中智网安入侵检测技术白皮书

《中智网安入侵检测技术白皮书》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、中智网安入侵检测系统技术白皮书IDS技术白皮书IDS入侵检测北京中智网安科技有限公司中智网安入侵检测系统技术白皮书版权声明本手册中任何信息包括文字叙述、文档格式、插图、照片、方法、过程等内容，其著作权及相关权利均属于北京中智网安科技有限公司（以下简称“本公司”），特别申明的除外。未经本公司书面同意，任何人不得以任何方式或形式对本手册内的全部或部分内容进行修改、复制、发行、传播、摘录、备份、翻译或将其全部或部分用于商业用途。本公司对技术白皮书中提及的所有计算机软件程序享有著作权，受著作权法保护。该内容仅用于为

2、最终用户提供信息，且本公司有权对其作出适时调整。“中智网安”商标为本公司的注册商标，受商标法保护。未经本公司许可，任何人不得擅自使用，不得进行仿冒、伪造。本公司对本手册中提及的或与之相关的各项技术或技术秘密享有专利（申请）权、专有权，提供本手册并不表示授权您使用这些技术（秘密）。您可通过书面方式向本公司查询技术（秘密）的许可使用信息。免责声明本公司尽最大努力保证其内容的准确可靠，但并不对因本手册内容的完整性、准确性或因对该信息的误解、误用而导致的损害，承担法律责任。信息更新本手册依据现有信息制作，其内容如有

3、更改，本公司将不另行通知。出版时间本文档由北京中智网安科技有限公司2006年3月出版。北京中智网安科技有限公司中智网安入侵检测系统技术白皮书目录1前言-1-1.1定义-1-1.2专业术语-1-2产品概述-2-3产品架构-2-3.1系统组件-2-3.1.1网络探测器-3-3.1.2控制中心-3-3.2系统的结构-3-4产品功能-4-4.1事件管理-4-4.2策略管理-4-4.3配置管理-5-4.4分析报表-5-4.5数据管理-6-4.6系统管理-6-5技术特点-7-5.1体系结构-7-5.2入侵检测-7-5.

4、3性能-8-5.4入侵保护-9-5.5入侵管理-9-5.6规则库管理-9-5.7日志分析-10-5.8升级与技术支持-10-5.9自身安全性-11-6产品硬件规格-11-7产品部署-13-7.1中小型网络环境-13-7.2分布式网络环境-13-中智网安入侵检测系统技术白皮书1前言1.1定义入侵（intrusion）任何企图危害资源完整性、保密性或可用性的行为。报警（alert）当有入侵正在发生或者正在尝试时，入侵检测系统向系统操作员、管理人员发出的紧急通知，可以以消息、邮件等形式发出。入侵特征（intrus

5、ionfeatures）入侵检测系统预先定义好的能够确认入侵行为的特定信息。引擎（engine）入侵检测系统中进行数据采集、分析的软硬件的集合体。1.2专业术语控制中心：在IDS系统中负责分别与用户管理主机和探测器进行交互的部分。与用户的交互包括提供管理界面、接收用户发出的命令等功能；与探测器的交互包括接收探测器上报的警报数据、对探测器发送命令等功能。与用户交互是通过管理端口传送数据；与探测器交互则是通过IDS设备内部直接完成。探测器：在IDS系统中负责进行数据监测的部分，在一套单机IDS系统中可能有一个或

6、多个探测器。检测引擎：在IDS系统中指一台硬件设备上所有探测器的集合（可能包含一个或多个探测器）。规则：用于检测引擎分析每一个网络数据包是否属于攻击行为的依据。规则库：所有的规则合称为规则库。预处理组件：同样是用于进行攻击检测的依据，与规则的不同之处在于组件在处理顺序上优先于规则、处理方法上与规则不同、参数设置上与规则不同。-12-中智网安入侵检测系统技术白皮书基本响应方式：当入侵行为被检测到以后，IDS系统所能采取的响应措施。包括：记录进入数据库、联动防火墙进行阻断、主动切断、邮件报警、向SNMP网管中心

7、发送消息、记录到日志主机的系统日志中。响应策略：把以上的几种响应方式任意组合，每一种组合就叫做一种响应策略。检测策略：包含一系列规则的文件，这些规则决定了传感器可以检测和响应的事件，以及对各种事件的响应方式、记录等功能，并及时向控制中心传送信息，完成对控制中心指令的接收和响应工作。1产品概述随着计算机信息技术的日益发展与完善，互联网技术的普及和发展，给人民生活提供了很多的便利，网络成为人们生活中重要组成的部分。然而，网络的快速发展也给黑客提供了更多的危及着计算机网络信息安全的手段和方法，网络信息安全也成为我

8、们关注的焦点。中智网安IDS入侵检测系统是基于我们对网络安全技术和黑客技术多年研究的基础上开发的基于网络的入侵检测系统。中智网安IDS入侵检测系统系列产品是一种动态的入侵检测与响应系统。它能够实时监控网络传输，通过对高速网络上的数据包捕获，进行深入的协议分析，结合特征库进行相应的模式匹配，通过对以往的行为和事件的统计分析，能及时发现非法或异常行为。自动检测可疑行为，及时发现来自网络外部或内部的攻击，并可以实时响应