天阗入侵检测与管理系统
反扫描技术的原理及应用
反扫描技术的原理及应用摘要：在网络生活中，扫描是很多黑客攻击第一步。
因此，我们要做的第一步就是反扫描工作，拒绝黑客的攻击。
本文简要地阐述了反扫描技术的原理、组成部分以及实际应用，对最新反扫描技术的成果进行了简单的介绍。
关键词：防火墙技术、入侵检测技术、审计技术、访问控制技术、信息欺骗扫描是网上攻击者获取信息的最重要途径，是攻击开始的前奏。
黑客常常利用扫描技术进行信息的收集。
因此，做好反扫描工作刻不容缓。
当然，防范和发现扫描需要靠多种技术综合才能做到。
网络管理员或者个人用户为了阻止非正常的扫描操作并防止网络攻击，增加系统安全性，研究了反扫描技术。
一、反扫描技术的原理扫描技术一般可以分为主动扫描和被动扫描，它们都是需要在扫描过程中与受害主机互通正常或非正常的数据报文。
其中主动扫描是主动向受害主机发送各种探测数据包，根据其回应判断扫描的结果。
被动扫描是与受害主机建立正常的连接后，发送属于正常范畴的数据包，并且被动扫描不会向受害主机发送大规模的探测数据。
要想进行反扫描，其原理如下：1.减少开放端口，做好系统防护。
默认情况下，有很多不安全或没有什么用的端口是开启的。
21端口的FTP服务，易被黑客通过匿名登录利用，建议如不架设FTP，就关闭。
53端口DNS服务，最易遭到黑客攻击，建议如不提供域名解析服务，就关闭。
135端口远程过程调用，易被“冲击波”病毒攻击，建议不定期关闭该端口。
还有139、443、445、1080等端口都存在易被黑客攻击的漏洞。
因此，减少开放端口对于做好系统防护工作是十分有必要的。
2.实时监测扫描，及时做好警告。
我们每个人都应有安全意识，对计算机要定期进行全盘扫描，防止病毒入侵。
对于外来插入的移动存储介质，也应先扫描再打开。
对于不确定是否安全的文件，可以在沙箱中打开查看。
在上网的过程中，防火墙及个人杀毒软件都要打开，进行实时监测，谨防网络病毒。
最好的办法是用虚拟机上网，可以大大减少网络病毒对主机的危害。
入侵检测系统(IDS)
信息分析
模式匹配----误用检测（Misuse Detection）
维护一个入侵特征知识库 准确性高
统计分析--------异常检测（Anomaly Detection）
统计模型 误报、漏报较多
完整性分析
关注某个文件或对象是否被更改 事后分析
17
模式匹配
模式匹配就是将收集到的信息与已知的网络入侵 和系统误用模式数据库进行比较，从而发现违背 安全策略的行为
入侵检测系统IDS
黑客攻击日益猖獗,防范问题 日趋严峻
政府、军事、邮电和金融网络是黑客攻击的主要 目标。即便已经拥有高性能防火墙等安全产品， 依然抵挡不住这些黑客对网络和系统的破坏。据 统计，几乎每20秒全球就有一起黑客事件发生， 仅美国每年所造成的经济损失就超过100亿美元。
网络入侵的特点
特点：异常检测系统的效率取决于用户轮廓的完 备性和监控的频率。因为不需要对每种入侵行为 进行定义，因此能有效检测未知的入侵。同时系 统能针对用户行为的改变进行自我调整和优化， 但随着检测模型的逐步精确，异常检测会消耗更 多的系统资源。
误用检测模型
如果入侵特征与正常的用户行为能匹配，则系统 会发生误报；如果没有特征能与某种新的攻击行 为匹配，则系统会发生漏报。
NetRanger IDS
Intrusion Detection公司
Kane Security Monitor
Axent Technologies公司
OmniGuard/Intruder Alert
当前主流产品介绍
Internet Security System公司
RealSecure
识别黑客常用入侵与攻击 监控网络异常通信 鉴别对系统漏洞和后门的利用 完善网络安全管理
入侵检测系统
入侵检测系统1. 引言1.1 背景近年来，随着信息和网络技术的高速发展以及其它的一些利益的驱动，计算机和网络基础设施，特别是各种官方机构网站成为黑客攻击的目标，近年来由于对电子商务的热切需求，更加激化了各种入侵事件增长的趋势。
作为网络安全防护工具“防火墙”的一种重要的补充措施，入侵检测系统(Intrusion Detection System，简称 IDS)得到了迅猛的发展。
依赖防火墙建立网络的组织往往是“外紧内松”，无法阻止内部人员所做的攻击,对信息流的控制缺乏灵活性从外面看似非常安全，但内部缺乏必要的安全措施。
据统计，全球80%以上的入侵来自于内部。
由于性能的限制，防火墙通常不能提供实时的入侵检测能力，对于企业内部人员所做的攻击，防火墙形同虚设。
入侵检测是对防火墙及其有益的补充，入侵检测系统能使在入侵攻击对系统发生危害前，检测到入侵攻击，并利用报警与防护系统驱逐入侵攻击。
在入侵攻击过程中，能减少入侵攻击所造成的损失。
在被入侵攻击后，收集入侵攻击的相关信息，作为防范系统的知识，添加入知识库内，增强系统的防范能力，避免系统再次受到入侵。
入侵检测被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监听，从而提供对内部攻击、外部攻击和误操作的实时保护,大大提高了网络的安全性。
1.2 背国内外研究现状入侵检测技术国外的起步较早，有比较完善的技术和相关产品。
如开放源代码的snort，虽然它已经跟不上发展的脚步，但它也是各种商业IDS的参照系；NFR公司的NID等，都已相当的完善。
虽然国内起步晚，但是也有相当的商业产品：天阗IDS、绿盟冰之眼等不错的产品，不过国外有相当完善的技术基础，国内在这方面相对较弱。
2. 入侵检测的概念和系统结构2.1 入侵检测的概念入侵检测是对发生在计算机系统或网络中的事件进行监控及对入侵信号的分析过程。
使监控和分析过程自动化的软件或硬件产品称为入侵检测系统（Intrusion Detection System），简称IDS。
TDS
天阗威胁检测与智能分析系统四川新华智合科技有限责任公司二零一零年九月目录1.TDS是什么？ (1)2.为什么会出现TDS？ (1)3.TDS的功能特点 (2)4.IDS的不足 (2)5.TDS针对传统IDS的优势 (3)5.1全面的威胁检测能力 (3)5.2专家级的智能分析能力 (4)5.3可视化的威胁呈现能力 (5)1. TDS是什么？天阗威胁检测与智能分析系统是启明星辰公司自行研制开发的新一代入侵检测类网络安全产品。
她继承并发扬了启明星辰天阗入侵检测与管理系统的入侵检测能力，用以满足在网络在面临海量攻击事件情况下的威胁检测与呈现需求。
她一方面增强了检测能力，融特征检测、精确检测算法以及基于基线的异常检测为一体，使其可以检测到日新月异的攻击；另外，更为突出的是，她提供了传统IDS产品所不具备的智能分析能力，通过对事件的智能分析，帮助管理员找到真正具有威胁能力的事件，这大大降低了运维工作量，使威胁处理成为可能。
同时，她提供了对信息系统整体事件的威胁态势分析，帮助决策者实现针对当前威胁态势的安全建设决策。
启明星辰在入侵检测技术领域的成就深受国家权威部门的肯定和认可，是国家计算机网络应急技术处理协调中心(CNCERT)和CNCVE的承建单位.。
同时，启明星辰公司的天阗入侵检测通过了CVE严格的标准评审，获得最高级别的CVE兼容性认证（CVE Compatible），从而成为国内IDnVA市场中较少的获得CVE认证的厂商之一，这标志着启明星辰公司在入侵检测方面的技术实力已与国际接轨，其研发成果已得到了国际权威组织的充分认可。
天阗威胁检测与智能分析系统正是基于启明星辰强大的技术实力基础上，研制开发出的具备强大的功能的智能系统。
它是第一款可以在面临海量攻击事件网络中有效的帮助用户进行威胁事件处理一级威胁态势分析的产品。
2. 为什么会出现TDS？在黑客技术仅仅被少数人利用的时代，入侵检测技术被用于发现这些黑客的攻击行为。
易驱CV用户手册
易驱CV用户手册一、产品概述易驱CV是一款高性能的数据转换器，旨在满足用户在各种复杂环境下的数据转换需求。
本产品具有即插即用、方便携带、兼容性强等特点，是专业技术人员和普通用户理想的数据转换工具。
二、产品特点1、高速传输：易驱CV采用最新的USB3.0技术，支持高速数据传输，极大提高了数据转换的效率。
2、全面兼容：本产品兼容多种操作系统，无需安装驱动程序，即可在任何计算机上使用。
3、便携设计：易驱CV采用轻便、耐用的设计，方便用户随时随地使用。
4、稳定可靠：经过严格的质量控制和测试，易驱CV具有高度的稳定性和可靠性，确保数据传输的安全。
三、使用步骤1、将易驱CV插入计算机的USB端口。
2等待系统自动识别并安装驱动程序，如有需要，手动安装驱动程序。
3、在计算机上打开文件管理器，找到并打开易驱CV的存储设备。
4、将需要转换的数据文件复制到易驱CV的存储设备中。
5、完成数据转换后，将转换后的数据文件从易驱CV的存储设备中复制到目标位置。
四、注意事项1、请勿在易驱CV工作时断开连接，以免造成数据丢失或设备损坏。
2、请勿将易驱CV暴露在高温、高湿、多尘的环境中，以免影响其正常工作或缩短使用寿命。
3、请定期对易驱CV进行清理和保养，以保证其良好的工作状态。
4、如遇到任何使用问题或故障，请及时售后服务中心获取帮助。
五、售后服务我们提供全面的售后服务，包括产品咨询、使用指导、故障排除等。
如遇到任何问题，欢迎我们的客服团队，我们将尽快为大家解决。
我们还提供产品保修服务，如产品在正常使用下出现质量问题，我们将免费为大家维修或更换。
vacon变频器用户手册标题：Vacon变频器用户手册一、引言本用户手册旨在为使用Vacon变频器的用户提供详细的使用指南和操作建议。
Vacon变频器是一种广泛使用的电力转换设备，可实现交流电源频率的稳定输出，适用于各种工业和商业应用。
在阅读本手册之前，我们建议用户仔细阅读本手册，并按照指南进行操作，以确保安全和设备正常运行。
天阗入侵检测与管理系统安装手册
用户安装手册——天阗入侵检测与管理系统产品名称：天阗入侵检测与管理系统版本标识：V6.0.3.1单 位：北京启明星辰信息安全技术有限公司版 权 声 明本手册中任何信息包括文字叙述、文档格式、插图、照片、方法、过程等内容，其著作权及相关权利均属于北京启明星辰信息安全技术有限公司（以下简称“本公司”），特别申明的除外。
未经本公司书面同意，任何人不得以任何方式或形式对本手册内的全部或部分内容进行修改、复制、发行、传播、摘录、备份、翻译或将其全部或部分用于商业用途。
本公司对本手册中提及的所有计算机软件程序享有著作权，受著作权法保护。
该内容仅用于为最终用户提供信息，且本公司有权对其作出适时调整。
“天阗”商标为本公司的注册商标，受商标法保护。
未经本公司许可，任何人不得擅自使用，不得进行仿冒、伪造。
本公司对本手册中提及的或与之相关的各项技术或技术秘密享有专利（申请）权、专有权，提供本手册并不表示授权您使用这些技术（秘密）。
您可通过书面方式向本公司查询技术（秘密）的许可使用信息。
免责声明本公司尽最大努力保证其内容本手册内容的准确可靠，但并不对因本手册内容的完整性、准确性或因对该信息的误解、误用而导致的损害承担法律责任。
信息更新本手册依据现有信息制作，其内容如有更改，本公司将不另行通知。
出版时间本文档由北京启明星辰信息安全技术有限公司2008年4月出版。
北京启明星辰信息安全技术有限公司保留对本手册及本声明的最终解释权和修改权。
目次1．简述 (1)2．安装准备 (1)2.1管理软件安装准备 (1)2.2引擎安装准备 (2)2.3网络资源准备 (3)3．开箱检查 (4)4．软件安装 (5)4.1网络型管理软件安装 (5)4.2管理型管理软件安装 (11)4.3使用O RACLE数据库的注意事项 (15)4.4软件卸载 (16)5．引擎安装与配置 (17)5.1接口说明 (17)5.2超级终端安装及设置 (17)附录A 快速使用流程 (25)附录B 多级管理设置 (28)附录C 数据源的配置 (31)天阗用户安装手册 1．简述天阗入侵检测与管理系统由管理软件和引擎两部分组成，管理软件是产品包装中附的免费软件。
启明星辰IDS用户安装手册
用户安装手册用户安装手册——天阗V6.0产品名称：天阗入侵检测与管理系统版本标识：V6.0.1.8单位：北京启明星辰信息技术有限公司北京启明星辰信息技术有限公司天阗用户安装手册版权声明本手册中任何信息包括文字叙述、文档格式、插图、照片、方法、过程等内容，其著作权及相关权利均属于北京启明星辰信息技术有限公司（以下简称“本公司”），特别申明的除外。
未经本公司书面同意，任何人不得以任何方式或形式对本手册内的全部或部分内容进行修改、复制、发行、传播、摘录、备份、翻译或将其全部或部分用于商业用途。
本公司对本手册中提及的所有计算机软件程序享有著作权，受著作权法保护。
该内容仅用于为最终用户提供信息，且本公司有权对其作出适时调整。
“天阗”商标为本公司的注册商标，受商标法保护。
未经本公司许可，任何人不得擅自使用，不得进行仿冒、伪造。
本公司对本手册中提及的或与之相关的各项技术或技术秘密享有专利（申请）权、专有权，提供本手册并不表示授权您使用这些技术（秘密）。
您可通过书面方式向本公司查询技术（秘密）的许可使用信息。
免责声明本公司尽最大努力保证其内容本手册内容的准确可靠，但并不对因本手册内容的完整性、准确性或因对该信息的误解、误用而导致的损害承担法律责任。
信息更新本手册依据现有信息制作，其内容如有更改，本公司将不另行通知。
出版时间本文档由北京启明星辰信息技术有限公司2006年3月出版。
北京启明星辰信息技术有限公司保留对本手册及本声明的最终解释权和修改权。
1用户安装手册目录第1章软件安装 (1)1.1 准备条件 (1)1.2 网络型安装过程 (1)1.2.1 MSDE数据库 (3)1.2.2网络入侵检测 (3)1.3 管理型安装过程 (10)1.3.1 MSDE数据库 (12)1.3.2网络入侵检测 (12)1.3.3异常流量监测 (21)1.3.4入侵事件定位 (22)1.3.5入侵风险评估 (24)1.3.6天阗使用Oracle数据库的注意事项 (25)第2章软件卸载 (26)第3章硬件安装 (27)3.1 准备条件 (27)3.2 标识说明 (27)3.3 超级终端安装及设置 (28)3.4 天阗网络引擎配置 (33)3.5 应用配置 (34)3.5.1选项介绍 (34)3.5.2初始应用 (36)3.6 常用交换机镜像设置 (36)附录一：快速使用指南 (41)快速使用流程 (41)多级管理设置 (44)附录二：数据源的配置 (48)北京启明星辰信息技术有限公司天阗用户安装手册第1章软件安装1.1准备条件硬件配置要求：CPU：P 4 2.0 以上RAM：1G以上硬盘：20G以上的剩余空间网卡：Intel百兆或千兆电口网卡辅件：光驱、键盘、鼠标注：推荐您最好专机专用，安装天阗控制台的机器不要作为其他用途的服务器。
天阗6.0入侵检测系统使用维护
天阗6.0常见问题处理
如何确定控制中心与探测引擎通信正常
在控制中心使用ping <探测引擎IP>命令后， 使用 arp –a 命令。若出现探测引擎IP 并其 MAC地址，则说明控制中心与探测引擎通 信没问题。 若控制中心与探测引擎中间有路由器存在， 可以使用以下命令：telnet <探测引擎IP> 22。（需要先在探测引擎打开该端口） 。 若连接不被切断有信息返回说明控制中心 与探测引擎通信没问题。
网络入侵检测系统常用功能 网络入侵检测系统高级功能 网络入侵检测系统日常维护
日常工作建议
每日查看天阗控制台工作是否启动或是 否工作正常。 每日查看控制台连接引擎是否正常 每日早晚各一次查看报警信息。 对可疑事件进行及时分析。 及时调整并下发天阗工作策略。 根据情况及时上报事件。
日常维护建议
至少每周进行一次天阗事件库更新。 注意启明星辰网站对天阗事件库的更新 或从售后服务部门获取。 注意天阗控制中心和引擎的升级包。 定期查看日志数据库大小及进行数据库 维护。
表示不等于 表示小于关系 表示相等关系 表示大于关系 表示包含关系
变量定义
常用变量定义 源地址:ip_sip 目的地址:ip_dip 源端口:tcp_sport 目的端口:tcp_dport
动态策略
新建方案 添加规则
响应方式 过滤条件 合并方式
高级功能
多级管理 响应方式 过滤条件 事件合并 事件自定义 动态策略
天阗6.0常见问题处理
如何确认天阗安装完全
控制中心，检查snmp是否正确安装 添加组件，看下拉列表。 打开管理报表，看水晶报表 打开服务，查看datatransfer（数据传 输）、venusautostora测引擎与控制中心连接不上
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
事件说明：zotbot病毒是一
种。。。。。。。
响应
检测+“响应”
防护
影响系统：windows操作系统
处理建议：。。。。。。。。。。。。。。
补丁下载：
http://securityresponse.symantec.co m/avcenter/venc/data/w32.zotob.a. html
– 详细处理方法
事件名称： 事件 描述 影响
TCP_蠕虫_W32.zotob.a/b变种_IRCBOT
W32.zotob蠕虫是Mytob蠕虫的最新变种。目前该蠕虫产生了两个变种，名称分别为W32.zotob.a和W32.zotob.b。该事件表明源IP 主机已经中毒且正在连接目的IP的IRC服务器，并被攻击者远程控制。该蠕虫利用了微软2005年8月10日公布的最新系统严重漏洞 －－Microsoft Windows Plug and Play远程缓冲区溢出漏洞 (MS05-039) 进行主动攻击。Zotob蠕虫攻击TCP端口445，和冲击波、 振荡波方法类似，攻击代码向目标系统的445端口发送漏洞代码，使目标系统造成缓冲区溢出，同时运行病毒代码，进行传播。该 病毒传播的广度非常大。病毒攻击目标系统时 WINDOWS系统 b建议您：下载微软公布的MS05-039漏洞的最新补丁，避免病毒利用该漏洞攻击存在该漏洞的主机；升级最新的杀毒工 具，或者下载针对该蠕虫的专杀工具进行杀毒。 ，可能造成系统不断重启，类似于震荡波、冲击波发作时候的情形，但是Zotob蠕 虫影响的进程变了，为系统关键进程“Service.exe”。中毒的主机还可能会主动通过IRC连接某些IRC服务器上的机器人，并通过该 机器人被病毒散播者控制，病毒散播者可以远程控制连接到这些IRC服务器上的中毒主机进行一些非法的操作。。 Zotob蠕虫除了 利用漏洞攻击外，还具有邮件传播、自动下载新病毒等等这些邮件病毒所具有的危害。
36
天阗IDS的“第一”
• 连续六年国内IDS市场份额第一
– 多年市场成功销售，保证产品持续发展 – 客户遍布全行业，树立良好的用户口碑 – 销售全过程体系成熟：销售、售前、售后以及商务经验传承
• •
多次权威测评产品排名第一 IDS领域的技术先驱
– – – – – – –
– 最全面的资质认证，国际CVE产品兼容证书 – 各种专利技术保证产品检测能力和性能领先
扩充能力
基于原理检测 综合优势
基于特征检测 对新攻击的应 变能力
基于特征检测 综合优势
精确检测覆盖面
基于原理检测
27
全面检测之五：组网能力全面
• 面向复杂网络
OA办公区
生产网络 多个接口灵活组网模式：
•面对不同网络下发不同策略 •在同一界面上统一管理 TCO方面： • 免除重复投资 • 节略管理投入
BigHammer 内置防火墙交换机 IPS
定位威胁
安全策略服务器
IDS
AV
Internet
SmartHammer 防火墙
路由器
VPN VPN路由器 VPN
Radius & AAA
人员数据库
清除步骤
80端口
========== 1. 结束病毒进程 %System%\FuckJacks. exe ……
全面检测威胁面临的挑战之一
• 协议分析要求全面
公开协议 上千种应用 多种协议变量
协 议 分 析
未公开协议
数据库：TNS（oracle）、TDS（SQL）等
即时通讯：TCQ、MSNP等
动态协商端口
新型协议：SIP、P2P等
非标准端口
用户自行定义协议端口
12
全面检测威胁面临的挑战之二
• 攻击识别要求全面
•特点
–特征变，检测方法就要变
•特点
–特征变，检测方法不用变
动态的检测 以变应变 检测不全面
15
静态的检测 以不变应万变 检测扩充复杂
全面检测威胁面临的挑战之五
• 检测对象覆盖要求全面
– 面向多级网络
分支机构
Internet 单位总部
远程办公
合作单位
– 面向复杂网络
16
数据检测完整性保证
• 计算机数量和网络的发展
威 胁 管 理
IDS
入 侵 行 为 检 测
入 侵 行 为 呈 现
安 全 运 营
为风险管理提供基础数据，并为安全建设 决策提供参考 科学的安全建议，保证网络具备相应的威胁抵御能力 实时告警，多种格式用户报表，日志记录，历史备份等； 识别各种协议，对各种攻击、病毒等入侵行为的检测；
IDS为风险管理和安全决策提供支持
攻击行为 异常流量 网络协议 检测机制 物理覆盖
检测算法
部署位置
网络性能
检测 内容
检测 机制
检测 对象
检测 性能
全面检测
18
有效呈现威胁的诸多要求
多种用户自定义 不同部署位置
多种报警方式 结合网络拓扑 界面直接管理
功能自动执行
有效呈现
事件详细解释 及时报警显示
定位事件源头
清晰传播途径 科学处理步骤
•
——安全管理员
疑问：这么多信息都需要一条条分析么？ 能不能有一种方法降低IDS的报警数量？ 为什么会有这么多报警信息？
受病毒感染机器
Internet
UNIX
结合环境，精确报警信息， 降低“误”报率 “环境指纹”技术
ANI蠕虫
31
Solaris
AIX
有效呈现之二：详尽描述
• “看到报警应该怎么处理？”
– 摩尔定律
• 全世界因特网流量每6个月翻一番 • 一年内因特网上网用户翻两番
网 络 发 展
Internet、区域网络 多个局域网 单个局域网 单个局域网 单个PC 单个PC 1990S 2000S
多个局域网、单个
局域网、单个PC
单个PC
1980S
时间
网络规模的发展要求IDS满足高性能检测
17
小结-全面的威胁检测要求
9
IDS如何发挥应有价值
入侵检测
黑客攻击 蠕虫病毒 木马后门 间谍软件 ……
威胁管理
实时报警
事件统计 处理办法 安全措施
……
全面的检测覆盖
有效的威胁呈现
做好全面和有效才能体现IDS的价值
10
• 深入认识IDS价值
• 发挥IDS价值的客观要求 • 天阗全面检测与有效呈现 • 天阗IDS产品介绍 • 天阗典型应用
• 通过详细日志定位问题
大量低级事件为特殊 端口连接事件且主要 来自三台主机
5
IDS实际应用中的价值发挥
• 解决问题，有效控制病毒传播 – 措施1：禁止威胁扩散
主机：王二
– 措施2：寻求启明星辰安全专家帮助 – 措施3：升级IDS产品，根据处理方法杀毒
清除步骤
升级包
========== 1. 结束病毒进程 %System%\FuckJacks. exe ……
总控
总局主控制中心
数据汇总流
天阗IDS引擎 各地直属机构子控中心 直管分属子控中 心
– 威胁监控
• 通过事件报告发现异常： 类似蠕虫病毒
天阗IDS引擎
下级子控
天阗IDS引擎
下级子控
日常：周事件统计报告 高级 0；中级 245； 低级 1027；
异常：某周事件统计报告 高级 0；中级 266； 低级 51843； 现场对三台主机进行 排查，发现主机中出 现熊猫烧香图标
协议分析
协议伺服器
23
全面检测之二：流量检测
• 异常流量检测乱序算法
– 传统使用hash算法 • 性能较差 • 维护hash表将消耗极大内存 – 采用熵值计算的微缩算法 • 熵值是混乱和无序的度量 • 计算方法简单“S＝ KlnΩ” • 无需维护随会话量而增长的表
流量
时间
24
全面检测之三：攻击识别
1
• 深入认识IDS价值
• 发挥IDS价值的客观要求 • 天阗全面检测与有效呈现 • 天阗IDS产品介绍 • 天阗典型应用
回顾中国IDS历史
• IDS在中国
– 起源：抓“黑客”; 发展：入侵检测到威胁检测
3
IDS面临新需求
攻击效率越来越高，检测思路面临挑战 自动化攻击：出售攻击工具、黑色产业链
检测
这里的响应是指被动响应——报警
参考文 档:dfe./dfejw/df
相关编号：cve-xxxxx 危害描述：
32
有效呈现之三：关联定位
大规模部署
报警信息：172.16.235.21 slammer病毒 31次
33
有效呈现之四：详细事件处理指导
– 事件呈现
• 拓扑 报警
• 抗躲避能力
–超过12种常用躲避方法检测
–支持攻击还原、编码拟态识别
• 攻击识别能力
–支持会话内/间关联识别复杂攻击
–基于漏洞机理的攻击识别复杂 –支持多达20个的逻辑操作 –支持正则表达式 – ……
25
全面检测之三：攻击类型识别全面
• 攻击类型包括：
– – – – – – – – – – – – – –
产品升级包
科学指导事件处理
7
度量安全建设效果 发现→定位→解决→管理
从风险管理看IDS威胁管理
ISO13335：风险管理模型
威胁管理
量化威胁
威胁
定位威胁
科学指导 度量安全建设效果
三分技术 七分管理
8
深入认识IDS价值
• 科学使用IDS
– 不再是抓“黑客”的简单IDS – 从威胁检测上升到威胁管理层面
管理模板更新