入侵检测系统评估共33页文档
▪
28、知之者不如好之者，好之者不如乐之者。——孔子
▪
29、勇猛、大胆和坚定的决心能够抵得上武器的精良。——达·芬奇
▪
30、意志是一个强壮的盲人，倚靠在明眼的跛子肩上。——叔本华
谢谢！
33
入侵检测系统评估
3 到。--拿 破仑。 37、不要生气要争气，不要看破要突 破，不 要嫉妒 要欣赏 ，不要 托延要 积极， 不要心 动要行 动。 38、勤奋，机会，乐观是成功的三要 素。(注 意：传 统观念 认为勤 奋和机 会是成 功的要 素，但 是经过 统计学 和成功 人士的 分析得 出，乐 观是成 功的第 三要素 。
39、没有不老的誓言，没有不变的承 诺，踏 上旅途 ，义无 反顾。 40、对时间的价值没有没有深切认识 的人， 决不会 坚韧勤 勉。
▪
26、要使整个人生都过得舒适、愉快，这是不可能的，因为人类必须具备一种能应付逆境的态度。——卢梭
▪
27、只有把抱怨环境的心情，化为上进的力量，才是成功的保证。——罗曼·罗兰
合集下载
第7章 入侵检测技术共27页
入侵检测技术
信号分析资料－统计分析
统计分析的方法：统计分析的优点是可检测 到未知的入侵和更为复杂的入侵，缺点是误 报、漏报率高，且不适应用户正常行为的突 然改变。具体的统计分析方法有：基于专家 系统的、基于模型推理的和基于神经网络的 分析方法。
入侵检测技术
信号分析资料－完整性分析
完整性分析的方法：完整性分析主要关注某 个文件或对象是否被更改，这经常包括文件 和目录的内容及属性的变化。完整性分析在 发现被更改的、被特洛伊化的应用程序方面 特别有效。
安全策略的行为
入侵检测技术
入侵检测概述
三、入侵检测过程 1.信息收集 收集的内容包括系统、网络、数据以及用户 活动的状态和行为。 检测在依赖于收集信息的可靠性和正确性。
入侵检测技术
温州大学计算机学院 吴承文
入侵检测概述
三、入侵检测过程 1.信息收集 （1）系统和网络日志文件 原因：日志中留下入侵者的痕迹。 内容：系统日志（OS、DB）、网络日志
入侵检测技术
信号分析资料－模式匹配
入侵检测过程模式匹配的方法：模式匹配就 是将收集到的信息与已知的网络入侵和系统 误用模式数据库进行比较，从而发现违背安 全策略的行为。这种分析方法也称为误用检 测。入侵检Leabharlann 技术信号分析资料－模式匹配
该过程可以很简单（如通过字符串匹配以寻 找一个简单的条目或指令），也可以很复杂 （如利用正规的数学表达式来表示安全状态 的变化）。一般来讲，一种进攻模式可以用 一个过程（如执行一条指令）或一个输出 （如获得权限）来表示。
入侵检测技术
入侵检测概述
三、入侵检测过程 2.信号分析 （3）完整性分析法 完整性分析主要关注某个文件或对象是否被 更改，这经常包括文件和目录的内容及属性 的变化。
信号分析资料－统计分析
统计分析的方法：统计分析的优点是可检测 到未知的入侵和更为复杂的入侵，缺点是误 报、漏报率高，且不适应用户正常行为的突 然改变。具体的统计分析方法有：基于专家 系统的、基于模型推理的和基于神经网络的 分析方法。
入侵检测技术
信号分析资料－完整性分析
完整性分析的方法：完整性分析主要关注某 个文件或对象是否被更改，这经常包括文件 和目录的内容及属性的变化。完整性分析在 发现被更改的、被特洛伊化的应用程序方面 特别有效。
安全策略的行为
入侵检测技术
入侵检测概述
三、入侵检测过程 1.信息收集 收集的内容包括系统、网络、数据以及用户 活动的状态和行为。 检测在依赖于收集信息的可靠性和正确性。
入侵检测技术
温州大学计算机学院 吴承文
入侵检测概述
三、入侵检测过程 1.信息收集 （1）系统和网络日志文件 原因：日志中留下入侵者的痕迹。 内容：系统日志（OS、DB）、网络日志
入侵检测技术
信号分析资料－模式匹配
入侵检测过程模式匹配的方法：模式匹配就 是将收集到的信息与已知的网络入侵和系统 误用模式数据库进行比较，从而发现违背安 全策略的行为。这种分析方法也称为误用检 测。入侵检Leabharlann 技术信号分析资料－模式匹配
该过程可以很简单（如通过字符串匹配以寻 找一个简单的条目或指令），也可以很复杂 （如利用正规的数学表达式来表示安全状态 的变化）。一般来讲，一种进攻模式可以用 一个过程（如执行一条指令）或一个输出 （如获得权限）来表示。
入侵检测技术
入侵检测概述
三、入侵检测过程 2.信号分析 （3）完整性分析法 完整性分析主要关注某个文件或对象是否被 更改，这经常包括文件和目录的内容及属性 的变化。
入侵检测技术ppt课件
相匹配时，系统就认为这种行为是入侵 3. 过程
监控 特征提取 匹配 判定
4. 指标 错报低 漏报高
误用检测模型
如果入侵特征与正常的用户行能匹配，则系统 会发生误报；如果没有特征能与某种新的攻击 行为匹配，则系统会发生漏报
特点：采用特征匹配，滥用模式能明显降低错 报率，但漏报率随之增加。攻击特征的细微变 化，会使得滥用检测无能为力
System Audit
Metrics
Pattern Matcher
Normal Activity No Signature Match
Signature Match Intrusion
误用检测模型
误用检测
1. 前提：所有的入侵行为都有可被检测到的特征 2. 攻击特征库: 当监测的用户或系统行为与库中的记录
黑客经常在系统日志文件中留下他们的踪迹， 因此，充分利用系统和网络日志文件信息是检 测入侵的必要条件
日志文件中记录了各种行为类型，每种类型又 包含不同的信息，例如记录“用户活动”类型 的日志，就包含登录、用户ID改变、用户对文 件的访问、授权和认证信息等内容
显然，对用户活动来讲，不正常的或不期望的 行为就是重复登录失败、登录到不期望的位置 以及非授权的企图访问重要文件等等
30 20 10 0
CPU
Process Size
probable intrusion
normal profile abnormal
Relatively high false positive rate anomalies can just be new normal activities.
误用检测
简单地说，入侵检测系统包括三个功能 部件：
（1）信息收集 （2）信息分析 （3）结果处理
监控 特征提取 匹配 判定
4. 指标 错报低 漏报高
误用检测模型
如果入侵特征与正常的用户行能匹配，则系统 会发生误报；如果没有特征能与某种新的攻击 行为匹配，则系统会发生漏报
特点：采用特征匹配，滥用模式能明显降低错 报率，但漏报率随之增加。攻击特征的细微变 化，会使得滥用检测无能为力
System Audit
Metrics
Pattern Matcher
Normal Activity No Signature Match
Signature Match Intrusion
误用检测模型
误用检测
1. 前提：所有的入侵行为都有可被检测到的特征 2. 攻击特征库: 当监测的用户或系统行为与库中的记录
黑客经常在系统日志文件中留下他们的踪迹， 因此，充分利用系统和网络日志文件信息是检 测入侵的必要条件
日志文件中记录了各种行为类型，每种类型又 包含不同的信息，例如记录“用户活动”类型 的日志，就包含登录、用户ID改变、用户对文 件的访问、授权和认证信息等内容
显然，对用户活动来讲，不正常的或不期望的 行为就是重复登录失败、登录到不期望的位置 以及非授权的企图访问重要文件等等
30 20 10 0
CPU
Process Size
probable intrusion
normal profile abnormal
Relatively high false positive rate anomalies can just be new normal activities.
误用检测
简单地说，入侵检测系统包括三个功能 部件：
（1）信息收集 （2）信息分析 （3）结果处理
入侵检测介绍.ppt
二、入侵检测系统的分类
3. 分布式入侵检测系统（DIDS）
三、入侵检测系统技术原理
检测技术
基于特征（Signature-based）
维护一个入侵特征知识库 准确性高
基于异常（Anomaly-based）
统计模型 专家系统 误报较多
三、入侵检测系统技术原理
1、网络入侵检测
>>detaile
二、入侵检测系统的分类
入侵检测系统(Intrusion Detection System)通过从计算机网络或计算机系 统的关键点收集信息并进行分析，从中发现网络或系统中是否有违反安全策 略的行为和被攻击的迹象。
从技术上看，这些产品基本上分为以下几类： 基于网络的入侵检测系统(NIDS) 基于主机的入侵检测系统(HIDS) 分布式入侵检测系统(DIDS)
1) 检测入侵误报率低 2) 获取入侵信息详细 3) 不受交换环境影响 4) 监测系统内部入侵和违规操作 5) 可以对本机进行防护和阻断
主机入侵检测系统的弱点：
1) 主机入侵检测系统安装在我们需要保护的设备上会带来另外的安全隐患。 2) 会影响保护设备的性能。 3) 安装管理麻烦。 4) 操作系统局限 5) 系统日志限制 6) 被修改过的系统核心能够骗过文件检查
安装在被保护的网段中 混杂模式监听 分析网段中所有的数据包 实时检测和响应 操作系统无关性 不会增加网络中主机的负载
三、入侵检测系统技术原理
1、网络入侵检测系统技术原理
黑客入侵 的过程 和阶段
阶段1:
踩点&扫描
阶段 2:
边界渗透
阶段 3:
攻击&资源控制
Automated Scanning &
入侵检测系统及应用 PPT课件
4.3.1 分布式入侵检测框架及检测机制 随着高速网络的发展，网络范围的拓宽，各种分布式网 络技术、网络服务的发展，使原来的网络入侵检测很难适 应现在的状况。因此有必要把检测分析过程也实现分布化。 在分布式结构中，n个检测器分布在网络环境中，直接接 受sensor（传感器）的数据，有效的利用各个主机的资源， 消除了集中式检测的运算瓶颈和安全隐患；同时由于大量 的数据用不着在网络中传输，大大降低了网络带宽的占用， 提高了系统的运行效率。
除了以上两类主要数据分析技术外，研究人员还提出了 一些新的分析技术，如免疫系统、基因算法、数据挖掘、 基于代理的检测等。本节详细内容参见书本P126~P129页。
2020/3/31
3
4.1.3 主要入侵检测模型
如果按照检测对象划分，入侵检测技术又可分为“基于 主机的检测”、“基于网络的检测”和“混合型检测”三 大类。
本节详细内容参见书本P132~P134页。
2020/3/31
7
4.2 入侵检测原理和应用
4.2.1 入侵检测原理 从总体来说，入侵检测系统可以分为两个部分：收集系 统和非系统中的信息然后对收集到的数据进行分析，并采 取相应措施。 1. 信息收集 信息收集包括收集系统、网络、数据及用户活动的状态 和行为。入侵检测利用的信息一般来自：系统和网络日志 文件、非正常的目录和文件改变、非正常的程序执行这三 个方面。 2. 信号分析 对收集到的有关系统、网络、数据及用户活动的状态和 行为等信息，是通过模式匹配、统计分析和完整性分析这 三种手段进行分析的。前两种用于实时入侵检测，完整性 分析用于事后分析。
4.3 分布式入侵检测系统
由于传统入侵检测技术的种种不足，加上新型的分布式 入侵和攻击行为的频繁出现，所以一种新型的入侵检测技 术就诞生了，那就是分布式入侵检测系统（DIDS）。它包 括两方面的含义：首先它是针对分布式网络攻击的检测方 法；其次使用分布式方法检测分布式的攻击，其中的关键 技术为检测信息的协同处理与入侵攻击的全局信息提取。
除了以上两类主要数据分析技术外，研究人员还提出了 一些新的分析技术，如免疫系统、基因算法、数据挖掘、 基于代理的检测等。本节详细内容参见书本P126~P129页。
2020/3/31
3
4.1.3 主要入侵检测模型
如果按照检测对象划分，入侵检测技术又可分为“基于 主机的检测”、“基于网络的检测”和“混合型检测”三 大类。
本节详细内容参见书本P132~P134页。
2020/3/31
7
4.2 入侵检测原理和应用
4.2.1 入侵检测原理 从总体来说，入侵检测系统可以分为两个部分：收集系 统和非系统中的信息然后对收集到的数据进行分析，并采 取相应措施。 1. 信息收集 信息收集包括收集系统、网络、数据及用户活动的状态 和行为。入侵检测利用的信息一般来自：系统和网络日志 文件、非正常的目录和文件改变、非正常的程序执行这三 个方面。 2. 信号分析 对收集到的有关系统、网络、数据及用户活动的状态和 行为等信息，是通过模式匹配、统计分析和完整性分析这 三种手段进行分析的。前两种用于实时入侵检测，完整性 分析用于事后分析。
4.3 分布式入侵检测系统
由于传统入侵检测技术的种种不足，加上新型的分布式 入侵和攻击行为的频繁出现，所以一种新型的入侵检测技 术就诞生了，那就是分布式入侵检测系统（DIDS）。它包 括两方面的含义：首先它是针对分布式网络攻击的检测方 法；其次使用分布式方法检测分布式的攻击，其中的关键 技术为检测信息的协同处理与入侵攻击的全局信息提取。
建行云虚拟化入侵检测产品说明书
虚拟化入侵检测（龙防）产品文档文档目录快速入门登录虚拟化入侵检测安装客户端入侵防御开启关闭其他功能操作指南安全状态安全状态时间范围安全状态概要资产管理资产列表安全策略安全操作安全策略安全策略安全配置入侵防御日志入侵防御报表运维指南运维操作（linux）软件相关信息软件安装位置重要进程日志目录卸载agent运维操作（windows）软件相关信息软件安装位置重要进程日志目录卸载agentagent服务（停止/开启/重启）常见问题快速入门登录虚拟化入侵检测最近更新时间: 2021-12-02 16:05:33方式一：登录建行云平台，点击【云产品】→【安全】→【虚拟化入侵检测（龙防）】；方式二：登录建行云平台，点击【总览】→【产品】→【安全】→【虚拟化入侵检测（龙防）】；安装客户端最近更新时间: 2021-12-02 16:24:11使用须知：查看/etc/resolv.conf是否配置正确，以下为正常配置或若用户由于自身服务所需要，不能修改域名，则需要通过修改/etc/hosts文件，手动添加域名解析服务，需要添加的域名为： 169.254.0.23 通过VIM命令进行编辑修改结果如下图：Windows1）虚拟化入侵检测系统-资产管理-资产列表-安装指南，根据安装机器的操作系统类型，复制“URL下载、安装”链接，（如图所示）2）登录云主机，打开网站，粘贴“URL下载、安装”链接，下载agent安装包3）安装方式:a）静默安装b)双击ics-agent.exe说明：Windows机器安装agent时，管理中心IP为 169.254.0.25Linux1）虚拟化入侵检测系统-资产管理-资产列表-安装指南，根据安装机器的操作系统类型，复制“URL下载、安装”链接，（如图所示)2）登录云主机，粘贴“URL下载、安装”链接，回车。
（下载并执行agent安装包）入侵防御开启最近更新时间: 2021-12-02 16:29:09安全策略-安装虚拟化入侵检测后，可以享有虚拟化入侵检测带来的防恶意软件、漏洞扫描、防火墙、入侵检测，建议只开启“入侵防御”功能。
入侵检测系统基本知识ppt课件
三、入侵检测系统构件
1、IDS框架介绍 2、入侵检测系统构件 3、事件产生器 4、事件分析器 5、响应单元 6、事件数据库 7、管理器
1、IDS框架介绍（1）
理论界：CIDF
Common Intrusion Detection Framework
由DARPA于1997年3月开始着手制定
为了解决不同入侵检测系统
1、异常检测技术-概念
2、异常检测技术的优势
入侵检测技术分为滥用检测和异常检测两 种。滥用检测技术的局限性： 不能检测未知攻击和新的攻击，特征库需要不 断升级更新 检测系统知识库中的入侵攻击知识与系统的运 行环境有关 对于系统内部攻击者的越权行为，由于他们没 有利用系统的缺陷，因而很难检测出来
2、异常检测技术的优势
硬件平台 操作系统 系统中运行的应用程序
4、完整性分析
通过检查系统的当前系统配置，诸如系统文件 的内容或者系统表，来检查系统是否已经或者 可能会遭到破坏。
其优点是不管模式匹配方法和统计分析方法能 否发现入侵，只要是成功的攻击导致了文件或 其它对象的任何改变，它都能够发现。
缺点是一般以批处理方式实现，不用于实时响 应。
防火墙不能保证绝对的安全
网络边界的设备 自身可以被攻破 对某些攻击保护很弱 不是所有的威胁来自防火墙外部 防火墙是锁，入侵检测系统是监视器
5、IDS的优点
提高信息安全构造的其他部分的完整性 提高系统的监控能力 从入口点到出口点跟踪用户的活动 识别和汇报数据文件的变化 侦测系统配置错误并纠正 识别特殊攻击类型，并向管理人员发出警报
基于网络的入侵检测系统
视野更宽 、隐蔽性好 、攻击者不易转移证据
3、根据检测技术进行分类
异常入侵检测