安全資訊

一、IDS是什么

IDS（intrusion detection system）入侵檢測系統是一種對網(wǎng)絡(luò )傳輸進(jìn)行即時(shí)監視，在發(fā)現可疑傳輸時(shí)發(fā)出警報或者采取主動(dòng)反應措施的網(wǎng)絡(luò )安全設備。它與其他網(wǎng)絡(luò )安全設備的不同之處便在于，IDS是一種積極主動(dòng)的安全防護技術(shù)。在很多中大型企業(yè)，政府機構，都會(huì )布有IDS。我們做一個(gè)比喻——假如防火墻是一幢大廈的門(mén)鎖，那么IDS就是這幢大廈里的監視系統。一旦小偷進(jìn)入了大廈，或內部人員有越界行為，只有實(shí)時(shí)監視系統才能發(fā)現情況并發(fā)出警告。

專(zhuān)業(yè)上講IDS就是依照一定的安全策略，對網(wǎng)絡(luò )、系統的運行狀況進(jìn)行監視，盡可能發(fā)現各種攻擊企圖、攻擊行為或者攻擊結果，以保證網(wǎng)絡(luò )系統資源的機密性、完整性和可用性。與防火墻不同的是，IDS入侵檢測系統是一個(gè)旁路監聽(tīng)設備，沒(méi)有也不需要跨接在任何鏈路上，無(wú)須網(wǎng)絡(luò )流量流經(jīng)它便可以工作。因此，對IDS的部署的唯一要求就是：IDS應當掛接在所有所關(guān)注流量都必須流經(jīng)的鏈路上。

IDS的接入方式：并行接入(并聯(lián))
IDS在交換式網(wǎng)絡(luò )中的位置一般選擇為：盡可能靠近攻擊源，盡可能靠近受保護資源。
這些位置通常是：

• 服務(wù)器區域的交換機上
• 邊界路由器的相鄰交換機上
• 重點(diǎn)保護網(wǎng)段的局域網(wǎng)交換機上

二、入侵檢測系統的作用和必然性

必然性：

• 網(wǎng)絡(luò )安全本身的復雜性，被動(dòng)式的防御方式顯得力不從心
• 有關(guān)防火墻：網(wǎng)絡(luò )邊界的設備；自身可以被攻破；對某些攻擊保護很弱；并非所有威脅均來(lái)自防火墻外部
• 入侵很容易：入侵教程隨處可見(jiàn)；各種工具唾手可得

作用：

• 防火墻的重要補充
• 構建網(wǎng)絡(luò )安全防御體系重要環(huán)節
• 克服傳統防御機制的限制

三、入侵檢測系統功能

• 監測并分析用戶(hù)和系統的活動(dòng)
• 核查系統配置和漏洞
• 對操作系統進(jìn)行日志管理，并識別違反安全策略的用戶(hù)活動(dòng)
• 針對已發(fā)現的攻擊行為作出適當的反應，如告警、中止進(jìn)程等

四、入侵檢測系統的分類(lèi)

按入侵檢測形態(tài)

• 硬件入侵檢測
• 軟件入侵檢測

按目標系統的類(lèi)型

• 網(wǎng)絡(luò )入侵檢測
• 主機入侵檢測
• 混合型

按系統結構

• 集中式
• 分布式

五、入侵檢測系統的架構

• 事件產(chǎn)生器：它的目的是從整個(gè)計算環(huán)境中獲得事件，并向系統的其他部分提供此事件。
• 事件分析器：分析數據，發(fā)現危險、異常事件，通知響應單元
• 響應單元：對分析結果作出反應
• 事件數據庫：存放各種中間和最終數據
  

六、入侵檢測工作過(guò)程

七、入侵檢測性能關(guān)鍵參數

• 誤報(false positive)：實(shí)際無(wú)害的事件卻被IDS檢測為攻擊事件。
• 漏報(false negative)：一個(gè)攻擊事件未被IDS檢測到或被分析人員認為是無(wú)害的。

八、入侵檢測技術(shù)

1、誤用檢測技術(shù)
基于模式匹配原理。收集非正常操作的行為特征，建立相關(guān)的特征庫，當監測的用戶(hù)或系統行為與庫中的記錄相匹配時(shí)，系統就認為這種行為是入侵。
前提：所有的入侵行為都有可被檢測到的特征。
指標：誤報低、漏報高。
攻擊特征庫：當監測的用戶(hù)或系統行為與庫中的記錄相匹配時(shí)，系統就認為這種行為是入侵。
特點(diǎn)：采用模式匹配，誤用模式能明顯降低誤報率，但漏報率隨之增加。攻擊特征的細微變化，會(huì )使得誤用檢測無(wú)能為力。

• 建立入侵行為模型(攻擊特征)
• 假設可以識別和表示所有可能的特征
• 基于系統和基于用戶(hù)的誤用

優(yōu)點(diǎn)

• 準確率高
• 算法簡(jiǎn)單

關(guān)鍵問(wèn)題

• 要識別所有的攻擊特征，就要建立完備的特征庫
• 特征庫要不斷更新
• 無(wú)法檢測新的入侵

2、異常檢測技術(shù)
基于統計分析原理。首先總結正常操作應該具有的特征（用戶(hù)輪廓），試圖用定量的方式加以描述，當用戶(hù)活動(dòng)與正常行為有重大偏離時(shí)即被認為是入侵。
前提：入侵是異?；顒?dòng)的子集。指標：漏報率低，誤報率高。
用戶(hù)輪廓(Profile)：通常定義為各種行為參數及其閥值的集合，用于描述正常行為范圍。
特點(diǎn)：異常檢測系統的效率取決于用戶(hù)輪廓的完備性和監控的頻率；不需要對每種入侵行為進(jìn)行定義，因此能有效檢測未知的入侵；系統能針對用戶(hù)行為的改變進(jìn)行自我調整和優(yōu)化，但隨著(zhù)檢測模型的逐步精確，異常檢測會(huì )消耗更多的系統資源

• 設定“正?！钡男袨槟Ｊ?
• 假設所有的入侵行為是異常的
• 基于系統和基于用戶(hù)的異常

優(yōu)點(diǎn)

• 可檢測未知攻擊
• 自適應、自學(xué)習能力

關(guān)鍵問(wèn)題

• “正?！毙袨樘卣鞯倪x擇
• 統計算法、統計點(diǎn)的選擇

九、入侵響應技術(shù)

主動(dòng)響應： 入侵檢測系統在檢測到入侵后能夠阻斷攻擊、影響進(jìn)而改變攻擊的進(jìn)程。

形式：

• 由用戶(hù)驅動(dòng)
• 系統本身自動(dòng)執行

基本手段：

• 對入侵者采取反擊行動(dòng)（嚴厲方式；溫和方式；介于嚴厲和溫和之間的方式）
• 修正系統環(huán)境
• 收集額外信息

被動(dòng)響應： 入侵檢測系統僅僅簡(jiǎn)單地報告和記錄所檢測出的問(wèn)題。

形式：只向用戶(hù)提供信息而依靠用戶(hù)去采取下一步行動(dòng)的響應。

基本手段：

• 告警和通知
• SNMP（簡(jiǎn)單網(wǎng)絡(luò )管理協(xié)議），結合網(wǎng)絡(luò )管理工具使用。

十、IDS的部署

• 基于網(wǎng)絡(luò )的IDS
  
• 基于主機的IDS
  

十一、入侵檢測體系結構（主機入侵檢測、網(wǎng)絡(luò )入侵檢測和分布式入侵檢測的特點(diǎn)、優(yōu)缺點(diǎn)）

[ HIDS和NIDS的區別]

• 主機入侵檢測（HIDS）

  特點(diǎn)：對針對主機或服務(wù)器系統的入侵行為進(jìn)行檢測和響應。
  主要優(yōu)點(diǎn)：

  • 性?xún)r(jià)比高
  • 更加細膩
  • 誤報率較低
  • 適用于加密和交換的環(huán)境
  • 對網(wǎng)絡(luò )流量不敏感
  • 確定攻擊是否成功

  局限性：

  • 它依賴(lài)于主機固有的日志與監視能力，而主機審計信息存在弱點(diǎn)：易受攻擊，入侵者可設法逃避審計
  • IDS的運行或多或少影響主機的性能
  • HIDS只能對主機的特定用戶(hù)、應用程序執行動(dòng)作和日志進(jìn)行檢測，所能檢測到的攻擊類(lèi)型受到限制
  • 全面部署HIDS代價(jià)較大

• 網(wǎng)絡(luò )入侵檢測（NIDS）

  特點(diǎn)：利用工作在混雜模式下的網(wǎng)卡來(lái)實(shí)時(shí)監聽(tīng)整個(gè)網(wǎng)段上的通信業(yè)務(wù)。
  主要優(yōu)點(diǎn)：

  • 隱蔽性好
  • 實(shí)時(shí)檢測和響應
  • 攻擊者不易轉移證據
  • 不影響業(yè)務(wù)系統
  • 能夠檢測未成功的攻擊企圖

  局限性：

  • 只檢測直接連接網(wǎng)段的通信，不能檢測在不同網(wǎng)段的網(wǎng)絡(luò )包
  • 交換以太網(wǎng)環(huán)境中會(huì )出現檢測范圍局限
  • 很難實(shí)現一些復雜的、需要大量計算與分析時(shí)間的攻擊檢測
  • 處理加密的會(huì )話(huà)過(guò)程比較困難

• 分布式入侵檢測（DIDS）

  一般由多個(gè)協(xié)同工作的部件組成，分布在網(wǎng)絡(luò )的各個(gè)部分，完成相應的功能，分別進(jìn)行數據采集、數據分析等。通過(guò)中心的控制部件進(jìn)行數據匯總、分析、對入侵行為進(jìn)行響應。

• 網(wǎng)絡(luò )入侵和主機入侵對比圖：

  項目	HIDS	NIDS
  誤報	少	一定量
  漏報	與技術(shù)水平相關(guān)	與數據處理能力有關(guān)（不可避免）
  系統部署與維護	與網(wǎng)絡(luò )拓撲無(wú)關(guān)	與網(wǎng)絡(luò )拓撲相關(guān)
  檢測規則	少量	大量
  檢測特征	事件與信號分析	特征代碼分析
  安全策略	基本安全策略（點(diǎn)策略）	運行安全策略（線(xiàn)策略）
  安全局限	到達主機的所有事件	傳輸中的非加密、非保密信息
  安全隱患	違規事件	攻擊方法或手段

九、入侵檢測系統的局限性

• 對用戶(hù)知識要求較高，配置、操作和管理使用較為復雜
• 網(wǎng)絡(luò )發(fā)展迅速，對入侵檢測系統的處理性能要求越來(lái)越高，現有技術(shù)難以滿(mǎn)足實(shí)際需要
• 高虛警率，用戶(hù)處理的負擔重
• 由于警告信息記錄的不完整，許多警告信息可能無(wú)法與入侵行為相關(guān)聯(lián)，難以得到有用的結果
• 在應對對自身的攻擊時(shí)，對其他數據的檢測也可能會(huì )被抑制或受到影響

十、開(kāi)源入侵檢測系統