入侵检测技术第3章

入侵检测系统1第3章

入侵检测系统

薛静锋祝烈煌主编，人民邮电出版社，2024年

入侵检测系统2第3章入侵检测系统入侵检测系统:入侵检测系统的基本模型入侵检测系统的工作模式入侵检测系统的分类入侵检测系统的构架入侵检测系统的部署入侵检测系统3入侵检测系统进行入侵检测的软件与硬件的组合便是入侵检测系统。入侵检测系统的主要功能包括：监视、分析用户及系统的活动；系统构造和弱点的审计；识别反映已知进攻的活动模式并向相关人士报警；对异常行为模式进行统计分析；对重要系统和数据文件的完整性进行评估；对操作系统进行审计跟踪管理；识别用户违反安全策略的行为。入侵检测系统的建立依赖于入侵检测技术的发展，而入侵检测技术的价值最终要通过实用的入侵检测系统来检验。入侵检测系统4入侵检测系统的基本模型通用入侵检测模型（Denning模型）层次化入侵检测模型（IDM）管理式入侵检测模型（SNMP-IDSM）

入侵检测系统5通用入侵检测模型历史简档更新

提取规则

审计记录

计时器主体活动规则集处理引擎

异常记录

活动简档规则设计和更新建立学习

新活动简档入侵检测系统6IDM模型第一层：数据第二层：事件第三层：主体第四层：上下文第五层：威胁第六层：安全状态入侵检测系统7SNMP-IDSM模型IDSAIDSB从IDS事件MIB中进行SNMPGet操作端口扫描事件与用户异常行为事件向脚本MIB实施SNMPSet操作SNMP通知

主机A主机B入侵检测系统8第3章入侵检测系统入侵检测系统:入侵检测系统的基本模型入侵检测系统的工作模式入侵检测系统的分类入侵检测系统的构架入侵检测系统的部署入侵检测系统9入侵检测系统的工作模式入侵检测系统10第3章入侵检测系统入侵检测系统:入侵检测系统的基本模型入侵检测系统的工作模式入侵检测系统的分类入侵检测系统的构架入侵检测系统的部署入侵检测系统11入侵检测系统的分类根据数据源分类：基于主机（Host-Based）的入侵检测系统：通常，基于主机的入侵检测系统可监测系统、事件和操作系统下的安全记录以及系统记录。当有文件发生变化时，入侵检测系统将新的记录条目与攻击标记相比较，看它们是否匹配。如果匹配，系统就会向管理员报警，以采取措施。基于网络（Network-Based）的入侵检测系统：基于网络的入侵检测系统使用原始网络数据包作为数据源。基于网络的入侵检测系统通常利用一个运行在混杂模式下的网络适配器来实时监视并分析通过网络的所有通信业务。基于混合数据源的入侵检测系统：以多种数据源为检测目标，来提高IDS的性能。混合数据源的入侵检测系统可配置成分布式模式，通常在需要监视的服务器和网络路径上安装监视模块，分别向管理服务器报告及上传证据，提供跨平台的入侵监视解决方案。入侵检测系统12入侵检测系统的分类根据入侵检测分析方法分类：异常入侵检测系统：异常入侵检测系统利用被监控系统正常行为的信息作为检测系统中入侵行为和异常活动的依据。误用入侵检测系统：误用入侵检测系统根据已知入侵攻击的信息（知识、模式等）来检测系统中的入侵和攻击。

入侵检测系统13入侵检测系统的分类根据检测方式分类：实时检测系统：也称为在线检测系统，它通过实时监测并分析网络流量、主机审计记录及各种日志信息来发现攻击。在高速网络中，检测率难以令人满意，但随着计算机硬件速度的提高，对入侵攻击进行实时检测和响应成为可能。非实时检测系统：也称为离线检测系统，它通常是对一段时间内的被检测数据进行分析来发现入侵攻击，并做出相应的处理。非实时的离线批处理方式虽然不能及时发现入侵攻击，但它可以运用复杂的分析方法发现某些实时方式不能发现的入侵攻击，可以一次分析大量事件，系统的成本更低。入侵检测系统14入侵检测系统的分类根据检测结果分类：二分类入侵检测系统：只提供是否发生入侵攻击的结论性判断，不能提供更多可读的、有意义的信息，只输出有入侵发生，而不报告具体的入侵类型。多分类入侵检测系统：能够分辨出当前系统所遭受的入侵攻击的具体类型，如果认为是非正常的行为时，输出的不仅仅是有入侵发生，而且还会报告具体的入侵类型，以便于安全人员快速采取合适的应对措施。入侵检测系统15入侵检测系统的分类根据检测系统对入侵攻击的响应方式分类：主动的入侵检测系统：主动的入侵检测系统在检测出入侵后，可自动地对目标系统中的漏洞采取修补、强制可疑用户（可能的入侵者）退出系统以及关闭相关服务等对策和响应措施。被动的入侵检测系统：被动的入侵检测系统在检测出对系统的入侵攻击后只是产生报警信息通知系统安全管理员，至于之后的处理工作则由系统管理员来完成。

入侵检测系统16入侵检测系统的分类根据系统各个模块运行的分布方式分类：集中式入侵检测系统：系统的各个模块包括数据的收集与分析以及响应都集中在一台主机上运行，这种方式适用于网络环境比较简单的情况。分布式入侵检测系统：系统的各个模块分布在网络中不同的计算机、设备上，一般来说分布性主要体现在数据收集模块上，如果网络环境比较复杂、数据量比较大，那么数据分析模块也会分布，一般是按照层次性的原则进行组织的。入侵检测系统17第3章入侵检测系统入侵检测系统:入侵检测系统的基本模型入侵检测系统的工作模式入侵检测系统的分类入侵检测系统的构架入侵检测系统的部署入侵检测系统18入侵检测系统的构架管理者

代理

代理

代理……入侵检测系统19第3章入侵检测系统入侵检测系统:入侵检测系统的基本模型入侵检测系统的工作模式入侵检测系统的分类入侵检测系统的构架入侵检测系统的部署入侵检测系统20入侵检测系统的部署对于入侵检测系统来说，其类型不同、应用环境不同，部署方案也就会有所差别。对于基于主机的入侵检测系统来说，它一般是用于保护关键主机或服务器，因此只要将它部署到这些关键主机或服务器中即可。但是对于基于网络的入