[网络安全三]入侵检测技术基础

1. IDS（入侵检测系统）存在与发展的必然性

（1）网络安全本身的复杂性，被动式的防御方式显得力不从心。

（2）有关防火墙：网络边界的设备；自身可以被攻破；对某些攻击保护很弱；并非所有威胁均来自防火墙外部。

（3）入侵很容易：入侵教程随处可见；各种工具唾手可得

2. 入侵检测（Intrusion Detection）

●定义：通过从计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和遭到袭击的迹象的一种安全技术。

●起源：

（1）1980年，James P. Anderson的《计算机安全威胁监控与监视》（《Computer Security Threat Monitoring and Surveillance》）

第一次详细阐述了入侵检测的概念；提出计算机系统威胁分类；提出了利用审计跟踪数据监视入侵活动的思想；此报告被公认为是入侵检测的开山之作。

（2）1984年到1986年，乔治敦大学的Dorothy Denning和 SRI/CSL的Peter Neumann研究出了一个实时入侵检测系统模型--IDES（入侵检测专家系统）

（3）1990年，加州大学戴维斯分校的L. T. Heberlein等人开发出了NSM（Network Security Monitor）

－该系统第一次直接将网络流作为审计数据来源，因而可以在不将审计数据转换成统一格式的情况下监控异种主机

－入侵检测系统发展史翻开了新的一页，两大阵营正式形成：基于网络的IDS和基于主机的IDS

（4）1988年之后，美国开展对分布式入侵检测系统（DIDS）的研究，将基于主机和基于网络的检测方法集成到一起。DIDS是分布式入侵检测系统历史上的一个里程碑式的产品。

（5）从20世纪90年代到现在，入侵检测系统的研发呈现出百家争鸣的繁荣局面，并在智能化和分布式两个方向取得了长足的进展。

3. IDS基本结构

●事件产生器：负责原始数据采集，并将收集到的原始数据转换为事件，向系统的其他部分提供此事件。

收集的信息包括：系统或网络的日志文件；网络流量；系统目录和文件的异常变化；程序执行中的异常行为。

注意：入侵检测很大程度上依赖于收集信息的可靠性和正确性。

●事件分析器：接收事件信息，对其进行分析，判断是否为入侵行为或异常现象，最后将判断的结果转变为告警信息。分析方法有如下三种（重点掌握）：

（1）模式匹配：将收集到的信息与已知的网络入侵和系统误用模式数据库进行比较，从而发现违背安全策略的行为

（2）统计分析：首先给系统对象（如用户、文件、目录和设备等）创建一个统计描述，统计正常使用时的一些测量属性（如访问次数、操作失败次数和延时等）；测量属性的平均值和偏差将被用来与网络、系统的行为进行比较，任何观察值在正常值范围之外时，就认为有入侵发生。

（3）完整性分析（往往用于事后分析）：主要关注某个文件或对象是否被更改。

●事件数据库：存放各种中间和最终数据的地方。

●响应单元：根据告警信息做出反应。（强烈反应：切断连接、改变文件属性等；简单的报警）

4. 入侵检测性能关键参数

（1）误报(false positive)：实际无害的事件却被IDS检测为攻击事件。

（2）漏报(false negative)：一个攻击事件未被IDS检测到或被分析人员认为是无害的。

5. 入侵检测的分类

（1）按照分析方法/检测原理分类

●异常检测（Anomaly Detection）：基于统计分析原理。首先总结正常操作应该具有的特征（用户轮廓），试图用定量的方式加以描述，当用户活动与正常行为有重大偏离时即被认为是入侵。

前提：入侵是异常活动的子集。指标：漏报率低，误报率高。

用户轮廓(Profile)：通常定义为各种行为参数及其阀值的集合，用于描述正常行为范围。

特点：异常检测系统的效率取决于用户轮廓的完备性和监控的频率；不需要对每种入侵行为进行定义，因此能有效检测未知的入侵；系统能针对用户行为的改变进行自我调整和优化，但随着检测模型的逐步精确，异常检测会消耗更多的系统资源

●误用检测（Misuse Detection）：基于模式匹配原理。收集非正常操作的行为特征，建立相关的特征库，当监测的用户或系统行为与库中的记录相匹配时，系统就认为这种行为是入侵。

前提：所有的入侵行为都有可被检测到的特征。指标：误报低、漏报高。

攻击特征库：当监测的用户或系统行为与库中的记录相匹配时，系统就认为这种行为是入侵。

特点：采用模式匹配，误用模式能明显降低误报率，但漏报率随之增加。攻击特征的细微变化，会使得误用检测无能为力。

（2）按照数据来源分类

●基于主机（HIDS）：系统获取数据的依据是系统运行所在的主机，保护的目标也是系统运行所在的主机。

视野集中；易于用户自定义；保护更加周密；对网络流量不敏感；

●基于网络（NIDS）：系统获取的数据是网络传输的数据包，保护的是网络的正常运行。

侦测速度快；隐蔽性好；视野更宽；较少的监测器；占资源少

●混合型

（3）按照体系结构：集中式；分布式

（4）按照工作方式：离线检测；在线检测

6. 基本术语

●Alert（警报）：当一个入侵正在发生或者试图发生时，IDS将发布一个alert信息通知系统管理员

●Signatures（特征）：攻击特征是IDS的核心，它使IDS在事件发生时触发。

特征信息过短会经常触发IDS，导致误报或错报；过长则会影响IDS的工作速度。

●Promiscuous（混杂模式）：如果网络接口是混杂模式，就可以“看到”网段中所有的网络通信量，不管其来源或目的地。这对于网络IDS是必要的

入侵检测技术（异常检测技术；误用/滥用检测技术；入侵诱骗技术；入侵响应技术）

7. 异常检测技术

●概率统计异常检测

原理：每一个轮廓保存记录主体当前行为，并定时将当前轮廓与历史轮廓合并形成统计轮廓（更新），通过比较当前轮廓与统计轮廓来判定异常行为。

优点：可应用成熟的概率统计理论

缺点：①由于用户行为的复杂性，要想准确地匹配一个用户的历史行为非常困难，容易造成系统误报和漏报；

②定义入侵阈值比较困难，阈值高则误报率提高，阈值低则漏报率增高。

●神经网络异常检测

原理：对下一事件的预测错误率在一定程度上反映了用户行为的异常程度。

优点：①更好地表达了变量间的非线性关系，能更好地处理原始数据的随机特征，即不需要对这些数据做任何统计假设，并且能自动学习和更新；②有较好的抗干扰能力

缺点：网络拓扑结构以及各元素的权重很难确定

8. 误用/滥用检测技术（专家系统滥用检测方法、状态转换分析滥用检测方法的原理和优缺点）

●专家系统滥用检测

原理：通过将安全专家的知识表示成If－Then结构的规则（if部分：构成入侵所要求的条件；then部分：发现入侵后采取的相应措施）形成专家知识库，然后运用推理算法检测入侵。

注意：需要解决的主要问题是处理序列数据和知识库的维护（只能检测已知弱点）

●状态转换分析滥用检测

原理：将入侵过程看作一个行为序列，该行为序列导致系统从初始状态转入被入侵状态。分析时，需要针对每一种入侵方法确定系统的初始状态和被入侵状态，以及导致状态转换的转换条件（导致系统进入被入侵状态必须执行的操作/特征事件）；然后用状态转换图来表示每一个状态和特征事件。

缺点：不善于分析过分复杂的事件，也不能检测与系统状态无关的入侵

9. 入侵诱骗技术的定义、特点、设计目标；蜜罐技术

●定义：用特有的特征吸引攻击者，同时对攻击者的各种攻击行为进行分析，并进而找到有效的对付方法。

●特点：试图将攻击者从关键系统引诱开。是一种主动防御技术。

●设计目的：从现存的各种威胁中提取有用的信息，以发现新型的攻击工具、确定攻击的模式并研究攻击者的攻击动机。

●蜜罐技术（Honeypot）：是一种被侦听、被攻击或已经被入侵的资源。注意：Honeypot并非一种安全解决方案，它只是一种工具，而且只有Honeypot受到攻击，它的作用才能发挥出来。

10. 入侵响应技术（主动响应和被动响应的形式、手段）

●主动响应：入侵检测系统在检测到入侵后能够阻断攻击、影响进而改变攻击的进程。

形式：由用户驱动；系统本身自动执行

基本手段：①对入侵者采取反击行动（严厉方式；温和方式；介于严厉和温和之间的方式） ②修正系统环境 ③收集额外信息

●被动响应：入侵检测系统仅仅简单地报告和记录所检测出的问题。

形式：只向用户提供信息而依靠用户去采取下一步行动的响应。

基本手段：①告警和通知 ②SNMP（简单网络管理协议），结合网络管理工具使用。

11. 入侵检测体系结构（主机入侵检测、网络入侵检测和分布式入侵检测的特点、优缺点）

●主机入侵检测（HIDS）

特点：对针对主机或服务器系统的入侵行为进行检测和响应。

主要优点：性价比高；更加细腻；误报率较低；适用于加密和交换的环境；对网络流量不敏感；确定攻击是否成功。

局限性：①它依赖于主机固有的日志与监视能力，而主机审计信息存在弱点：易受攻击，入侵者可设法逃避审计；

②IDS的运行或多或少影响主机的性能；

③HIDS只能对主机的特定用户、应用程序执行动作和日志进行检测，所能检测到的攻击类型受到限制；

④全面部署HIDS代价较大。

●网络入侵检测（NIDS）

项目	HIDS	NIDS
误报	少	一定量
漏报	与技术水平相关	与数据处理能力有关（不可避免）
系统部署与维护	与网络拓扑无关	与网络拓扑相关
检测规则	少量	大量
检测特征	事件与信号分析	特征代码分析
安全策略	基本安全策略（点策略）	运行安全策略（线策略）
安全局限	到达主机的所有事件	传输中的非加密、非保密信息
安全隐患	违规事件	攻击方法或手段

特点：利用工作在混杂模式下的网卡来实时监听整个网段上的通信业务。

主要优点：隐蔽性好；实时检测和响应；攻击者不易转移证据；不影响业务系统；能够检测未成功的攻击企图.

局限性：①只检测直接连接网段的通信，不能检测在不同网段的网络包；

②交换以太网环境中会出现检测范围局限；

③很难实现一些复杂的、需要大量计算与分析时间的攻击检测；

④处理加密的会话过程比较困难

●分布式入侵检测（DIDS）

一般由多个协同工作的部件组成，分布在网络的各个部分，完成相应的功能，分别进行数据采集、数据分析等。通过中心的控制部件进行数据汇总、分析、对入侵行为进行响应。

--本资料由heki总结整理

查看全文
如若内容造成侵权/违法违规/事实不符，请联系编程学习网邮箱：809451989@qq.com进行投诉反馈，一经查实，立即删除！

《网络攻防》第四周学习总结
目录 1、网络嗅探 1.1 网络嗅探技术概述 1.2 网络嗅探器的原理与实现 1.2.1 以太网卡工作模式 1.2.2 共享式网络与交换式网络中的嗅探 1.2.3 类UNIX平台的网络嗅探技术实现 1.2.4 Windows平台的网络嗅探实现技术1.3 网络嗅探器软件 1.4 网络嗅探的检测 1.5 网络嗅探的防范措施 …...
2024/4/25 5:03:47
网易云web安全渗透测试网络安全常见漏洞解析安全运营课程笔记1
网易云web安全渗透测试网络安全常见漏洞解析安全运营一 WEB安全发展史网站安全问题： 1、钓鱼2、篡改：攻破后篡改 3、暗链：攻破后植入第三方链接。4、Webshell ：攻破后留有后门 web传输门，可以随时回到被入侵的网站进行操作。分为大马小马。大马功能强大，有目录组件账号命…...
2024/4/21 9:41:18
[导入]php 安全基础第七章验证与授权密码嗅探
7.2. 密码嗅探尽管攻击者通过嗅探（察看）你的用户和应用间的网络通信并不专门用于访问控制，但要意识到数据暴露变得越来越重要，特别是对于验证信息。使用SSL可以有效地防止HTTP请求和回应不被暴露。对任何使用https方案的资源的请求可以防止密码嗅探。最好的方法是一直使用S…...
2024/4/26 19:01:50
ubuntu安装图文教程
作为目前世界上最安全的操作系统，Linux逐渐被大多数人使用，而ubuntu作为Linux分支中最华丽美观的操作系统，有必要有一个好多安装教程　　ubuntu系统是一个linux操作系统;ubuntu安装教程的每个版本类似，下面给您带来的是12.04版本的ubuntu系统安装教程，如果有疑问可以借鉴其…...
2024/4/21 9:41:18
网站请勿随意使用第三方CDN资源调用公开库资源 - 聆听分享网
网站请勿随意使用第三方CDN资源调用公开库资源 - 聆听分享网...
2024/4/21 9:41:15
个人总结-网络安全学习和CTF必不可少的一些网站
学习的地方很多，不能一一列举，一些优秀的网址和博客可能也没有提到，大家补充吧:P 就简单总结一些常用的吧，本人是十足的彩笔，还望大家多多指点，表哥们带我飞Orzhttp://www.sec-wiki.com/skill/ 安全技能(里面渗透逆向编程都有介绍) http://blog.knownsec.com/Knownsec_RD…...
2024/4/21 9:41:14
端口复用:隐藏嗅探与攻击
前言在WINDOWS的SOCKET服务器应用的编程中，如下的语句或许比比都是： s=socket(AF_INET,SOCK_STREAM,IPPROTO_TCP); saddr.sin_family = AF_INET; saddr.sin_addr.s_addr = htonl(INADDR_ANY); bind(s,(SOCKADDR *)&saddr,sizeof(saddr)); 其实这当中存在在非常大的安全隐…...
2024/4/21 9:41:13
网络与信息安全应急处置预案
分享一下我老师大神的人工智能教程！零基础，通俗易懂！http://blog.csdn.net/jiangjunshow也欢迎大家转载本篇文章。分享知识，造福人民，实现我们中华民族伟大复兴！为加强北海市电子政务系统的安全管理，形成科学有效、反应迅速的处置机制，提高网络与信息安…...
2024/4/21 9:41:13
扫描和嗅探
黑客在攻击之前首先会在计算机中搭建虚拟环境，从而使用黑客工具进行模拟攻击，这样黑客工具对虚拟机造成了破坏，也可以很快恢复，且不会影响自己本来的计算机系统。至于如何搭建虚拟环境，网络上有很多文章描述，这里就不赘述了。确定目标主机IP地址只有设置好网关的IP地址…...
2024/4/20 11:14:05
php 安全基础第七章验证与授权密码嗅探
7.2. 密码嗅探尽管攻击者通过嗅探（察看）你的用户和应用间的网络通信并不专门用于访问控制，但要意识到数据暴露变得越来越重要，特别是对于验证信息。使用SSL可以有效地防止HTTP请求和回应不被暴露。对任何使用https方案的资源的请求可以防止密码嗅探。最好的方法是一直使用S…...
2024/4/21 9:41:11
Kali Linux无线网络渗透测试教程（大学霸内部资料）
Kali Linux无线网络渗透测试教程（大学霸内部资料）介绍：本教程全面讲解如何基于Kali Linux对WiFi无线网络进行渗透测试。教程包括无线网络监听、信息收集、路由器渗透测试、客户端渗透测试四大部分。内容涉及网络扫描、Wireshark抓包分析、WPS/WEP/WPA/WAP+Radius破解、漏洞扫…...
2024/4/21 9:41:10
HACK RF学习之旅记录4——HackRF嗅探GSM网络
参考文章 https://www.freebuf.com/articles/wireless/68736.html https://www.freebuf.com/articles/wireless/110773.html(比较新) http://www.freebuf.com/articles/wireless/111577.html（讲了解码）标题1 准备环境过程所用工具 1、hackrf-kalibrate 2、gnuradio-compani…...
2024/4/21 9:41:09
[网络安全自学篇] 七十二.逆向分析之OllyDbg动态调试工具（一）基础入门及TraceMe案例分析
这是作者网络安全自学教程系列，主要是关于安全工具和实践操作的在线笔记，特分享出来与博友们学习，希望您们喜欢，一起进步。前文分享了外部威胁防护和勒索病毒对抗。这篇文章将讲解逆向分析OllyDbg动态调试工具的基本用法，包括界面介绍、常用快捷键和TraceMe案例分析。基础…...
2024/4/21 9:41:08
网络嗅探函数库Libpcap
1.简介libpcap即Packet Capture Library，是一个Linux常用的数据包捕获函数库。该库全部由C语言编写，为不同的系统提供了统一的编程接口，一共提供了20多个API函数。使用libpcap的API能够轻易地捕获数据包，并且能够进行自定义的过滤，存储以分析等。2. 工作原理libpcap由两部…...
2024/4/21 9:41:08
网络安全宝典（第2版）
基本信息原书名： Network Security Bible 原出版社： Wiley 作者： (美)Eric Cole 译者：曹继军林龙信出版社：清华大学出版社 ISBN：9787302239390 上架时间：2010-12-10 出版日期：2010 年11月开本：16开页码：697 版次：2-1 样章试读：http://product.china-…...
2024/4/20 18:05:49
Python-一键爬取图片、音频、视频资源
前言使用Python爬取任意网页的资源文件，比如图片、音频、视频；一般常用的做法就是把网页的HTML请求下来通过XPath或者正则来获取自己想要的资源，这里我做了一个爬虫工具软件，可以一键爬取资源媒体文件；但是需要说明的是，这里爬取资源文件只针对HTML已有的文件，如果需要…...
2024/4/20 18:05:47
[网络安全自学篇] 七十五.Vulnhub靶机渗透之bulldog信息收集和nc反弹shell（三）
这是作者网络安全自学教程系列，主要是关于安全工具和实践操作的在线笔记，特分享出来与博友们学习，希望您喜欢，一起进步。前文分享了APT攻击检测溯源与常见APT组织的攻击案例，并介绍防御措施。这篇文章将讲解Vulnhub靶机渗透题目bulldog，包括信息收集及目录扫描、源码解读…...
2024/4/20 18:05:46
1. Packet sniffers （包嗅探器 14个）
十多年来，Nmap项目一直在编目网络安全社区最喜爱的工具。 2011年，该网站变得更加动态，提供打分，评论，搜索，排序和新工具建议表单。本网站除了我们维护的那些工具（如Nmap安全扫描器，Ncat网络连接器和Nping包操纵器），允许任何平台上的开源和商业工具。我们对安全社区…...
2024/4/26 3:39:57
[网络安全自学篇] 十六.Python攻防之弱口令、自定义字典生成及网站防护
这是作者的系列网络安全自学教程，主要是关于网安工具和实践操作的在线笔记，特分享出来与博友共勉，希望您们喜欢，一起进步。前文分享了Python网络攻防基础知识、Python多线程、C段扫描和数据库编程，本文将分享Python攻防之自定义字典生成，调用Python的exrex库实现。本文参…...
2024/4/21 9:41:05
linux下嗅探工具tcpdump的使用
tcpdump-转储网络上的数据流tcpdump[-adeflnNOpqStvx][-ccount][-Ffile][-iinterface][-rfile][-ssnaplen][-Ttype][-wfile][expression]描述(DESCRIPTION)Tcpdump打印出在某个网络界面上,匹配布尔表达式expression的报头.对于SunOS的nit或bpf界面:要运行tcpdump,你必须有/dev/…...
2024/4/21 9:41:06

[网络安全三]入侵检测技术基础

相关文章

最新文章