1 / 210

入侵检测技术

入侵检测技术. 概述 入侵检测方法 入侵检测系统的设计原理 入侵检测响应机制 入侵检测标准化工作 其它 展望.  概述 入侵检测方法 入侵检测系统的设计原理 入侵检测响应机制 入侵检测标准化工作 其它 展望. IDS 存在与发展的必然性. 一、网络攻击的破坏性、损失的严重性 常见攻击 二、日益增长的网络安全威胁 网络安全基本概念 三、单纯的防火墙无法防范复杂多变的攻击 IDS 在 P2DR 模型中的位置与作用. 为什么需要 IDS. 关于防火墙

tamma
Download Presentation

入侵检测技术

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript

  1. 入侵检测技术

  2. 概述 • 入侵检测方法 • 入侵检测系统的设计原理 • 入侵检测响应机制 • 入侵检测标准化工作 • 其它 • 展望

  3.  概述 • 入侵检测方法 • 入侵检测系统的设计原理 • 入侵检测响应机制 • 入侵检测标准化工作 • 其它 • 展望

  4. IDS存在与发展的必然性 一、网络攻击的破坏性、损失的严重性 常见攻击 二、日益增长的网络安全威胁 网络安全基本概念 三、单纯的防火墙无法防范复杂多变的攻击 IDS在P2DR模型中的位置与作用

  5. 为什么需要IDS • 关于防火墙 • 网络边界的设备 • 自身可以被攻破 • 对某些攻击保护很弱 • 不是所有的威胁来自防火墙外部 • 入侵很容易 • 入侵教程随处可见 • 各种工具唾手可得

  6. 网络安全工具的特点

  7. Intrusion • Intrusion : Attempting to break into or misuse your system. • Intruders may be from outside the network or legitimate users of the network. • Intrusion can be a physical, system or remote intrusion.

  8. Intrusion Detection • 传统的信息安全方法采用严格的访问控制和数据加密策略来防护，但在复杂系统中，这些策略是不充分的。它们是系统安全不可缺的部分但不能完全保证系统的安全 • 入侵检测（Intrusion Detection）是对入侵行为的发觉。它通过从计算机网络或计算机系统的关键点收集信息并进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象

  9. 入侵检测的定义 • 对系统的运行状态进行监视，发现各种攻击企图、攻击行为或者攻击结果，以保证系统资源的机密性、完整性和可用性 • 进行入侵检测的软件与硬件的组合便是入侵检测系统 • IDS : Intrusion Detection System

  10. 入侵检测的起源（1） • 审计技术：产生、记录并检查按时间顺序排列的系统事件记录的过程 • 审计的目标： • 确定和保持系统活动中每个人的责任 • 重建事件 • 评估损失 • 监测系统的问题区 • 提供有效的灾难恢复 • 阻止系统的不正当使用

  11. 入侵检测起源（2） 1980年 Anderson提出：入侵检测概念，分类方法 被认为是入侵检测的开山之作。 1987年 Denning和Neumann提出了一种通用的入侵检测模型,开发了一个实时入侵检测系统IDES(Intrusion Detection Expert System) 独立性 ：系统、环境、脆弱性、入侵种类 系统框架：异常检测器，专家系统

  12. 90年初 Mark Crosbie和Gene Spaffort建议使用自治代理以便提高入侵检测系统的可伸缩性、可维掮护性、效率和容错性。 1995年以后出现了很多不同的新的入侵侵检测研究方法，特别是智能入侵检测系统，包括神经网络、遗传算法、模糊识别、免疫系统、数据挖掘等，这些方法目前尚处于理论研究阶段。 此外，IDS还在分布式方向取得了很大的进展。 CMDS™、NetProwler™、NetRanger™ ISS RealSecure™

  13. 由于目前的入侵检测系统大部分是基于各自的需求和设计独立开发的，不同系统间缺乏操作性和 互用性，这对入侵检测系统的发展造成了障碍，因此DARPA(Defense Advanced Research Projects Agency，美国国防部高级研究计划局)于1997年3月开始着手CIDF(Common Intrusion Detection Framework,公共入侵检测框架)标准的制定，以便更高效地开发入侵检测系统。国内在这方面的研究刚开始起步，但也已经开始着手入侵检测标准IDF的研究与制定。

  14. 入侵检测的起源（2） 1980年4月，James P. Anderson 《Computer Security Threat Monitoring and Surveillance》 （计算机安全威胁监控与监视） • 第一次详细阐述了入侵检测的概念 • 计算机系统威胁分类: 外部渗透、内部渗透和不法行为 • 提出了利用审计跟踪数据监视入侵活动的思想 这份报告被公认为是入侵检测的开山之作

  15. 入侵检测的起源（3） 从1984年到1986年 • 乔治敦大学的Dorothy Denning • SRI/CSL的Peter Neumann 研究出了一个实时入侵检测系统模型—IDES（入侵检测专家系统）

  16. IDES用户接口 IDES处理引擎 邻域接口 IDES目标系统域 入侵检测的起源（3） IDES的设计模型

  17. 入侵检测专家系统IDES（Intrusion Detection Expert System） 系统所采用的设计模式可以分为4个部分：目标系统域，邻域接口，处理引擎和用户接口。 其中的邻域指的是一组类似的目标监控机器：类似意味着这些目标机器所产生的审计数据具有相同的格式。 例如，在原型系统的一个应用中，所监控的由一组sun工作站所组成的网络就组成了一个邻域。 邻域除提供目标审计数据外，还支持对审计数据的某些鉴别机制，用于确定它们的来源

  18. IDES处理引擎指的是一个计算环境，它负责分析从IDES邻域内获得的信息。IDES的审计记录被分发给多个分析引擎，也称为事件子系统。所有的IDES事件子系统在单个审计记录的基础上处理事件。IDES处理引擎指的是一个计算环境，它负责分析从IDES邻域内获得的信息。IDES的审计记录被分发给多个分析引擎，也称为事件子系统。所有的IDES事件子系统在单个审计记录的基础上处理事件。 IDES的目标系统域即监控的目标系统。

  19. 入侵检测的起源（4） • 1990，加州大学戴维斯分校的L. T. Heberlein等人开发出了NSM（Network Security Monitor） • 该系统第一次直接将网络流作为审计数据来源，因而可以在不将审计数据转换成统一格式的情况下监控异种主机 • 入侵检测系统发展史翻开了新的一页，两大阵营正式形成：基于网络的IDS和基于主机的IDS

  20. 入侵检测的起源（6） DIDS控制器 LAN代理 主机代理 LAN事件发生器 主机事件发生器 LAN监视器 主机监视器 DIDS结构框图

  21. IDS基本结构 入侵检测系统包括三个功能部件 （1）信息收集 （2）信息分析 （3）结果处理

  22. 信息搜集

  23. 信息收集 • 入侵检测的第一步是信息收集，收集内容包括系统、网络、数据及用户活动的状态和行为 • 需要在计算机网络系统中的若干不同关键点（不同网段和不同主机）收集信息 • 尽可能扩大检测范围 • 从一个源来的信息有可能看不出疑点

  24. 信息收集 • 入侵检测很大程度上依赖于收集信息的可靠性和正确性 • 要保证用来检测网络系统的软件的完整性 • 特别是入侵检测系统软件本身应具有相当强的坚固性，防止被篡改而收集到错误的信息

  25. 信息收集的来源 • 系统或网络的日志文件 • 网络流量 • 系统目录和文件的异常变化 • 程序执行中的异常行为

  26. 系统或网络的日志文件 • 攻击者常在系统日志文件中留下他们的踪迹，因此，充分利用系统和网络日志文件信息是检测入侵的必要条件 • 日志文件中记录了各种行为类型，每种类型又包含不同的信息，例如记录“用户活动”类型的日志，就包含登录、用户ID改变、用户对文件的访问、授权和认证信息等内容 • 显然，对用户活动来讲，不正常的或不期望的行为就是重复登录失败、登录到不期望的位置以及非授权的企图访问重要文件等等

  27. 系统目录和文件的异常变化 • 网络环境中的文件系统包含很多软件和数据文件，包含重要信息的文件和私有数据文件经常是黑客修改或破坏的目标 • 目录和文件中的不期望的改变（包括修改、创建和删除），特别是那些正常情况下限制访问的，很可能就是一种入侵产生的指示和信号 • 入侵者经常替换、修改和破坏他们获得访问权的系统上的文件，同时为了隐藏系统中他们的表现及活动痕迹，都会尽力去替换系统程序或修改系统日志文件

  28. 信息分析

  29. 信息分析 • 模式匹配 • 统计分析 • 完整性分析，往往用于事后分析

  30. 模式匹配 • 模式匹配就是将收集到的信息与已知的网络入侵和系统误用模式数据库进行比较，从而发现违背安全策略的行为 • 一般来讲，一种攻击模式可以用一个过程（如执行一条指令）或一个输出（如获得权限）来表示。该过程可以很简单（如通过字符串匹配以寻找一个简单的条目或指令），也可以很复杂（如利用正规的数学表达式来表示安全状态的变化）

  31. 统计分析 • 统计分析方法首先给系统对象（如用户、文件、目录和设备等）创建一个统计描述，统计正常使用时的一些测量属性（如访问次数、操作失败次数和延时等） • 测量属性的平均值和偏差将被用来与网络、系统的行为进行比较，任何观察值在正常值范围之外时，就认为有入侵发生

  32. 完整性分析 • 完整性分析主要关注某个文件或对象是否被更改 • 这经常包括文件和目录的内容及属性 • 在发现被更改的、被安装木马的应用程序方面特别有效

  33. 结果处理

  34. 入侵检测性能关键参数 • 误报(false positive)：如果系统错误地将异常活动定义为入侵 • 漏报(false negative)：如果系统未能检测出真正的入侵行为

  35. 入侵检测的分类（1） • 按照分析方法（检测方法） • 异常检测模型（Anomaly Detection ):首先总结正常操作应该具有的特征（用户轮廓），当用户活动与正常行为有重大偏离时即被认为是入侵 • 误用检测模型（Misuse Detection)：收集非正常操作的行为特征，建立相关的特征库，当监测的用户或系统行为与库中的记录相匹配时，系统就认为这种行为是入侵

  36. 异常检测模型

  37. 异常检测 • 前提：入侵是异常活动的子集 • 用户轮廓(Profile): 通常定义为各种行为参数及其阀值的集合，用于描述正常行为范围 • 过程 • 监控 量化  比较  判定 •  • 修正 • 指标:漏报率低,误报率高

  38. 异常检测特点 • 异常检测系统的效率取决于用户轮廓的完备性和监控的频率 • 因为不需要对每种入侵行为进行定义，因此能有效检测未知的入侵 • 系统能针对用户行为的改变进行自我调整和优化，但随着检测模型的逐步精确，异常检测会消耗更多的系统资源

  39. Anomaly Detection probable intrusion activity measures

  40. 误用检测模型

  41. 误用检测 • 前提：所有的入侵行为都有可被检测到的特征 • 攻击特征库: 当监测的用户或系统行为与库中的记录相匹配时，系统就认为这种行为是入侵 • 过程 • 监控 特征提取  匹配  判定 • 指标:误报低、漏报高

  42. 误用检测模型 • 如果入侵特征与正常的用户行能匹配，则系统会发生误报；如果没有特征能与某种新的攻击行为匹配，则系统会发生漏报 • 特点：采用特征匹配，滥用模式能明显降低错报率，但漏报率随之增加。攻击特征的细微变化，会使得滥用检测无能为力

  43. pattern matching Intrusion Patterns intrusion activities Misuse Detection Example: if (src_ip == dst_ip) then “land attack” Can’t detect new attacks

  44. 入侵检测的分类（2） • 按照数据来源： • 基于主机：系统获取数据的依据是系统运行所在的主机，保护的目标也是系统运行所在的主机 • 基于网络：系统获取的数据是网络传输的数据包，保护的是网络的运行 • 混合型

  45. 基于主机的入侵检测系统

  46. Phase 1: Phase 2: Phase 3: Discover & Penetrate Attack/Control Map Perimeter Resources · Denial of Service · Automated Password · · Scanning & App. Attack attacks · probing Spoofing · Privilege · Protocol exploits grabbing · Trojan Horse Internet · Vandalism · Audit Trail Tampering · Admin Changes · Theft • 黑客入侵的过程和阶段 Network IDS Host IDS

  47. Internet Host-based 入侵检测 Hacker Network Customers Desktops Partners Servers Branch Office Web Servers Host-based IDS Host-based IDS Telecommuters

  48. X X 基于主机入侵检测系统工作原理 网络服务器1 检测内容： 系统调用、端口调用、系统日志、安全审记、应用日志 HIDS 客户端 网络服务器2 Internet HIDS

  49. 基于主机 • 监视与分析主机的审计记录 • 可以不运行在监控主机上 • 能否及时采集到审计记录 • 如何保护作为攻击目标主机审计子系统

  50. 基于网络的入侵检测系统

More Related