入侵检测技术ppt课件.ppt

《入侵检测技术ppt课件.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第11章　入侵检测技术本章目标入侵检测的概念和作用（了解）入侵检测技术实现的过程（掌握）两种入侵检测技术及其各自的优缺点（掌握）入侵检测的两种基本的检测技术（了解）明确在一个实际的网络中入侵检测的具体部署授课重点入侵检测技术实现的过程两种入侵检测技术及其各自的优缺点入侵检测的两种基本的检测技术授课方法建议采用理论教学为辅。主要讲解如何配置入侵检测系统。网络安全问题日渐严重网络安全是一个国际化的问题安全损失越来越大11.1IDS概念IDS是防火墙的合理补充IDS定义对系统的运行状态进行监视，发现各种攻击企图、攻击行为或者攻击结果，以保证系

2、统资源的机密性、完整性和可用性IDS11.1IDS概念(续)IDS扩充安全管理能力IDS提高安全的完整性第二道安全闸门11.1IDS概念(续)——IDS的任务监视、分析用户及系统活动系统构造和弱点的审计识别反映已知进攻的活动模式并向相关人士报警异常行为模式的统计分析评估重要系统和数据文件的完整性操作系统的审计跟踪管理，并识别用户违反安全策略的行为11.1IDS概念(续)——IDS应该具有的特点使网管了解网络系统的变更提供网络安全策略的制订指南规模灵活可变及时响应入侵11.1.1信息收集入侵检测第一步收集状态和行为系统网络数据用户活动检测

3、范围要大11.1.1信息收集(续)——信息来源系统和网络日志文件目录和文件中的不期望的改变程序执行中的不期望行为物理形式的入侵信息11.1.2信号分析对信息的分析技术模式匹配统计分析完整性分析实时的入侵检测分析事后分析11.1.2信号分析(续)——模式匹配比较收集到的信息与已知的网络入侵和系统误用模式数据库攻击模式可以用一个过程或一个输出来表示通过字符串匹配以寻找一个简单的条目或指令利用正规的数学表达式来表示安全状态的变化11.1.2信号分析(续)——统计分析首先对系统对象创建一个统计描述统计正常使用时的一些测量属性测量属性的平均值和偏

4、差被用来与网络、系统的行为进行比较观察值在正常值范围之外时，就认为有入侵发生11.1.2信号分析(续)——完整性分析关注某个文件或对象是否被更改包括文件和目录的内容及属性对于发现被更改的、被安装木马的应用程序方面特别有效利用加密机制11.2IDS类型IDS组成部分传感器（Sensor）控制台（Console）传感器（Sensor）控制台（Console）11.2IDS类型(续)IDS分类基于主机的IDS基于网络的IDS混合IDS11.2.1基于主机的IDSHIDS安装在被重点检测的主机之上HIDS对主机的网络实时连接以及系统审计日志进行

5、智能分析和判断发现主机出现可疑行为，HIDS采取措施11.2.1基于主机的IDS(续)——HIDS示意图InternetDesktopsWebServers远程连接顾客ServersNetwork分公司合作伙伴HackerHost-basedIDS11.2.1基于主机的IDS(续)——HIDS的优点对分析“可能的攻击行为”非常有用得到的信息详尽误报率低必须安装在要保护的设备上，出现安全风险依赖服务器固有的日志与监视能力部署代价大，易出现盲点不能检测网络行为11.2.1基于主机的IDS(续)——HIDS的弱点11.2.2基于网络的IDSN

6、IDS放置在网段内，监视网络数据包发现问题可以切断网络目前IDS大多数是NIDS11.2.1基于网络的IDS(续)——NIDS示意图InternetDesktopsWebServers远程连接顾客ServersNetwork分公司合作伙伴Network-basedIDSNetwork-basedIDSNetwork-basedIDS不需要改变服务器的配置不影响业务系统的性能部署风险小具有专门设备11.2.1基于网络的IDS(续)——NIDS的优点检测范围有限很难检测复杂攻击传感器协同工作能力较弱处理加密的会话过程较困难11.2.1基于网

7、络的IDS(续)——NIDS的弱点11.2.3混合入侵检测HIDS和NIDS各有不足单一产品防范不全面结合HIDS和NIDS11.2.4文件完整性检查定义：检查计算机中自上次检查后文件变化情况保存有每个文件的数字摘要检查过程计算新的数字摘要与数据库中的数字摘要进行比较Tripwire软件11.2.4文件完整性检查(续)——优点文件完整性检查系统安全时间上和空间上不可能攻破灵活性强本地的数字摘要数据库不安全耗时长11.2.4文件完整性检查(续)——弱点11.3IDS检测技术基于规则检测基于异常情况检测11.3.1基于规则检测Signatu

8、re-BasedDetection假设入侵者活动可以用一种模式表示目标是检测主体活动是否符合这些模式对新的入侵方法无能为力难点在于如何设计模式既能够表达入侵现象又不会将正常的活动包含进来准确率较高11.3.