锐捷安全专项认证课程IDS技术

IDS技术学习目标通过本章的学习，希望您能够：了解什么是IDS了解IDS的工作原理了解数据捕获方式了解IDS、IPS、防火墙的区别部署与配置RG-IDS本章内容什么是IDSIDS工作原理数据捕获方式IDS、IPS、防火墙的区别课程议题什么是IDS什么是IDS？IDS（IntrusionDetectionSystem）的概念IDS是硬件或软件用于检测对网络的攻击对攻击的积极响应好人坏人什么是IDS？（续）IDS的起源与发展概念的诞生—1980年美国空军做了题为《计算机安全威胁监控与监视》，第一次详细阐述了入侵检测的概念模型的发展—1984~1986年乔治敦大学的DorothyDenning和SRI公司的计算机科学实验室PeterNeumann研究出了一个入侵检测模型，取名为IDES（入侵检测专家系统）。它独立于特定的系统平台、应用环境、应用弱点以及入侵类型真正提出的入侵检测思想百花齐放—1990年美国加州大学第一次将网络数据流作为审计来源分析入侵活动，为入侵检测技术翻开新的一页。从此入侵检测技术分为网络入侵检测技术和主机入侵检测技术，并且两种方式不断壮大起来里程碑—2000年分布式IDS出现HIDS（HostIDS）Internet网络服务器1客户端网络服务器2X检测内容：系统调用、端口调用、系统日志、安全审记、应用日志HIDSXHIDSHIDS（续）在最终目的进行分析对网络的视野有限性能问题部署问题NIDS（NetworkIDS）InternetNIDS网络服务器1数据包=包头信息+有效数据部分客户端网络服务器2X检测内容：包头信息+有效数据部分NIDS（续续）视野开阔易于部署带宽、性能问问题加密问题课程议题IDS的工作作原理IDS警报什么是警报IDS检测到到入侵活动时时，都必须产产生一些警报报以发出信号号由于IDS没没有100%的正确率，，所以IDS警报分为两两大类错误警报误报漏报正确警报正确命中正确拒绝IDS检测方方式异常检测模式匹配（签签名匹配）协议分析异常检测概念也称为模型检检测，需要为为用户习惯建建立模型。模模型为用户定定义了行为特特征，以及为为用户执行正正常任务定义义了一个基线线优点检测以前未发发布的攻击缺点用户习惯改变变时，必须更更新用户模型型很难把特定的的攻击与警报报相关联模式匹配概念也称为滥用检检测，探测与与具体特征相相匹配的入侵侵行为，将收收集到的信息息与特征库匹匹配优点基于已知的入入侵行为安装后立刻就就能进行检测测缺点需要更新签名名库（特征库库）有些攻击能绕绕过IDS无法检测未知知攻击模式匹配（续续）张三命中协议分析协议分析（续续）ETHERARPIPRARPICMPIGMPTCPUDPPOP3FTPHTTP。。。DNS第一步——直接跳到第13个字节，，并读取2个个字节的协议议标识。如如果值是0800，则说说明这个以太太网帧的数据据域携带的是是IP包，基于协议解码码的入侵检测测利用这一信信息指示第二二步的检测工工作。第二步——跳到第24个个字节处读取取1字节的第第四层协议标标识。

如果果读取到的值值是06，则则说明这个IP帧的数据据域携带的是是TCP包，，

入侵检测测利用这一信信息指示第三三步的检测工工作。第三步步——跳到第第35个字字节处处读取取一对对端口口号。。如果果有一一个端端口号号是0080，，则则说明明这个个TCP帧帧的数数据域域携带带的是是HTTP包，，基于于协议议解码码的入入侵检检测利利用这这一一信息息指示示第四四步的的检测测工作作。第四步步——让解析析器从从第55个个字节节开始始读取取URL。。URL串将将被提提交给HTTP解析析器，，在它它被允允许提提交给给Web服服务器器前，，由HTTP解解析器器来分析它它是否否可能能会做做攻击击行为为。协议分分析（（续））0800[13字节]06[24字节]0800[35字节]55字节张三匹配基于状状态的的检测测IDSPC-A源地址址目标地地址源端口口目标端端口初始序序列号号ACK标记103380350771syn103380350772133076syn-ack103380350773133077ack①②③状态表表源地址址目标地地址源端口口目标端端口序列号号IDS响应应技术术报警记录日日志TCPreset联动SNMPTrap邮件通通知IDS逃避避技术术泛洪使IDS产产生大大量警警报，，隐藏藏真正正攻击击消耗IDS系统统资源源分片消耗IDS系统统资源源加密迷惑使用不不同的的字符符表达达方式式课程议议题数据捕捕获方方式HUB物理层层设备备将流量量向所所有端端口复复制安全问问题流量镜镜像SPAN（（SwitchPortAnalyzer）交换机机的端端口监监控功功能将一个个或多多个来来自某某端口口或VLAN的的数据据镜像像到另另一个个目的的端口口目的端端口常常用来来连接接网络络分析析仪安全性性高配置SPAN配置端端口镜镜像的的源端端口monitorsessionsession-numbersourceinterfaceinterface{both|rx|tx}Switch(config)#monitorsessionsession-numberdestinationinterfaceinterfaceSwitch(config)#配置端端口镜镜像的的目的的端口口以太网网接口口的工工作模模式正常模模式只接收收目的的MAC与与自己己MAC匹匹配的的报文文接收广广播报报文混杂模模式接收所所有报报文（（目的的MAC非非自身身MAC的的报文文）IDS接口口为混混杂模模式课程议议题IDS、IPS与防防火墙墙的区区别IDS、IPS、防防火墙墙对比比防火墙墙可以以检测测20%的的攻击击IDS可以以检测测80%的的攻击击IPS可以以检测测50%的的攻击击IDS、IPS、防防火墙墙对比比（续续）特征IDSIPSFirewall部署方式旁路在线在线优势性能结合IDS/FW严格的安全规则检测层次L3以上L3以上L3/L4成熟度很成熟不成熟非常成熟课程议议题部署与与配置置RG-IDS安装组组件步步骤安装RGIDSSensor安装DataBase安装RGIDSLogServer安装RGIDSEvent-Collector安装RGIDSConsole安装RGIDSReport安装顺顺序配置SensorSENSOR显显示的的当前前状态态输入管管理员员密码码，进进入管管理窗窗口配置SENSOR的的网络络连接接状态态配置DataBase安装微微软MSDE组组件初始配配置计算机机重启启安装LogServer配置LogServer安装完完成，，出现现“数数据服服务初初始化化配置置”窗窗口也可以以通过过点击击“开开始——程序序—入入侵检检测系系统——入侵侵检测测系统统（网网络））—RGIDS数数据据服务务安装装”进进入此此窗口口配置Event-Collector安装License安装许许可证证配置Event-Collector在应用用服务务管理理器中中启用用事件件收集集服务务主要功功能：：后台服服务的的启动动管理理收集组组件的的状态态调试试信息息配置用用户控制台台登录录界面面对用户户做管管理及及审计计信息息添加组组件组件管管理———添添加组组件添加传传感器器组件配配置窗窗口添加传传感器器同步签签名、、应用用策略略、重重启引引擎应用策策略后后会出出现断断开标标志；；大约2分钟钟时间间，后后出现现编译译签名名标志志；整个同同步签签名需需要大大约需需要20分分钟时时间。。添加LogServer添加LogServer策略编编辑策略编编辑器器窗口口添加特特殊事事件添加特特殊事事件进入““策略略”———““告警警策略略”窗窗口展开““一般般事件件树””右键点点击某某个攻攻击签签名，，在出出现的的菜单单中选选择““添加加到特特殊事事件窗窗口””在弹出出的窗窗口中中，输输入新新建事事件组组的名名称点击““确定定”按按钮，，该攻攻击签签名将将出现现在特特殊事事件窗窗口中中事件统统计图图一般事事件统统计图图表窗窗口事件风风险一般事事件风风险列列表窗窗口系统日日志系统日日志窗窗口配置Report报表的的登录录界