| |
2、入侵檢測的主要技術(shù)
●模式匹配
模式匹配就是將收集到的信息與已知的網(wǎng)絡(luò)入侵和系統(tǒng)誤用模式數(shù)據(jù)庫進(jìn)行比較，來發(fā)現(xiàn)違背安全策略的入侵行為。該過程可以很簡單，也可以很復(fù)雜。一種進(jìn)攻模式可以利用一個(gè)過程或一個(gè)輸出來表示。這種檢測方法只需收集相關(guān)的數(shù)據(jù)集合就能進(jìn)行判斷，能減少系統(tǒng)占用，并且技術(shù)已相當(dāng)成熟，檢測準(zhǔn)確率和效率也相當(dāng)高。但是，該技術(shù)需要不斷進(jìn)行升級以對付不斷出現(xiàn)的攻擊手法，并且不能檢測未知攻擊手段。
●異常檢測
異常檢測首先給系統(tǒng)對象（用戶、文件、目錄和設(shè)備等）創(chuàng)建一個(gè)統(tǒng)計(jì)描述，包括統(tǒng)計(jì)正常使用時(shí)的測量屬性，如訪問次數(shù)、操作失敗次數(shù)和延時(shí)等。測量屬性的平均值被用來與網(wǎng)絡(luò)、系統(tǒng)的行為進(jìn)行比較，當(dāng)觀察值在正常值范圍之外時(shí)，IDS就會(huì)判斷有入侵發(fā)生。異常檢測的優(yōu)點(diǎn)是可以檢測到未知入侵和復(fù)雜的入侵，缺點(diǎn)是誤報(bào)、漏報(bào)率高。
●協(xié)議分析
協(xié)議分析是在傳統(tǒng)模式匹配技術(shù)基礎(chǔ)之上發(fā)展起來的一種新的入侵檢測技術(shù)。它充分利用了網(wǎng)絡(luò)協(xié)議的高度有序性，并結(jié)合了高速數(shù)據(jù)包捕捉、協(xié)議分析和命令解析，來快速檢測某個(gè)攻擊特征是否存在，這種技術(shù)正逐漸進(jìn)入成熟應(yīng)用階段。協(xié)議分析大大減少了計(jì)算量，即使在高負(fù)載的高速網(wǎng)絡(luò)上，也能逐個(gè)分析所有的數(shù)據(jù)包。
3、入侵檢測技術(shù)的對比
●模式匹配技術(shù)：預(yù)報(bào)檢測的準(zhǔn)確率較高，但對于無經(jīng)驗(yàn)知識的入侵與攻擊行為無能為力。對系統(tǒng)資源的消耗較高。
●異常檢測技術(shù)：最大優(yōu)點(diǎn)就是它可以統(tǒng)計(jì)用戶的網(wǎng)絡(luò)使用習(xí)慣，從而具有較高檢測率與可用性。但是它的統(tǒng)計(jì)能力也給入侵者以機(jī)會(huì)通過逐步測試而使入侵事件符合正常操作的統(tǒng)計(jì)規(guī)律，從而透過入侵檢測系統(tǒng)。
●協(xié)議分析技術(shù)：充分利用通信協(xié)議的已知結(jié)構(gòu)，可以更快更有效地處理信息數(shù)據(jù)幀和連接。將命令解析技術(shù)與協(xié)議分析技術(shù)相結(jié)合，來模擬執(zhí)行一個(gè)命令字符串，可以在通信連接到達(dá)操作系統(tǒng)或應(yīng)用系統(tǒng)之前準(zhǔn)確判斷該通信是否惡意。對系統(tǒng)資源的極低消耗。
4、入侵檢測術(shù)語
Alerts（警報(bào)）
當(dāng)一個(gè)入侵正在發(fā)生或者試圖發(fā)生時(shí)，IDS系統(tǒng)將發(fā)布一個(gè)alert信息通知系統(tǒng)管理員。如果控制臺(tái)與IDS系統(tǒng)同在一臺(tái)機(jī)器，alert信息將顯示在監(jiān)視器上，也可能伴隨著聲音提示。如果是遠(yuǎn)程控制臺(tái)，那么alert將通過IDS系統(tǒng)內(nèi)置方法（通常是加密的）、SNMP（簡單網(wǎng)絡(luò)管理協(xié)議，通常不加密）、email、SMS（短信息）或者以上幾種方法的混合方式傳遞給管理員。
Anomaly（異常）
當(dāng)有某個(gè)事件與一個(gè)已知攻擊的信號相匹配時(shí)，多數(shù)IDS都會(huì)告警。一個(gè)基于anomaly（異常）的IDS會(huì)構(gòu)造一個(gè)當(dāng)時(shí)活動(dòng)的主機(jī)或網(wǎng)絡(luò)的大致輪廓，當(dāng)有一個(gè)在這個(gè)輪廓以外的事件發(fā)生時(shí)，IDS就會(huì)告警，例如有人做了以前他沒有做過的事情的時(shí)候，例如，一個(gè)用戶突然獲取了管理員或根目錄的權(quán)限。有些IDS廠商將此方法看做啟發(fā)式功能，但一個(gè)啟發(fā)式的IDS應(yīng)該在其推理判斷方面具有更多的智能。
Attacks（攻擊）
Attacks可以理解為試圖滲透系統(tǒng)或繞過系統(tǒng)的安全策略，以獲取信息、修改信息以及破壞目標(biāo)網(wǎng)絡(luò)或系統(tǒng)功能的行為。
Enumeration（列舉）
經(jīng)過被動(dòng)研究和社會(huì)工程學(xué)的工作后，攻擊者就會(huì)開始對網(wǎng)絡(luò)資源進(jìn)行列舉。列舉是指攻擊者主動(dòng)探查一個(gè)網(wǎng)絡(luò)以發(fā)現(xiàn)其中有什么以及哪些可以被他利用。由于現(xiàn)在的行動(dòng)不再是被動(dòng)的，它就有可能被檢測出來。當(dāng)然為了避免被檢測到，他們會(huì)盡可能地悄悄進(jìn)行�！�
Evasion（躲避）
Evasion是指發(fā)動(dòng)一次攻擊，而又不被IDS成功地檢測到。其中的竅門就是讓IDS只看到一個(gè)方面，而實(shí)際攻擊的卻是另一個(gè)目標(biāo)，所謂明修棧道，暗渡陳倉。Evasion的一種形式是為不同的信息包設(shè)置不同的TTL（有效時(shí)間）值，這樣，經(jīng)過IDS的信息看起來好像是無害的，而在無害信息位上的TTL比要到達(dá)目標(biāo)主機(jī)所需要的TTL要短。一旦經(jīng)過了IDS并接近目標(biāo)，無害的部分就會(huì)被丟掉，只剩下有害的。
Exploits（漏洞利用）
對于每一個(gè)漏洞，都有利用此漏洞進(jìn)行攻擊的機(jī)制。為了攻擊系統(tǒng)，攻擊者編寫出漏洞利用代碼或腳本。對每個(gè)漏洞都會(huì)存在利用這個(gè)漏洞執(zhí)行攻擊的方式，這個(gè)方式就是Exploit。為了攻擊系統(tǒng)，黑客會(huì)編寫出漏洞利用程序。
False Negatives（漏報(bào)）
漏報(bào)是指一個(gè)攻擊事件未被IDS檢測到或被分析人員認(rèn)為是無害的。
False Positives（誤報(bào)）
誤報(bào)是指實(shí)際無害的事件卻被IDS檢測為攻擊事件。
Fragmentation（分片）
如果一個(gè)信息包太大而無法裝載，它就不得不被分成片斷。分片的依據(jù)是網(wǎng)絡(luò)的MTU（Maximum Transmission Units，最大傳輸單元）。例如，靈牌環(huán)網(wǎng)（token ring）的MTU是4464，以太網(wǎng)（Ethernet）的MTU是1500，因此，如果一個(gè)信息包要從靈牌環(huán)網(wǎng)傳輸?shù)揭蕴W(wǎng)，它就要被分裂成一些小的片斷，然后再在目的地重建。雖然這樣處理會(huì)造成效率降低，但是分片的效果還是很好的。黑客將分片視為躲避IDS的方法，另外還有一些DOS攻擊也使用分片技術(shù)。
Heuristics（啟發(fā)）
Heuristics就是指在入侵檢測中使用AI（artificial intelligence，人工智能）思想。真正使用啟發(fā)理論的IDS已經(jīng)出現(xiàn)大約10年了，但他們還不夠"聰明"，攻擊者可以通過訓(xùn)練它而使它忽視那些惡意的信息流。有些IDS使用異常模式去檢測入侵，這樣的IDS必須要不斷地學(xué)習(xí)什么是正常事件。一些產(chǎn)商認(rèn)為這已經(jīng)是相當(dāng)"聰明"的IDS了，所以就將它們看做是啟發(fā)式IDS。但實(shí)際上，真正應(yīng)用AI技術(shù)對輸入數(shù)據(jù)進(jìn)行分析的IDS還很少很少。
Honeypot（蜜罐）
蜜罐是一個(gè)包含漏洞的系統(tǒng)，它模擬一個(gè)或多個(gè)易受攻擊的主機(jī)，給黑客提供一個(gè)容易攻擊的目標(biāo)。由于蜜罐沒有其它任務(wù)需要完成，因此所有連接的嘗試都應(yīng)被視為是可疑的。蜜罐的另一個(gè)用途是拖延攻擊者對其真正目標(biāo)的攻擊，讓攻擊者在蜜罐上浪費(fèi)時(shí)間。與此同時(shí)，最初的攻擊目標(biāo)受到了保護(hù)，真正有價(jià)值的內(nèi)容將不受侵犯。
Promiscuous（混雜模式）
默認(rèn)狀態(tài)下，IDS網(wǎng)絡(luò)接口只能看到進(jìn)出主機(jī)的信息，也就是所謂的non-promiscuous（非混雜模式）。如果網(wǎng)絡(luò)接口是混雜模式，就可以看到網(wǎng)段中所有的網(wǎng)絡(luò)通信量，不管其來源或目的地。這對于網(wǎng)絡(luò)IDS是必要的，但同時(shí)可能被信息包嗅探器所利用來監(jiān)控網(wǎng)絡(luò)通信量。交換型HUB可以解決這個(gè)問題，在能看到全面通信量的地方，會(huì)都許多跨越（span）端口。 |
|
|
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
