攻击检测技术漫谈(上)

“
了实 现
存取 控制
”
。
”
,
首 先需 要实现
身份标 识 授权
”
”
/
;
用 于 攻 击 检测 等安全 目 的
必须 配 备 自动 工 具 对
。
身份 鉴 别
,
然 后 以 此为基 础建 立
、
“
机制
以 期尽 早 发 现那 些 可 疑事 件
由 于 已 经 从理 论上 证明 不存在 绝 对 安全 的 安全 系
给 出报 警 或 对 抗措 施
, ,
s
.
,
,
、|| /
供 应商
S ll i f
e r
。
它将旗下产 品 汇成单一集成环境
P GP
、
命名为
Ne t T
o l ( 全面企业 网络解决方案 ) s
。
其中包含的品牌有 M c
A
、
e f
、
Cy
e b
r
Co p 和 Z A C
。
38
计 算机 与 通 信
199 8
年
10
期
、
可 疑 的攻 击 行 为时
ta
。
同 时审 计跟踪 还能 用 以 证
。
明一 个受 到 怀疑 的人 是真 的有 罪 还是 无 辜 的 息来 建立 跟踪 文 件
了 性 能测 试 或计 费
,
其 思 路与 流 行 的 数据 挖掘 ( D a
大 型的 计算 机 系统 中都 收集 审计 信
Mi n i n g )技 术 是 极其 类似 的
系统根
外部 攻 击
。为 了从 大量的源自有时 是 冗余 的审 计 跟 踪 数据
,
唯一 方法
能够 在
,
中提 取 出对安 全功 能 有 用 的 信 息 或检 测 工 具是 很必 要的
及 安全 的信 息
。 ,
基 于计 算机 系
一 定 程度 上 使用 户为其 失误 或 非法行 为负 责 而增 强他 们 的责 任感 早期 中
、
从
统审 计跟 踪信 息 设 计 和实 现的 系统 安全 自动分 析 可 以 用 于从 中筛 选 出 涉
像 电子 商 务这 种 应 用 是
。
通 用 的 审计 跟 踪 能 提供 用 J
, ,
将 在很 大 程度 上 取 决 于 人 建立 安
“ “
攻 击 检测 的 重 要 信 息 磁盘 空 间 的数 量等 等 攻击 检测 的相 关信 息 审 计 数据 进行 分析 或行 为 的 线索
, ,
例 如 什 么 人运行 了 什 么 程
,
系统提 供 实时 的警报
, 。
,
在攻
保持 跟 踪 并监 测 (S t a (
In t
n
记 录 该用 户 的 行为
h io n
。
。
S R 工 IDE S
击 发 生时 就 能提 供 攻 击者 的有 关信 息 包括 攻击 企 图 指 向的信 息
2
.
其 中 可以
fo i
r
d
Re s e
一
a r e
In
s
t it u t e
使 用 过 内存 和
们对 网 络 环境 下 的信 息系统 安全 的信心 全 信 息 系统 的 中心是 实现 控制
“ ”
,
何 时访 问或 修改 过 哪 些 文 件
。 。
存取控 制
“
”
,
或
访问
。
但也 可能 漏掉部 分 重 要的 为 了 使通 用 的审 计跟 踪能
,
并且将 其 作 为最基 本的 一 道安 全防 线 为
。
保 证信 息 系统安 全 的 主 要 问 题 是 建 立 安全 机 制
,
意义
。
迄 今 为止 已 发 展 了 许 多安 全机 制
:
,
,
但 安全 问
对于 攻 击 企 图 / 成功 攻 击 程度 是 不 能保 证 的 序
, 。
,
被动审 计 的检 出
二
题仍 然备 受 怀疑 和关注 否会 得 到充 分的推 广
)研 制 开发 的
Sy 乱e
r u s
o n
De
tc e t
Ex
t 详r
m )是 一个典
攻 击 分类
,
型 的实 时检 测系统 一 般 至 少 应 当考虑 如 下 三类
、 。
工 D ES
系统能 根据 用 户 以前 的
。
在 安全 系统 中 安全 威胁
:
历 史 行 为决定 用 户 当前 的行 为是 否 合法
这些 审计跟 踪 的 目的 多是 为
因 此 对攻 击检 测提供 的有 用 最 主 要 的 困 难 在 于 审 计信 息
,
,
基 于 审 计 的 自动分 析检测 工 具 可 以 是 脱机的
,
,
信 息 比较 少 粒 度 的安 排
,
。
此外
,
也 就 是分 析 工 具 非 实 时地 对审 计跟踪 文 件 提供的
,
对 于 人 工检 查而 言
由 于 其 不 可 行 而毫 无
对 审计跟 踪 文件提 供 的信 息进行 同 步 处 理
当有
|\/
( IN r k As e two o 一 家齐备 网络 管理 防病 毒
NA
、
*
c
、
a e i t
t r a 市 是业界 唯一 ) 即 美 国 网 络联盟 公 司 它 的 总 部设在美 国加 州 a S na C a l 防火墙 等 网 络安 全 产 品 的软 件供应商 也是全球最大的企业 网 络安全 和管理解决方案 Ic n
网络 与 信 息 安全 专 栏
攻 击检侧 技 术
漫
编者按
:
一 本栏 由 美 国 网 络联 盟北京办 事处协办
谈 (上 )
刘启原
,
随 着 以 网 络 为核 心 的 信 息技 术 日 新 月异 的 发 展
, ,
e r ne t / , n七r a 尤 其 是 In 七 n
。
e:
在 全球 的
,
迅 速 普 及 及 电 子 商 务的 兴 起 界 著名 的 网 络 安 全公 司 N A
统
因 此一 般将 审 计跟 踪
、
攻 击检 测系统 作为 信
。
息 系统的 最 后 一 道安全 防 线 审计 跟踪 范能 力
, 。
基 于 审计信息的攻击检 测 技术
1
.
攻击检 测具 有最 后 防线性 质的 防
, ,
检 测技术 分类
、
它 也许 是 用 来发 现合 法用 户 滥 用 特权 的 另外 它还提 供 了 一 种 机 制
,
信 息进行 处理
,
从而得 到 计算机 系统 是 否 受 到 过
。 ,
即 当审计 信息 粒度较 细时
, ,
数据 量
,
攻 击的结 论 并 且 提 供 尽 可 能 多的攻 击者的 信息 此外
,
过 于庞 大和 细 节 化 而将 有 用 的信 息淹没 在其 中
因此
也 可 以 是联机 的
也就是 分析 工 具 实时地
r
网 络 安 全 问 题 正 日 益 为 人 们所 关 注
为 了帮 助 广 大 用户 ( 包括 企
19 8
业 用户 )在 保 证安 全 的 前提 下 尽 量 享 受丰 富的 网 络 资 源
本 刊 决 定从
”
0 期起 年 第1
与世
联 合开设
“
网 络 与信
息安 全
这一栏 目
。
欢 迎 从 事 网 络 工 作 的 专 家及技 术 工 作人 员踊 跃 来 稿