攻击检测与攻击容忍

《攻击检测与攻击容忍》由会员分享，可在线阅读，更多相关《攻击检测与攻击容忍（49页珍藏版）》请在金锄头文库上搜索。

1、第8章 攻击检测与攻击容忍 第8章 攻击检测与攻击容忍 8.1 攻击检测概述8.2 攻击检测方法8.3 攻击容忍与可生存系统思考题实验8 攻击检测第8章 攻击检测与攻击容忍 8.1 攻击检测概述8.1.1 攻击检测的概念攻击检测是一种动态监控、预防和抵御攻击行为的安全机制，它主要通过监控网络、系统的状态、行为以及系统的使用情况，来检测系统用户的越权使用以及外部攻击者对系统进行的攻击。第8章 攻击检测与攻击容忍 攻击检测机制是防火墙机制的一种补充。如果把安全的信息系统比作一座城堡的话，身份识别或访问控制就好像进城时检查证件一样，重点在于防范奸细的混入或者限制内部人员的活动范围；攻击检测类似巡警或

2、治安巡逻队，专门注重于发现形迹可疑者。通过攻击检测，可以监控、分析用户和系统的活动，可以审计系统的配置和弱点，可以评估关键系统和数据文件的完整性，还可以识别攻击者的攻击活动模式。 第8章 攻击检测与攻击容忍 8.1.2 攻击检测系统的架构最具代表性的攻击检测系统的架构是通用攻击检测框架 CIDF，这一架构来自于美国国防部高级研究计划局的一个项 目。这一架构由事件产生器、事件分析器、事件数据库和响 应单元四部分组成，如图8-1所示。事件产生器：从攻击检测系统之外的环境中收集事件， 并将事件规范化为通用攻击检测对象GIDO的格式送给其他 部分。事件分析器：接受事件产生器生成的GIDO，并对其进 行

3、孤立或关联分析，分析方式由实际系统决定，可以使用统计特征，也可以使用其他特征。 第8章 攻击检测与攻击容忍 事件数据库：完成对必要的GIDO的存储，方便将来的进一步使用。响应单元：根据信息产生响应动作，如报警、关闭连接、终止进程、更改文件权限等。 第8章 攻击检测与攻击容忍 图8-1 CIDF架构第8章 攻击检测与攻击容忍 CIDF最主要的工作就是不同组件间所使用语言的标准化，CIDF用通用攻击说明语言CISL对事件、分析结果、响应指示等过程进行表示说明，以达到IDS之间的语法互操作。 CISL语言使用符号表达式(简称S-表达式)，类似于LISP语言。 第8章 攻击检测与攻击容忍 8.1.3

4、攻击检测系统的工作流程攻击检测系统的工作流程可分为信息收集、信息分析和 动作响应三个阶段，这三个阶段对应的CIDF功能单元分别是事件产生器、事件分析器和响应单元。信息收集阶段的主要工作是收集被保护网络和系统的特 征信息，攻击检测系统的数据源主要来自主机、网络和其他 安全产品。基于主机的数据源主要有系统的配置信息、系统 运行状态信息、系统记账信息、系统日志、系统安全性审计 信息和应用程序的日志；基于网络的数据源主要有SNMP信息和网络通信数据包；其他攻击检测系统的报警信息、其他 网络设备和安全产品的信息也是重要的数据源之一。第8章 攻击检测与攻击容忍 信息分析阶段的主要工作是利用一种或多种攻击检

5、测技 术对收集到的特征信息进行有效的组织、整理、分析和提取 ，从而发现存在的攻击事件。这种行为的鉴别可以实时进行 ，也可以事后分析，在很多情况下，事后的进一步分析是为 了寻找行为的责任人。 动作响应阶段的主要工作是对信息分析的结果做出相应 的响应。被动响应是系统仅仅简单地记录和报告所检测出的 问题，主动响应则是系统要为阻塞或影响进程而采取反击行 动。理想的情况下，系统的这一部分应该具有丰富的响应功 能特性，并且这些响应特性在针对安全管理小组中的每一位 成员进行裁剪后，能够为他们提供服务。 第8章 攻击检测与攻击容忍 8.1.4 攻击检测系统的部署攻击检测系统中事件产生器所收集信息的来源可以是主

6、机、网络和其他安全产品。如果信息源仅为单个主机，则这种攻击检测系统往往直接运行于被保护的主机之上；如果信息源来自多个主机或其他地方，则这种攻击检测系统一般由多个传感器和一个控制台组成，其中传感器负责对信息进行收集和初步分析，控制台负责综合分析、攻击响应和传感器控制。图8-2为一典型的“传感器-控制台”结构的攻击检测系统的部署方案。 第8章 攻击检测与攻击容忍 图8-2 一个“传感器-控制台”结构的攻击检测系统部署方案 第8章 攻击检测与攻击容忍 8.1.5 攻击检测软件SnortSnort是一款用C语言开发的开放源代码(http:/www.snort.org)的跨平台网络入侵检测系统，能够方便

7、地安装和配置在网络的任何一个节点上。Snort有三种工作模式：嗅探器、数据包记录器、网络入侵检测。嗅探器模式仅仅是从网络上读取数据包并作为连续不断的流显示在终端上。数据包记录器模式把数据包记录到硬盘上。网络入侵检测模式是最复杂的，但也是可配置的。第8章 攻击检测与攻击容忍 Snort使用基于规则的模式匹配技术来实现入侵检测功能，其规则文件是一个ASCII文本文件，可以用常用的文本编辑器对其进行编辑。为了能够快速、准确地进行检测，Snort将检测规则采用链表的形式进行组织。Snort的发现和分析能力取决于规则库的容量和更新频率。 第8章 攻击检测与攻击容忍 8.1.6 网络数据包的捕获在共享HU

8、B下的任一台计算机都能接收到本网段的所有数据包，这需要将网卡的工作模式设置为混杂 模式，使之可以接收目标地址不是自己的MAC地址的数据包。在UNIX系统中可以用Libpcap包捕获的函数库直接与内核驱动交互操作，实现对网络数据包的捕 获。在Win 32 平台上可以使用Winpcap，通过VxD虚拟设备驱动程序实现网络数据捕获的功能。在交换HUB下的计算机只能接收发往自己的数据包和广播包， 交换HUB下数据包的捕获需要在HUB处通过镜像方法实现。第8章 攻击检测与攻击容忍 8.2 攻击检测方法攻击检测的基本假设是攻击者的攻击行为是能够被感知的。根据检测策略可以把攻击检测方法分为基于异常行为特征的

9、攻击检测和基于正常行为特征的攻击检测。基于异常行为特征的攻击检测：假定攻击行为能够表达为一种模式或特征，对已知的攻击行为建立模式库，把检测到的行为与已知的攻击模式相对比，如果匹配成功，则认为有攻击行为发生。这种方法的的优点是误报率低，缺点是不能发现新型攻击。 第8章 攻击检测与攻击容忍 模式匹配、专家系统(规则推理)和状态转化分析是上述方法的具体实现形式。专家系统(规则推理)通过将安全专家的知识表示成If-Then结构的规则(if部分表示构成攻击所要求的条件，then部分表示发现攻击后采取的相应措施)形成专家知识库，然后运用推理算法检测攻击行为。第8章 攻击检测与攻击容忍 状态转化分析将攻击过

10、程看做一个行为序列，该行为序列导致系统从初始状态转入被攻击状态。分析时，需要针对每一种攻击方法确定系统的初始状态和被攻击状态，以及导致状态转化的转化条件(导致系统进入被攻击状态必须执行的操作/特征事件)，然后用状态转化图来表示每一个状态和特征事件。状态转化分析不适合分析过分复杂的事件，也不能检测与系统状态无关的攻击行为。 第8章 攻击检测与攻击容忍 基于正常行为特征的攻击检测： 假定能够建立正常行为的模式或特征，可以把与正常行为模式不同的行为视为攻击或潜在的攻击行为。比如通过统计分析可以将异常的网络流量视为可疑行为。这种方法的优点是能够发现新型攻击，其关键是对异常的判定尺度和特征的选择，如果选

11、择不佳，会导致误报率的升高。第8章 攻击检测与攻击容忍 上述方法中，正常行为的模式或特征一般通过统计分析的方法来描述，通过对过去一段时间内合法用户行为数据的收集，然后采用门限法或轮廓法来实现对攻击行为的判定。常用的统计分析模型有均值与标准差模型、多元模型和马尔可夫过程模型。另外系统静态配置分析、神经网络和数据挖掘也可用于攻击检测。例8-1是系统静态配置分析中文件完整性检验的实现办法。 第8章 攻击检测与攻击容忍 例8-1 文件完整性检验。通常攻击者攻击时都会对一些文件进行改动，因此采用对文件系统进行完整性检验的攻击检测方式能够检测出对文件内容的非法更改，从而判定攻击。文件完整性检验首先将需要校

12、验的文件内容进行散列计算，将生成的散列值与文件完整性数据库中存储的预先计算好的文件内容的散列值进行比较，不一致则说明文件被非法更改，并可判定发生攻击。第8章 攻击检测与攻击容忍 8.3 攻击容忍与可生存系统8.3.1 攻击容忍随着技术的发展，新的信息攻击形式不断涌现，系统完 全杜绝攻击事件的发生是不太可能的。攻击容忍的理念应运 而生且应用前景非常广阔。攻击容忍的概念最早出见于1985年，这一理念改变传统的以隔离、防御、检测、响应和恢复为主的思想，假定系统 中存在一些受攻击点，在系统可容忍的限度内，这些受攻击 点并不会对系统的服务造成灾难性影响，系统本身仍能保证 最低质量的服务。第8章 攻击检测

13、与攻击容忍 要实现上述目的，攻击容忍系统必须具备自我诊断能力、故障隔离能力和还原重构能力。攻击容忍的研究主要围绕实现上述能力展开。攻击容忍系统的主要实现机制有攻击检测机制、攻击遏制机制、安全通信机制、错误处理机制和数据转移机制。攻击遏制是通过结构重构和冗余等方式达到进一步阻止攻击的目的；错误处理机制主要通过错误屏蔽的方法检测和恢复系统发生失效后的错误。第8章 攻击检测与攻击容忍 8.3.2 可生存系统可生存性研究源于美国国防部有关信息拯救计划，目的是开发具有遭到攻击后能“劫后余生”的网络及信息系统。在信息安全领域，可生存性概念可以认为是攻击容忍概念的延拓。网络的可生存性包括两个方面： 在网络出

14、现故障的情况下，通过各种恢复技术，来维持或恢复网络服务使之达到可接受程度的性能； 网络通过使用预防技术，减轻故障或预防服务失效。 第8章 攻击检测与攻击容忍 可生存系统的关键特征是在面对攻击、故障、意外事故时完成基本服务的能力。在完成基本服务的同时系统仍然保持其基本安全属性，如数据完整性、机密性等其他属性。可生存性的开发思路和设计模式主要有两种：一种是基于入侵使用情景的重新设计；另一种是基于攻击容忍技术的可生存系统设计方法。也就是说： 必须开发具有新的安全特征的高度可信赖的联网技术和计算机系统； 遗留系统的安全改造与增强需要采用包装软件的方法进行改造，而不是进行内核改造； 采用所谓的蜜罐技术来

15、欺骗敌人； 充分利用软件代理技术，实现新的入侵监测系统。 第8章 攻击检测与攻击容忍 思 考 题(1) 攻击检测作用体现在哪些方面？(2) 基于主机的攻击检测数据源主要有哪些？(3) 代表性的攻击检测技术有哪些？(4) 什么是分布式攻击检测系统？(5) 攻击容忍的含义是什么，这种系统采用的技术有哪些？(6) 什么是可生存网络和系统？第8章 攻击检测与攻击容忍 实验8 攻 击 检 测一、实验目的(1) 理解并掌握攻击检测的基本流程。(2) 掌握注册表、系统日志的查看与修改方法。(3) 了解各类扫描器的实现原理。(4) 了解各种攻击检测软件的使用方法。第8章 攻击检测与攻击容忍 二、实验准备(1)

16、 理论上讲，只要坚持跟踪以下信息，几乎所有网络攻击都能被检测出来： 网络拥挤程度和网络连接； Web日志与系统安全日志； 成功与失败的登录尝试； 当前运行的应用程序和服务； 定时运行的应用程序或启动时运行的应用程序； 对文件系统所做的改变。第8章 攻击检测与攻击容忍 (2) 系统目录下的Win.ini是一种特殊的初始化文件，主要为系统提供初始化服务，在系统启动时将被系统所访问，并根据其所保存的参数值对系统进行配置。Windows专门提供了三个API函数GetProfileInt()、GetProfileString()和WriteProfileString()对Win.ini进行读写访问。第8章 攻击检测与攻击容忍 (3) 系统注册表是一个多层次的结构树，在树的根部共有六个预定义键，Windows提供了近30个API函数用于访问系统注册表，这些API函数提供了对注册表进行键的创建、打开、关闭、删除和对键值的设置、删除等功能。通常对注册表比较常用的操作不外乎对键