网络安全工程师考试PPT参考幻灯片

入侵检测,1,防火墙是位于两个或多个网络之间，执行访问控制策略的一个或一组系统，是一类防范措施的总称。它可以有效地保护本地系统或网络，抵制外部网络安全威胁，同时支持受限的通过WAN或Internet对外界进行访问。,防火墙,2,防火墙嵌入在局域网和Internet连接的网关上所有从内到外和从外到内的数据都必须通过防火墙（物理上阻塞其它所有访问）只有符合安全政策的数据流才能通过防火墙防火墙系统自身应对渗透(peneration)免疫，（如一般必须是一个安装了安全操作系统的可信任系统）,防火墙特征,3,防火墙对企业内部网实现了集中的安全管理，可以强化网络安全策略，比分散的主机管理更经济易行防火墙能防止非授权用户进入内部网络，有效地对抗外部网络入侵由于所有的访问都经过防火墙，防火墙成为审计和记录网络的访问和使用的最佳地点，可以方便地监视网络的安全性并报警。可以作为部署网络地址转换（NetworkAddressTranslation）的地点，利用NAT技术，可以缓解地址空间的短缺，隐藏内部网的结构。利用防火墙对内部网络的划分，可以实现重点网段的分离，从而限制安全问题的扩散。防火墙可以作为IPSec的平台，可以基于隧道模式实现VPN。,防火墙的优点,4,为了提高安全性，限制或关闭了一些有用但存在安全缺陷的网络服务，给用户带来使用的不便。防火墙不能对绕过防火墙的攻击提供保护，如拨号上网等。不能对内部威胁提供防护支持。受性能限制，防火墙对病毒传输保护能力弱。防火墙对用户不完全透明，可能带来传输延迟、性能瓶颈及单点失效。防火墙不能有效地防范数据内容驱动式攻击。作为一种被动的防护手段，防火墙不能自动防范因特网上不断出现的新的威胁和攻击。,防火墙的局限性,5,为什么需要IDS,不安全的防火墙设计,6,入侵检测系统（IDS）,入侵（Intrusion）:企图进入或滥用计算机系统的行为。入侵检测（IntrusionDetection）：对系统的运行状态进行监视，发现各种攻击企图、攻击行为或者攻击结果，以保证系统资源的机密性、完整性和可用性。入侵检测系统（IntrusionDetectionSystem）进行入侵检测的软件与硬件的组合便是入侵检测系统,7,入侵检测的分类（1）,按照分析方法（检测方法）异常检测（AnomalyDetection):首先总结正常操作应该具有的特征（用户轮廓），当用户活动与正常行为有重大偏离时即被认为是入侵误用检测（MisuseDetection)：收集非正常操作的行为特征，建立相关的特征库，当监测的用户或系统行为与库中的记录相匹配时，系统就认为这种行为是入侵,8,入侵检测的分类（2）,按照数据来源：基于主机：系统获取数据的依据是系统运行所在的主机，保护的目标也是系统运行所在的主机基于网络：系统获取的数据是网络传输的数据包，保护的是网络的运行混合型,9,IDS分类,网络入侵检测系统(NIDS)-在网络中的某个节点上装有探测器来监测整个网络(工作对象基于网络)特点：1.拥有较低的成本-在几个很少的监测点上进行配置就可以监控一个网络中所发生的入侵行为2.能监测主机IDS所不能监测到的某些攻击(如DOS、Teardrop)通过分析IP包的头可以捕捉这些须通过分析包头才能发现的攻击3.与操作系统无关性-基于网络的IDS与所监测的主机所运行的操作系统无关，而主机IDS则必须在特定的操作系统下才能运行4.检测未成功能攻击和不良意图-与之相比，主机IDS只能检测到成功的攻击，而很多未成功的攻击对系统的风险评估成到关键的作用5.实时检测和响应-网络IDS可以在攻击发生的同时将其检测出来，并进行实时的报警和响应，而主机IDS只能在可疑信息被记录下来后才能做出响应，而这时，可以系统已被摧毁或主机IDS已被摧毁,10,IDS分类,主机入侵检测系统(HIDS)-在网络中所监测的每台主机上都装有探测器(工作对象基于主机)特点：1.确定攻击是否成功-使用已发生的事件信息做为检测条件，比网络IDS更准确的判定攻击是否成功2.系统行动监视的更好-对于每一个用户(尤其是系统管理员)上网下网的信息、连入网络后的行为和所受到的入侵行为监测的更为详细，记录的更准确，相比之下，网络IDS要想做到这一点存在很大的难度3.能够检测到网络IDS检测不到的特殊攻击-如某服务器上有人直接对该机进行非法操作，网络IDS不能检测出该攻击，而主机IDS则可以做到4.适用于加密的环境-在某些特殊的加密网络环境中，由于网络IDS所需要的网络环境不能满足，所以在这种地方应用主机IDS就可以完成这一地方的监测任务5.不需要额外的硬件设备-与网络IDS相比，不需要专用的硬件检测系统，降低的硬件成本,11,IDS分类,大规模分布式入侵检测系统(DIDS)-系统中既包括网络探测器也包括主机探测器(工作对象同时基于网络和主机)特点：1.适用于大规模复杂的网络环境-分层次、多级的分布的系统结构适用于大规模的网络环境中2.全面的检测方式更好的保护网络-包含网络IDS和主机IDS两种入侵检测系统的检测部分，更全面、更详细的监测网络及系统动态。,12,入侵检测的分类（3）,按系统各模块的运行方式集中式：系统的各个模块包括数据的收集分析集中在一台主机上运行分布式：系统的各个模块分布在不同的计算机和设备上,13,入侵检测的分类（4）,根据时效性脱机分析：行为发生后，对产生的数据进行分析联机分析：在数据产生的同时或者发生改变时进行分析,14,IDS能做什么？,监控网络和系统发现入侵企图或异常现象实时报警主动响应（非常有限）,15,入侵响应系统（IRS）,入侵响应（IntrusionResponse）：当检测到入侵或攻击时，采取适当的措施阻止入侵和攻击的进行。入侵响应系统（IntrusionResponseSystem）实施入侵响应的系统,16,入侵响应系统分类（1）,按响应类型报警型响应系统人工响应系统自动响应系统,17,入侵响应系统分类（2）,按响应方式：基于主机的响应基于网络的响应,18,入侵响应系统分类（3）,按响应范围本地响应系统协同入侵响应系统,19,响应方式（1）,记录安全事件产生报警信息记录附加日志激活附加入侵检测工具隔离入侵者IP禁止被攻击对象的特定端口和服务隔离被攻击对象,较温和被动响应,介于温和和严厉之间主动响应,20,响应方式（2）,警告攻击者跟踪攻击者断开危险连接攻击攻击者,较严厉主动响应,21,自动响应系统的结构,响应决策,响应执行,响应决策知识库,响应工具库,安全事件,响应策略,响应命令,自动入侵响应总体结构,22,IDS部署方式,23,IDS部署方式,NIDS的位置必须要看到所有数据包共享媒介HUB交换环境隐蔽模式千兆网分布式结构探测器控制中心,24,IDS部署方式,共享式部署,25,IDS部署方式,交换环境部署方式,26,IDS部署方式,安全隐蔽模式,27,IDS应用,与其它网络安全设备联动工作全方位发挥IDS的功能-与其它安全设备的联动工作1.与防火墙联动IDS不能做最好的阻断-IDS根据实时检测出的结果调整防火墙来进行相应的阻断2.与扫描器联动IDS可以根据扫描器所做的扫描结果，对一点特殊系统做重点监测，也可让扫描器根据实时探测的结果做更详细的安全评估3.与其它一些安全设备联动工作以保障网络系统安全,28,IDS应用,实际网络环境中的应用方式在外部网络中设置NIDS(放在防火墙前面)，可以捕捉外部攻击机的真实地址来源并调整防火墙进行相应的阻断在内部网络中设置NIDS(放在防火墙后面)，可以捕捉内部攻击机的真实地址来源在所保护的主机上安装HIDS，重点分析系统做接受的操作及相应用户的系统行为，以弥补NIDS的遗漏点同时采用以上三种设置方式相结合能更好的保护网络安全，更全面的监测所保护的网络系统,29,IDS应用,NIDS应用的局限性网络局限1.交换机局限-网络监听需要共享环境，主机的网络上多采用交换机，而很多交换机不能提供镜像口，或所提供的镜像口不能满足需要2.监听端口流量局限-交换机的端口是全双工，例如百兆交换机的理论双向流量是200兆，而监听端口只有100兆，这样在双向流量大于100兆的情况下会造成丢包，同时如果利用一个端口监听其它多个端口时，在网络流量大的情况下也可能造成丢包,30,IDS应用,网络拓扑局限1.特殊路由局限-如果IP源路由选项允许，可以通过精心设计IP路由绕过NIDS2.MTU值的局限-因为受保护的主机各式各样，其MTU值设置也不会完全相同，如果其中一些MTU值设置的与NIDS的MTU值不同的话，可以设置MTU值处于两者之间，并且设置此包不会片，这样就使NIDS收到的包与受保护主机收到的包不同，从而绕过NIDS的检测3.TTL值的局限-如果数据包到达NIDS和主机的HOP数不同，可以通过精心设置TTL值使得该包只能被受保护的主机收到而不能被NIDS收到，从而绕过NIDS的检测,31,入侵检测系统选择标准,32,IDS技术的发展方向,1.分布式入侵检测1)针对分布式攻击的检测方法2)使用分布式的方法来检测分布式的攻击，关键技术为检测