《网络安全入侵检测技术.ppt》由会员分享,可在线阅读,更多相关《网络安全入侵检测技术.ppt(129页珍藏版)》请在金锄头文库上搜索。
1、,网络安全,入侵检测技术,第五章 入侵检测技术,5.1 5.2 5.3 5.4,概述 入侵检测技术 入侵检测体系 入侵检测发展,5,5.1,1 2 3 4,概述 入侵检测系统及起源 IDS基本结构 入侵检测的分类 基本术语,IDS存在与发展的必然性,网络安全本身的复杂性,被动式的防御方式显得力不从心。 有关防火墙:网络边界的设备;自身可以被攻破;对某些攻 击保护很弱;并非所有威胁均来自防火墙外部。 入侵很容易:入侵教程随处可见;各种工具唾手可得,入侵检测系统(IDS),入侵检测(Intrusion Detection)的定义:通过从计算机 网络或计算机系统中的若干关键点收集信息并对其进行分 析
2、,从中发现网络或系统中是否有违反安全策略的行为和遭 到袭击的迹象的一种安全技术。,入侵检测系统(IDS):进行入侵检测的软件与硬件的组 合。,入侵检测的起源(1),审计技术:产生、记录并检查按时间顺序排列的系统事 件记录的过程。,1980年,James P. Anderson的计算机安全威胁监控与 监视(Computer Security Threat Monitoring and Surveillance), 第一次详细阐述了入侵检测的概念, 计算机系统威胁分类: 外部渗透、内部渗透和不法行为 提出了利用审计跟踪数据监视入侵活动的思想 这份报告被公认为是入侵检测的开山之作,入侵检测的起源(2
3、),1984年到1986年,乔治敦大学的Dorothy Denning和,SRI/CSL的Peter Neumann研究出了一个实时入侵检测系统模 型IDES(入侵检测专家系统),1990年,加州大学戴维斯分校的L. T. Heberlein等人开发 出了NSM(Network Security Monitor), 该系统第一次直接将网络流作为审计数据来源,因而可以,在不将审计数据转换成统一格式的情况下监控异种主机 入侵检测系统发展史翻开了新的一页,两大阵营正式形,成:基于网络的IDS和基于主机的IDS,入侵检测的起源(3),1988年之后,美国开展对分布式入侵检测系统(DIDS)的 研究,将
4、基于主机和基于网络的检测方法集成到一起。 DIDS是分布式入侵检测系统历史上的一个里程碑式的产 品。,从20世纪90年代到现在,入侵检测系统的研发呈现出百家 争鸣的繁荣局面,并在智能化和分布式两个方向取得了长 足的进展。,IDS基本结构,IDS通常包括以下功能部件:P182,事件产生器 事件分析器 事件数据库 响应单元,事件产生器(1),负责原始数据采集,并将收集到的原始数据转换为事 件,向系统的其他部分提供此事件。,收集内容:系统、网络数据及用户活动的状态和行为 需要在计算机网络系统中的若干不同关键点(不同网段 和不同主机)收集信息, 系统或网络的日志文件 网络流量, 系统目录和文件的异常变
5、化 程序执行中的异常行为,事件产生器(2),注意:,入侵检测很大程度上依赖于收集信息的可靠性和正确性, 要保证用来检测网络系统的软件的完整性, 特别是入侵检测系统软件本身应具有相当强的坚固性,,防止被篡改而收集到错误的信息,事件分析器,接收事件信息,对其进行分析,判断是否为入侵行为或异常 现象,最后将判断的结果转变为告警信息。,分析方法:, 模式匹配:将收集到的信息与已知的网络入侵和系统误用模式数据库进,行比较,从而发现违背安全策略的行为, 统计分析:首先给系统对象(如用户、文件、目录和设备等)创建一个统 计描述,统计正常使用时的一些测量属性(如访问次数、操作失败次数和 延时等);测量属性的平
6、均值和偏差将被用来与网络、系统的行为进行比 较,任何观察值在正常值范围之外时,就认为有入侵发生, 完整性分析(往往用于事后分析):主要关注某个文件或对象是否被更改,事件数据库,存放各种中间和最终数据的地方。,从事件产生器或事件分析器接收数据,一般会将数据进 行较长时间的保存。,响应单元,根据告警信息做出反应,是IDS中的主动武器。 可做出:, 强烈反应:切断连接、改变文件属性等 简单的报警,入侵检测的分类,按照分析方法/检测原理 按照数据来源 按照体系结构 按照工作方式,入侵检测性能关键参数,误报(false positive):实际无害的事件却被IDS检测为 攻击事件。,漏报(false n
7、egative):一个攻击事件未被IDS检测到或 被分析人员认为是无害的。,入侵检测的分类(1),按照分析方法/检测原理, 异常检测(Anomaly Detection ):首先总结正常操作应该 具有的特征(用户轮廓),试图用定量的方式加以描述, 当用户活动与正常行为有重大偏离时即被认为是入侵, 误用检测(Misuse Detection):收集非正常操作的行为特 征,建立相关的特征库,当监测的用户或系统行为与库中 的记录相匹配时,系统就认为这种行为是入侵,异常检测 前提:入侵是异常活动的子集 用户轮廓(Profile): 通常定义为各种行为参数及其阀值 的集合,用于描述正常行为范围 过程:,
8、监控,量化,比较,判定,修正 指标:漏报率低,误报率高,异常检测特点,异常检测系统的效率取决于用户轮廓的完备性和监控的频 率,不需要对每种入侵行为进行定义,因此能有效检测未知的 入侵,系统能针对用户行为的改变进行自我调整和优化,但随着 检测模型的逐步精确,异常检测会消耗更多的系统资源,指标:误报低、漏报高,误用检测 前提:所有的入侵行为都有可被检测到的特征 攻击特征库: 当监测的用户或系统行为与库中的记录 相匹配时,系统就认为这种行为是入侵 过程:,监控,特征提取,匹配,判定,误用检测,如果入侵特征与正常的用户行为能匹配,则系统会发生误 报;如果没有特征能与某种新的攻击行为匹配,则系统会 发生
9、漏报,特点:采用模式匹配,误用模式能明显降低误报率,但漏 报率随之增加。攻击特征的细微变化,会使得误用检测无 能为力。,入侵检测的分类(2),按照数据来源, 基于主机:系统获取数据的依据是系统运行所在的主机,,保护的目标也是系统运行所在的主机, 基于网络:系统获取的数据是网络传输的数据包,保护的,是网络的正常运行, 混合型,Internet,Customers Desktops,Network,Branch Office Telecommuters,Partners,基于主机的入侵检测系统(HIDS),Hacker,Web Servers HIDS,Servers HIDS,HIDS的工作原理
10、,X,检测内容: 系统调用、端口调用、审计记录、 系统日志、应用日志 客户端 Internet,网络服务器1 HIDS 网络服务器2 HIDS,注意:,监视与分析主机的审计记录和日志文件 主要用于保护运行关键应用的服务器,最适合于检测那些可以信赖的内部人员的误用以及已 经避开了传统的检测方法而渗透到网络中的活动 能否及时采集到审计记录,如何保护作为攻击目标的HIDS,HIDS,Internet,Web Servers,Customers,Servers,Network,Branch Office Telecommuters,Partners,基于网络的入侵检测系统(NIDS),NIDS Des
11、ktops,NIDS,NIDS,NIDS,基于网络入侵检测系统工作原理,数据包=包头信息+有效数据部分,网络服务器1 网络服务器2,检测内容: 包头信息+有效数据部分 X 客户端 Internet,注意:,在共享网段上对通信数据进行侦听采集数据 主机资源消耗少,提供对网络通用的保护 如何适应高速网络环境,非共享网络上如何采集数据,典型产品代表:Snort,NIDS,两类IDS监测软件,网络IDS - 侦测速度快 - 隐蔽性好 - 视野更宽 - 较少的监测器 - 占资源少,主机IDS - 视野集中 - 易于用户自定义 - 保护更加周密 - 对网络流量不敏感,入侵检测的分类(3),按照体系结构,
12、集中式:有多个分布于不同主机上的审计程序,但只有一 个中央入侵检测服务器。审计程序把当地收集到的数据踪 迹发送给中央服务器进行分析处理。(可伸缩性、可配置 性差), 分布式:将中央检测服务器的任务分配给多个HIDS,它们 不分等级,负责监控当地主机的可疑活动。(可伸缩性、 安全性高;但维护成本高,监控主机的工作负荷重),入侵检测的分类(4),按照工作方式, 离线检测:非实时工作,在行为发生后,对产生的数据进 行分析。(成本低,可分析大量事件、分析长期情况;但 无法提供及时保护), 在线检测:实时工作,在数据产生的同时或者发生改变时,进行分析(反应迅速、及时保护系统;但系统规模较大 时,实时性难
13、以得到实际保证),Alert(警报),Signatures(特征),Promiscuous(混杂模式),基本术语,当一个入侵正在发生或者试图发生时,IDS将发布一个 alert信息通知系统管理员,如果控制台与IDS同在一台机器,alert信息将显示在监 视器上,也可能伴随有声音提示,如果是远程控制台,那么alert将通过IDS的内置方法 (通常是加密的)、SNMP(简单网络管理协议,通常不 加密)、email、SMS(短信息)或者以上几种方法的混 合方式传递给管理员,Alert(警报),攻击特征是IDS的核心,它使IDS在事件发生时触发 特征信息过短会经常触发IDS,导致误报或错报;过长 则会
14、影响IDS的工作速度,有人将IDS所支持的特征数视为IDS好坏的标准,但是有 的厂商用一个特征涵盖许多攻击,而有些厂商则会将这 些特征单独列出,这就会给人一种印象:好像它包含了 更多的特征,是更好的IDS,Signatures(特征),Promiscuous(混杂模式),默认状态下,IDS网络接口只能“看到”进出主机的信息, 也就是所谓的non-promiscuous(非混杂模式),如果网络接口是混杂模式,就可以“看到”网段中所有的 网络通信量,不管其来源或目的地 这对于网络IDS是必要的,5.2,入侵检测技术 异常检测技术 误/滥用检测技术 高级检测技术 入侵诱骗技术 入侵响应技术,1 2
15、3 4 5,概率统计异常检测 特征选择异常检测 贝叶斯推理异常检测 贝叶斯网络异常检测,模式预测异常检测 神经网络异常检测 机器学习异常检测 数据挖掘异常检测,异常检测技术,概率统计异常检测方法,是异常检测技术中应用最早也是最多的一种方法,根据异常检测器观察主体的活动,然后产生刻划这些活动 的行为轮廓(用户特征表),每一个轮廓保存记录主体当前行为,并定时将当前轮廓与 历史轮廓合并形成统计轮廓(更新),通过比较当前轮廓 与统计轮廓来判定异常行为,用于描述特征的变量类型及具体操作:P189,概率统计异常检测方法,优点:可应用成熟的概率统计理论 缺点:, 由于用户行为的复杂性,要想准确地匹配一个用户
16、的历史行,为非常困难,容易造成系统误报和漏报, 定义入侵阈值比较困难,阈值高则误报率提高,阈值低则漏,报率增高,基于神经网络异常检测方法,基本思想:用一系列信息单元(命令)训练神经元,神经网络的输入层是用户当前输入的命令和已执行过的W 个命令;用户执行过的命令被神经网络使用来预测用户输 入的下一个命令,若神经网络被训练成预测用户输入命令序列集合,则神经 网络就构成用户的轮廓框架,于是网络对下一事件的预测 错误率在一定程度上反映了用户行为的异常程度 用于入侵检测的神经网络示意图:P190,基于神经网络异常检测方法,优点:,更好地表达了变量间的非线性关系,能更好地处理原始数 据的随机特征,即不需要对这些数据做任何统计假设,并 且能自动学习和更新, 有较好的抗干扰能力,缺点:网络拓扑结构以及各元素的权重很难确定,主要假设:具有能够被精确地按某种方式编码的攻击, 并可以通过捕获攻击及重新整理,确认入侵活动是基于 同一弱点进行攻击的入侵方法的变种,误