一、入侵检测技术

一、入侵检测技术1.入侵检测的定义入侵检测是指在特定的网络环境中发现和识别未经授权的或恶意的攻击和入侵，并对此做出反映的过程。

入侵检测系统IDS（Intrusion Detection System）是一套运用入侵检测技术对计算机或网络资源进行实时检测的系统工具。

IDS一方面检测未经授权的对象对系统的入侵，另一方面还监视授权对象对系统资源的非法操作。

2.入侵检测的作用原理入侵检测的作用有下面几点：1)入侵检测作为一种积极主动的安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护，在网络系统受到伤害之前拦截和响应入侵。

2)入侵检测是防火墙的延续，监控并记录网络活动并对检测到的异常网络活动做出反应，并与防火墙配合加以阻断。

入侵检测系统IDS可以提供关于网络流量非常详尽的分析。

它们可以监视任何定义好的流量。

很多系统对FTP，HTTP和Telnet流量都有缺省的设置，还有其它的流量像NetBIOS，本地和远程登录失败等。

用户也可以自己定制策略。

如果用户定义了策略和规则，便可以获得FTP，SMTP，Telnet和任何其它的流量。

这种规则有助于用户追查该连接和确定网络上发生过什么，以及现在正在发生什么。

这些程序在用户需要确定网络中策略实施的一致性情况时是非常有效的工具。

IDS与系统扫描器System Scanner不同。

系统扫描器是根据攻击特征数据库来扫描系统漏洞的，它更关注配置上的漏洞而不是当前进出主机的流量。

在遭受攻击的主机上，即使正在运行着扫描程序，也无法识别这种攻击。

IDS扫描当前网络的活动，监视和记录网络的流量，根据定义好的规则来过滤从主机网卡到网线上的流量，提供实时报警。

如果在同一台主机上运行IDS和系统扫描器的话，配置合理的IDS 会发出许多报警。

一个合格的IDS能大大的简化管理员的工作，保证网络安全的运行。

3.入侵检测系统的作用综上所述，入侵检测系统的作用有以下几种：1)监视、分析用户和系统的运行状况，查找非法用户和合法用户的越权操作；2)检测系统配置的正确性和安全漏洞，并提示管理员修补漏洞；3)对用户非正常活动的统计分析，发现攻击行为的规律；4)检查系统程序和数据的一致性和正确性；5)能够实时地对检测到的攻击行为进行响应；6)对操作系统审计跟踪管理，并识别用户违反安全策略的行为。

4.入侵检测的意义计算机网络安全应提供保密性、完整性以及抵抗拒绝服务的能力，但是由于联网用户的增加，很多系统都或多或少地受到入侵者的攻击。

为了对付这些入侵者的攻击，人们采用一定的技术和产品对系统进行加固和防护。

比如，采用安全的操作系统和数据库，在网络边界配置防火墙，传输过程中采用各种加密技术，使用集中的身份认证等。

然而，单纯的加固和防护技术却存在着一些问题：1)单纯的防护技术容易导致系统的盲目建设，一方面是不了解安全威胁的严峻和当前的安全现状；另一方面是安全投入过大而又没有真正抓住安全的关键环节，导致资源浪费。

2)防火墙策略有明显的局限性。

a)防火墙很难解决内部人员的安全问题，即防外不防内。

b)防火墙的管理及配置相当复杂，要想成功地维护防火墙，要求防火墙管理员对网络安全攻击的手段及其与系统配置的关系有相当深刻的了解。

一般来说，由多个系统（路由器、过滤器、代理服务器、网关、堡垒主机）组成的防火墙，管理上有所疏忽是在所难免的。

c)防火墙的安全控制主要是基于IP地址的，为用户在防火墙内外提供一致的安全策略很难，限制了组织网的物理范围。

d)防火墙只实现了粗粒度的访问控制，且不能与机构内部使用的其它安全机制集成使用，这样，机构就必须为内部的身份验证和访问控制管理维护单独的数据库。

3)静态安全措施不足以保护安全对象属性。

通常，在一个系统中，静态的安全特性（例如不进行动态预测的防火墙）可能过于简单并且不充分，或者是系统过度地限制用户。

例如，静态技术未必能阻止违背安全策略造成浏览数据文件的行为；而强制访问控制（例如所有用户都不可以使用Telnet）仅允许用户访问具有合适通道的数据，这样造成系统使用不便。

因此，一种动态的方法如行为跟踪对检测和尽可能阻止安全突破是必要的。

4)无论在理论上还是在实践中，试图彻底填补一个系统的安全漏洞都是不可能的，也还没有一种切实可行的办法解决合法用户在通过“身份鉴别”或“身份认证”后滥用特权的问题。

针对日益严重的网络安全问题和越来越突出的安全需求，“可适应网络安全模型”和“动态安全模型”应运而生。

而入侵检测系统在动态安全模型中占有重要的地位。

二、入侵检测的部署对于不同的网络结构和应用目的，入侵检测系统的安装方式和策略配置会有所不同。

通常入侵检测系统与防火墙配套使用，并结合网络安全扫描系统，构建安全的、全面的网络拓扑。

1.共享网络共享式局域网是最简单的网络，它由共享式HUB连接各个主机。

在这种网络环境下，一般来说，只需要配置一个网络探测器就可以达到监控全网的目的。

2.墙前监听和墙后监听安装两个在防火墙的前段和后端，随时监视数据包的情况，可以保护防火墙。

3.交换机具备管理功能（端口镜像）使用交换机（Switch）作为网络中心交换设备的网络即为交换式网络。

交换机工作在OSI模型的数据链接层，交换机各端口之间能有效地分隔冲突域，由交换机连接的网络会将整个网络分隔成很多小的网域。

大多数三层或三层以上交换机以及一部分二层交换机都具备端口镜像功能，当网络中的交换机具备此功能时，可在交换机上配置好端口镜像（关于交换机镜像端口），再将主机连接到镜像端口即可，此时可以捕获整个网络中所有的数据通讯。

4.代理服务器在代理服务器上安装入侵检测就可以监听整个网络数据。

5.交换机不具备管理功能一般简易型的交换机不具备管理功能，不能通过端口镜像来实现网络的监控分析。

如果中心交换或网段交换没有端口镜像功能，一般可采取串接集线器（Hub）或分接器（Tap）的方法进行部署。

1)使用网络分接器(Tap)：使用Tap时，成本较高，需要安装双网卡，并且在管理机器不能上网，如果要上网，需要再安装另外的网卡。

将探测器部署在网络分接器上。

2)使用集线器(Hub)：Hub成本低，但网络流量大时，性能不高（Tap即使在网络流量高时，也对网络性能不会造成任何影响），将探测器部署在集线器上。

6.DMZ区将入侵检测部署在DMZ区对外网络节点上进行监控。

三、入侵检测与防火墙联动“联动”是网络安全界中的热点，但是到目前为止，还远远没有得到充分的发展。

联动本质上是安全产品之间一种信息互通的机制，它的理论基础是：安全事件的意义不是局部的，将安全事件及时通告给相关的安全系统，有助于从全局范围评估安全事件的威胁，并在适当的位置采取动作。

它应该不仅局限于防火墙与入侵检测之间，还应该涉及很多其他的安全部件，如报警与审计系统、需要安全保护的主机系统、业务系统，甚至网络设备等等，只要在某个节点发生了安全事件，无论是一个简单系统捕捉到的原始事件，还是一些具有分析能力的系统“判断”出来的，它都可能需要将这个事件通过某种机制传递给相关的系统。

入侵检测系统（IDS）与防火墙（FW）联动，可以对网络进行动静结合的保护，对网络行为进行细颗粒的检查，并对网络内外两个部分都进行可靠管理。

IDS是一种主动的网络安全防护措施，它从系统内部和各种网络资源中主动采集信息，从中分析可能的网络入侵或攻击。

IDS在发现入侵后，会及时做出一些相对简单的响应，包括记录事件和报警等。

显然，这些IDS自动进行的操作，对于网络安全来说远远不够。

因此，IDS需要与FW进行协作，请求FW及时切断相关的网络连接。

FW是访问控制设备，安置在不同安全领域的接口处，其主要目的是根据网络的安全策略，按照经过的网络流量，而这种控制通常基于IP地址、端口、协议类型或应用代理。

包过滤、网络地址转换、应用代理和日志审计是FW的基本功能。

可以看到，FW不识别网络流量，只要是经过合法通道的网络攻击，FW无能为力。

例如很多来自ACTIVEX和JA V A APPLET的恶意代码，通过合法的WEB访问渠道，对系统形成威胁。

虽然现在的开发商对FW进行了许多功能扩展，有些还具备了初步的IDS功能，但FW作为网关，极易成为网络的瓶颈，并不宜做太多的扩展。

FW和IDS的功能特点和局限性决定了它们彼此非常需要对方，且不可能相互取代，原因在于FW侧重于控制，IDS侧重于主动发现入侵的信号。

而且，它们本身所具有的强大功效仍没有充分发挥。

例如，IDS检测到一种攻击行为，如不能及时有效地阻断或者过滤，这种攻击行为仍将对网络应用造成损害；没有IDS，一些攻击会利用FW合法的通道进入网络。

因此，FW和IDS之间十分合适建立紧密的联动关系，以将两者的能力充分发挥出来，相互弥补不足，相互提供保护。

从信息安全整体防御的角度出发，这种联动是十分必要的，极大地提高了网络安全体系的防护能力。

FW和IDS联动目前主要的应用对象是自动传播的攻击，如Nimda等，联动在这种场合有一定的作用。

无限制的使用联动，如未经充分测试，对FW的稳定性和网络应用会造成负面影响。

但随着入侵检测产品检测准确度的提高，联动功能日益趋向实用化。