过程。101.2什么是入侵检测入侵检测是信息安全技术手段之一：访问控制(Access)：防止对资源的未授权使用鉴别与认证(Authentication)：用保护机制鉴别用户身份加密(encrypt)：使用数学方法重新组织数据防火墙(Firewall)：隔离和控制被保护对象VPN(VirtualPrivateNetwork)：在公共网上建立专用安全通道扫描器(SCAN)：检测系统的安全性弱点入侵检测(Intrusiondetection)：检测内、外部的入侵行为111.2什么是入侵检测入侵检测系统:所有能执行入侵检测任务和功能的系统。通用入侵检测系统模型如下图：

6、图1.2通用入侵检测系统模型121.2什么是入侵检测图1-1所示的通用入侵检测系统模型，主要由以下几大部分组成。⑴数据收集器（又可称为探测器）：主要负责收集数据。⑵检测器（又可称为分析器或检测引擎）：负责分析和检测入侵的任务，并发出警报信号。⑶知识库：提供必要的数据信息支持。⑷控制器：根据警报信号，人工或自动做出反应动作。131.3入侵检测与P2DR模型P2DR模型是一个动态的计算机系统安全理论模型。P2DR特点是动态性和基于时间的特性。PPDR模型的含义：在安全策略的指导下，运用防护机制、检测机制、响应机制使风险降至可接受水平。Protection防护Response响应策略Poli

7、cyDection检测图1.3P2DR安全模型141.3入侵检测与P2DR模型P2DR模型的具体内容包括如下：⑴策略：P2DR模型的核心内容。具体实施过程中，策略规定了系统所要达到的安全目标和为达到目标所采取的各种具体安全措施及其实施强度等。⑵防护：具体包括制定安全管理规则、进行系统安全配置工作以及安装各种安全防护设备。⑶检测：在采取各种安全措施后，根据系统运行情况的变化，对系统安全状态进行实时的动态监控。⑷响应：当发现了入侵活动或入侵结果后，