网络安全与管理 课件 陈红松 第7-15章 虚拟专用网技术- 华为智能基座关键技术及安全机制

第7章虚拟专用网技术

VPN概述

VPN的分类及工作原理

VPN的关键技术及安全性分析

基于PP2P/L2TP的VPN技术

基于IPSec的VPN技术

基于SSL的VPN技术/采用Python搭建SSLVPN基于MPLS的VPN技术OPENVPN的搭建及测试实验电子工业出版社7.1VPN概述VPN的英文全称是“VirtualPrivateNetwork”，翻译过来就是“虚拟专用网络”。虚拟专用网（VPN）被定义为通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。IETF草案理解基于IP的VPN为："使用IP机制仿真出一个私有的广域网"是通过私有的隧道技术在公共数据网络上仿真一条点到点的专线技术。电子工业出版社7.1.1VPN的特点

1安全保障2服务质量保证（QoS）3可扩充性和灵活性4可管理性5节省费用和资源电子工业出版社7.1.2VPN的基本技术

1隧道技术2加解密技术3密钥管理技术4身份认证技术

电子工业出版社7.1.3VPN的应用范围

遇到以下几种情况，可考虑选择VPN。（1）已经通过专线连接实现广域网的企业，由于增加业务，带宽已不能满足业务需要，需要经济可靠的升级方案。

（2）企业的用户和分支机构分布范围广，距离远，需要扩展企业网，实现远程访问和局域网互联，最典型的是跨国企业、跨地区企业。

（3）分支机构、远程用户、合作伙伴多的企业，需要扩展企业网，实现远程访问和局域网互联。

（4）关键业务多且对通信线路保密和可用性要求高的用户，如银行、证券公司、保险公司等。目前，像金融证券、保险业和政府机关等一类的行业用户，还有一些跨国企业、跨地区企业和分支机构分散的企业或机构，采用VPN技术的比较多。电子工业出版社7.1.4企业VPN常见解决方案

1.企业各部门与远程分支机构之间的VPN应用电子工业出版社2．企业网与远程（移动）员工之间的VPN访问电子工业出版社3．企业与合作伙伴、客户、供应商之间的VPN应用电子工业出版社7.2VPN的分类

7.2.1按接入方式划分建立在IP网上的VPN也就对应的有两种接入方式：专线接入方式和拨号接入方式。

电子工业出版社7.2.2按协议实现类型划分（1）第二层隧道协议：这包括点到点隧道协议（PPTP）、第二层转发协议（L2F），第二层隧道协议（L2TP）、多协议标记交换（MPLS）等。（2）第三层隧道协议：这包括通用路由封装协议（GRE）、IP安全（IPSec），这是目前最流行的两种三层协议。（3）SSL安全协议VPN：SSL协议是为保障基于Web通信的安全而提供的加密认证协议，提供的是应用程序的安全服务。(4)MPLSVPNMPLS是一种在开放的通信网上利用标签进行数据高速，高效传输的技术，它将第三层的包交换转换成第二层的包交换，以标记替代传统的IP路由，兼有第二层的分组转发和第三层的路由技术的优点，是一种“边缘路由，核心交换”的技术。电子工业出版社7.2.4按VPN的服务类型划分根据服务类型，VPN业务大致分为三类：接入VPN（AccessVPN）、内联网VPN（IntranetVPN）和外联网VPN（ExtranetVPN）。通常情况下内联网VPN是专线VPN。电子工业出版社7.2.5按承载主体划分营运VPN业务的企业；既可以自行建设他们的VPN网络，也可以把此业务外包给VPN商。电子工业出版社7.3VPN的设计与优化VPN的设计包含安全性、网络优化和VPN管理。7.3.1VPN的安全性

VPN的安全性包含以下特征：

(1)隧道与加密(2)数据验证(3)用户验证(4)防火墙与攻击检测电子工业出版社7.3.2VPN的网络优化二层和三层的QoS具有以下功能：

(1)流分类流分类是实现带宽管理以及其他QoS功能的基础。(2)流量整形与监管：流量整形是指根据数据流的优先级，在流量高峰时先尽量保证优先级高的数据流的接收/发送(3)拥塞管理与带宽分配：根据一定的比例给不同的优先级的数据流分配不同的带宽资源，并对网络上的流量进行预测电子工业出版社7.3.3VPN管理VPN管理的目标为：(1)减小网络风险(2)扩展性(3)经济性(4)可靠性VPN管理主要包括安全管理、设备管理、配置管理、ACL管理、QoS管理等内容。电子工业出版社7.4VPN的安全性分析7.4.1VPN的安全隐患用于MicrosoftVPN中的PPTP(Point-to-PointTunnelingProtocol，点到点隧道协议)被发现在安全方面有许多脆弱性，PPTP中的MS-CHAP和MPPE（MicrosoftPoint-to-PointEncryption），它们的缺陷使得攻击者有很多可以利用的地方。电子工业出版社7.4.2安全VPN安全的VPN，其英文名称为SVPN(SecureVPN)，即保证支持构建安全网络平台的VPN系统，因此安全VPN是一种策略，而非特指某些管件设备。安全VPN的最终日标是：可靠地确定通信参与实体(包括用户、应用和进程)的身份。保护传输的数据免遭未授权的暴露或泄露。保护传输的数据免遭未授权的任何形式的修改。电子工业出版社安全VPN应包括以下功能和组件：1虚拟连接的安全安全的虚拟连接指对VPN连接或隧道的发起方和终止方身份的准确鉴别、连接两端实体被授予的权限。2连接的边界安全边界安全主要指，采用防火墙技术在VPN网关设备处将内部网络或主机与公共网络(一个不安全的区域)进行隔离。3连接的完整性完整性包括虚拟连接所构成的VPN网络完整性，以及通过VPN传输的数据完整性。4机密性VPN网络的连接机密性包括连接保密、隧道传输和过渡连接的保密以及数据内容保密。电子工业出版社5主动审计能力主动审计指除系统对重要通信事件、操作事件以及违反ACL策略的通信进行日志记录和必要审查外，特别包括对网络脆弱性漏洞的扫描以及对入侵的检测与对抗能力。6基于策略的集中式安全服务控制模式这里所说的基于策略的控制，完全有别于人们一般谈到的基于ACI的安全策略，它将安全VPN作为一个整体进行安全管理，其中包括系统建立、运行、维护和管理全过程的具有内在有机联系的动态适应的安全策略。电子工业出版社VPN的网络化安全管理模型，如图7-5所示:电子工业出版社7VPN设备的自身安全VPN设备的自身安全是构建安全网络平台最基础的必要条件。电子工业出版社7.5基于PPTP/L2TP的VPN技术VPN主要依赖隧道技术,VPN隧道技术的核心是隧道协议。VPDN隧道协议可分为PPTP（Piont-to-pointTunnelingProtocol）、L2F(Layer2Forward）和L2TP三种.目前最广泛使用的是L2TP。电子工业出版社7.5.1.PPTP协议

1.PPTP协议简介由3COM和MICROSOFT公司合作开发的PPTP协议是第一个广泛用于VPN的协议。1999年7月公布了PPTF标准文档——RFC2637。它采用客户／服务器体系结构，定义了两个基本构件：一是客户端的PPTP访问集中器PAC(PPTPAccessConcentrator)；二是服务器端的PPTP网络服务器PNS(PPTPNetworkServer)。它采用一种增强的通用路由封装GRE(GenericRoutingEncapsulation)协议在PAC与PNS之间建立一个基于PPP会话的传输隧道，提供多协议封装和多PPP通道捆绑传输功能，同时提供了对封装PPP数据包的流量控制和拥塞控制机制。电子工业出版社2.PPTP协议数据传输过程（1）首先由客户通过PPP协议拨号联接到ISP。（2）然后PPTP协议在客户端与目的VPN中心网络服务器之间开通一个专用的VPN隧道。电子工业出版社3.PPTP协议报文格式PPTP客户端和服务器之间的报文有两种：控制报文负责PPTP隧道的建立、维护和断开；数据报文负责传输用户的真正数据。电子工业出版社图7-6PPTP控制报文PPTP控制连接数据包包括一个IP报头、一个TCP报头和PPTP控制信息电子工业出版社图7-7PPTP数据报文在隧道建好之后，真正的用户数据经过加密和/或压缩之后，再依次经过PPP、GRE、IP的封装最终得到一个IP包电子工业出版社7.5.2L2F/L2TP协议

1.L2F协议基础1996年，cisco提出L2F(Layer2Forward）第二层转发隧道协议。第二层转发协议（L2F）是一种用来建立跨越公用结构组织（如因特网）的安全隧道，为企业家庭通路连接一个ISP的协议。电子工业出版社L2F报文结构如图7-9所示电子工业出版社2.L2TP协议基础L2TP协议由Cisco、Ascend、Microsoft、3Com和Bay等厂商共同制订，1999年8月公布了L2TP的标准RFC2661。上述厂商现有的VPN设备已具有L2TP的互操作性。L2TP结合了L2F和PPTP的优点，可以让用户从客户端或接人服务器端发起VPN连接。PPTP要求网络为IP网络，L2TP要求面向数据包的点对点连接；PPTP使用单一隧道，L2TP使用多隧道；L2TP提供包头压缩、隧道验证，而PPTP不支持。L2TP协议是由IETF起草，微软、Ascend、Cisco、3COM等公司参予制定的二层隧道协议，它结合了PPTP和L2F两种二层隧道协议的优点，为众多公司所接受，已经成为IETF有关2层通道协议的工业标准。电子工业出版社应用L2TP构建的VPDN服务如图7-10所示：图7-10基于L2TP的VPN应用范例电子工业出版社7.6基于IPSec的VPN技术7.6.1IPSec协议简介IPSec(IPSecurity)是IETF(因特网工程任务组)于1998年11月公布的IP安全标准。其目标是为IPv4和IPv6提供具有较强的互操作能力、高质量和基于密码的安全。IPSec协议是网络层协议，是为保障IP通信而提供的一系列协议族，主要针对数据在通过公共网络时的数据完整性，安全性和合法性等问题设计的一整套隧道，加密和认证方案。电子工业出版社7.6.2IPSecVPN安全策略IPSecVPN即指采用IPSec协议来实现远程接入的一种VPN技术。建立一个标准的IPSECVPN一般需要几个过程：建立SA、隧道封装、协商IKE、数据加密和验证。电子工业出版社7.7基于SSL的VPN技术本节主要介绍SSL协议、SSLVPN的特点以及SSLVPN与IPSecVPN的区别。7.7.1SSL协议概述SSL协议是网景公司设计的基于Web应用的安全协议，它指定了在应用程序协议(如HTTP，Telnet和FTP等)和TCP/IP协议之间进行数据交换的安全机制，为TCP/IP连接提供数据加密、服务器认证以及可选的客户机认证。SSL协议是由SSL记录协议、握手协议、密钥更改协议和告警协议组成，它们共同为应用访问连接提供认证、加密和防篡改功能。SSL握手协议主要是用于服务器和客户之间的相互认证，协商加密算法和MAC(MessageAuthenticationCode)算法，用于生成在SSL记录中发送的加密密钥。SSL记录协议是为各种高层协议提供基本的安全服务。电子工业出版社SSLVPN是解决远程用户访问敏感公司数据最简单最安全的解决技术。与复杂的IPSecVPN相比，SSL通过简单易用的方法实现信息远程连通。任何安装浏览器的机器都可以使用SSLVPN，这是因为SSL内嵌在浏览器中，它不需要象传统IPSecVPN一样必须为每一台客户机安装客户端软件。电子工业出版社由于Internet的普及和发展，通过IPSecVPN技术实现大量数据的远程访问为人们提供了一种低运行成本、高生产效率的远程访问方式。但是，IPSecVPN也有不足，它使用十分复杂，必须安装和维护客户端软件。另外，从远程通过IPSec通道连接到企业内部网络可能会增加局域网受到攻击或被病毒感染的可能。SSLVPN(安全套接层虚拟专网)技术的出现刚好解决了这一问题。电子工业出版社SSLVPN技术帮助用户通过标准的Web浏览器就可以访问重要的企业应用。这使得部门员工出差时不必再携带自己的笔记本电脑，仅仅通过一台接入了Internet的计算机就能访问企业资源，这为企业提高了效率也带来了方便，同时很好的解决了安全性问题。与IPSec相比，SSLVPN不需要特殊的客户端软件，仅一个Web浏览器即可，而且现在很多浏览器本身内嵌SSL处理功能，这就更加减少了复杂性。电子工业出版社SSLVPN一般的实现方式是在企业的防火墙后面放置一个SSL代理服务器。如果用户希望安全地连接到公司网络上，那么当用户在浏览器上输入一个URL后，连接将被SSL代理服务器取得，并验证该用户的身份，然后SSL代理服务器将提供一个远程用户与各种不同的应用服务器之间连接。电子工业出版社IPSecVPN和SSLVPN是两种不同的VPN架构，IPSecVPN是工作在网络层的，提供所有在网络层上的数据保护和透明的安全通信，而SSLVPN是工作在应用层(基于HTTP协议)和TCP层之间的，从整体的安全等级来看，两者都能够提供安全的远程接入。但是，IPSecVPN技术是被设计用于连接和保护在信任网络中的数据流，因此更适合为不同的网络提供通安全保障。电子工业出版社调研采用vps构建VPN的步骤（300字）2．SSLVPN的技术特点SSLVPN因为以下的技术特点则更适合应用于远程分散移动用户的安全接入。

(1)客户端支撑维护简单

(2)提供增强的远程安全接入功能

(3)提供更细粒度的访问控制

(4)能够穿越NAT和防火墙设备

(5)能够较好地抵御外部系统和病毒攻击

(6)网络部署灵活方便电子工业出版社7.7.3SSLVPN与IPSecVPN的性能比较电子工业出版社7.7.4采用Python语言搭建SSLVPN虚拟专网在开始搭建VPN之前，需要准备以下环境：Python3.6及以上版本；安装必要的Python库：pyOpenSSL、socket、os、threading。电子工业出版社通过Python语言编写客户端代码，用于连接VPN服务器，发送和接收加密数据。7.8基于MPLS的VPN技术

本节主要介绍MPLSVPN的基本概念、分类、工作流程、优点及标准化进展。7.8.1MPLSVPN概述多协议标签交换MPLS（Multi-ProtocolLabelSwitching）在通信网内利用定长的标签来引导数据高速传输和交换的网络技术。它是基于标签的IP路由选择方法，采用简化了的技术来完成第三层和第二层的转换，将第三层的包交换转换成第二层的包交换，以标记替代传统的IP路由，兼有第二层的分组转发和第三层的路由技术的优点，是一种“边缘路由，核心交换”的技术。电子工业出版社7.8.2MPLSVPN的分类

MPLSVPN根据扩展方式的不同可以划分为BGPMPLSVPN和标签分发协议LDP

（LabelDistributionProtocol）扩展VPN，根据PE（ProviderEdge）设备是否参与VPN路由可以划分为二层VPN和三层VPN.电子工业出版社7.8.3MPLS的工作流程MPLS是一种特殊的转发机制，它为进入网络中的IP数据包分配标记，并通过对标记的交换来实现IP数据包的转发。标记作为IP包头在网络中的替代品而存在，在网络内部MPLS在数据包所经过的路径通过交换标记（而不是看IP包头）来实现转发；当数据包要退出MPLS网络时，数据包被解开重装，继续按照IP包的路由方式到达目的地。电子工业出版社MPLS的工作流程可以分为三个方面：即网络的边缘行为、网络的中心行为以及如何建立标记交换路径。电子工业出版社7.8.4MPLS的优点1.高安全性2.强大的扩展性4.灵活的控制策略5.强大的管理功能6.服务级别协议7.为用户节省费用电子工业出版社7.8.5MPLS的标准化进展MPLS技术的标准化工作仍在进行之中，主要的组织有IETF、ITU和MPLSForum.最有影响力的当数IETF的MPLS工作组，它独立于各个设备实现厂家，现有的MPLS相关协议基本上来自于这个工作组，以及该组织后来派生出流量工程工作组和MPLSVPN工作组，该工作组前后公布了超过300个RFC和相关草案。电子工业出版社7.9OpenVPN的搭建及测试实验7.9.1OpenVPN简介7.9.2OpenVPN的搭建实验7.9.1OpenVPN简介OpenVPN的工作原理是在服务器端和客户端之间搭建一个基于当前网络环境的加密通道，将服务器端和多个客户端组建成一个相对独立的虚拟局域网。OpenVPN是一个用于创建虚拟专用网络（VirtualPrivateNetwork）加密通道的免费开源软件。OpenVPN使用SSL/TLS安全协议运行。7.9.2OpenVPN的搭建实验主要步骤（1）安装openvpn

服务器软件（2）安装openvpn

客户端软件（3）配置VPN服务器。1）证书制作的初始化2）制作证书3）配置服务器4）配置客户端5）检测连通小结本章介绍了VPN的相关概念、应用范围、分类、协议及实现技术。通常VPN被用于实现企业远程内部网络互连或为合作伙伴、家庭办公用户及出差员工提供远程接入服务。与专线方式相比，采用VPN实现远程网络互连在经济性、可扩展性方面具有明显优势。在VPN产品中,与防火墙相结合的复合型VPN设备与传统防火墙价格相差不大,目前以与防火墙相结合的复合型VPN设备和软件VPN产品为热点。讲授了采用Python语言搭建SSLVPN虚拟专网的流程。最后，介绍了OpenVPN的搭建及测试实验。

电子工业出版社第8章入侵检测技术入侵检测概述入侵检测系统的技术指标入侵检测系统的分类入侵检测系统的部署入侵检测系统的关键技术入侵检测与入侵防护入侵检测的标准化蜜罐及蜜网技术Snort入侵检测实验电子工业出版社8.1入侵检测概述 本节介绍了入侵检测的基本概念、发展历史，入侵检测系统的作用、组成、优缺点及技术指标。8.1.1入侵检测的基本概念入侵，指未经授权蓄意尝试访问信息、窜改信息，使系统不可靠或不能使用；或者是指有关试图破坏资源的完整性、机密性及可用性的活动集合。入侵检测是指“通过对行为、安全日志或审计数据或其它网络上可以获得的信息进行操作，检测到对系统的闯入或闯入的企图”（参见国标GB/T18336）。电子工业出版社

入侵检测是对计算机和网络资源上的恶意使用行为进行识别和相应处理的过程。它不仅可以检测来自外部的攻击，同时也可以监控内部用户的非授权行为。入侵检测通过对计算机网络或计算机系统中的若干关键点收集信息以及对（网络）系统的运行状态进行监视，并对各种收集到的信息进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象，以保证系统资源的机密性、完整性和可用性，实现对入侵行为的早期发觉。入侵检测的作用包括威慑、检测、响应、损失情况评估、攻击预测和起诉支持。电子工业出版社8.1.2入侵检测的发展历史1概念的诞生1980年4月，JamesP.Anderson为美国空军做了题为《ComputerSecurityThreatMonitoringandSurveillance》（计算机安全威胁监控与监视）的技术报告中指出，审计记录可以用于识别计算机误用，他给威胁进行了分类，第一次详细阐述了入侵检测的概念。电子工业出版社2模型的发展1984—1986年，乔治敦大学的DorothyDenning和SRI/CSL（SRI公司计算机科学实验室）的PeterNeumann研究出了一个实时入侵检测系统模型-IDES（IntrusionDetectionExpertSystems入侵检测专家系统），是第一个在一个应用中运用了统计和基于规则两种技术的系统，是入侵检测研究中最有影响的一个系统。电子工业出版社通用入侵检测模型电子工业出版社Denning所提出的入侵检测基本模型，其意义在于一般化的模型定义，并不强调具体的实现技术。基本模型中的各个部件都可根据实际系统的设计要求，加以具体实现，同时可以加以细化和进一步扩展。电子工业出版社3里程碑的产生1990年是入侵检测系统发展史上的一个分水岭。加州大学戴维斯分校的L.T.Heberlein等人开发出了NSM（networksecuritymonitor），写了一篇论文《ANetworkSecurityMonitor》，该监控器用于捕获TCP/IP分组，第1次直接将网络流作为审计数据来源，因而可以在不将审计数据转换成统一格式的情况下监控异种主机，网络入侵检测从此诞生。电子工业出版社4新的发展近些年来，入侵检测的主要创新包括：分布式入侵检测系将基于主机和基于网络的检测方法集成到一起，它的检测模型采用了分层结构。基于图的入侵检测系统的设计和实现，该系统使得对大规模自动或协同攻击的检测更为便利，这些攻击有时甚至可能跨过多个管理领域。Forrest等将免疫原理运用到分布式入侵检测领域；1998年，RossAnderson将信息检索技术引进到入侵检测。2000年以来Yahoo、CNN等大型网站遭受的分布式拒绝服务攻击引发了对IDS系统的新一轮研究热潮。电子工业出版社8.1.3入侵检测系统的作用及组成1入侵检测系统的作用入侵检测系统（IntrusionDetectionSystem）是对防火墙有益的补充，入侵检测系统被认为是防火墙之后的第二道安全闸门，对网络进行检测，提供对内部攻击、外部攻击和误操作的实时监控，提供动态保护大大提高了网络的安全性。电子工业出版社入侵检测系统主要有以下功能：事前警告：入侵检测系统能够在入侵攻击对网络系统造成危害前，及时检测到入侵攻击的发生，并进行报警；事中防御：入侵攻击发生时，入侵检测系统可以通过与防火墙联动、TCPKiller等方式进行报警及动态防御；事后取证：被入侵攻击后，入侵检测系统可以提供详细的攻击信息，便于取证分析。电子工业出版社入侵检测作为安全技术其作用在于：

识别入侵者；识别入侵行为；检测和监视已成功的安全突破；为对抗入侵及时提供重要信息；阻止事件的发生和事态的扩大。实现入侵检测功能的软件与硬件的组合即被称为入侵检测系统，主要执行以下任务：监测并分析用户和系统的活动；核查系统配置漏洞、系统构造和弱点的审计；统计分析异常行为；评估重要系统和数据文件的完整性；操作系统的审计跟踪管理，并识别用户违反安全策略的行为；针对已发现的攻击行为作出适当的反应，如告警、中止进程等；异常行为模式的统计分析；一个高质量的IDS产品除了具备以上入侵检测功能外，还必须具备较高的可管理性和自身安全性。电子工业出版社互联网工程任务组（TheInternetEngineeringTaskForce,IETF）将一个IDS分为四个组件：事件产生器（EventGenerators）；事件分析器（EventAnalyzers）；响应单元（ResponseUnits）；事件数据库（EventDatabases）。电子工业出版社8.1.4IDS的优缺点分析

1入侵检测系统的优势IDS是安全防御系统中的一个重要组件，在具备优点的同时也不可避免地存在一些局限性。以下简略地列举一些优缺点分析。优势：

可以检测和分析系统事件以及用户的行为；

可以测试系统设置的安全状态；

以系统的安全状态为基础，跟踪任何对系统安全的修改操作；

通过模式识别等技术从通信行为中检测出已知的攻击行为；

可以对网络通信行为进行统计，并进行检测分析；

管理操作系统认证和日志机制并对产生的数据进行分析处理；

在检测到攻击的时候，通过适当的方式进行适当的报警处理；

通过对分析引擎的配置对网络的安全进行评估和监督；

允许非安全领域的管理人员对重要的安全事件进行有效的处理。电子工业出版社2入侵检测系统的局限性

入侵检测系统存在以下缺陷：（1）入侵检测系统无法弥补安全防御系统中的安全缺陷和漏洞。（2）对于高负载的网络或主机，很难实现对网络入侵的实时检测、报警和迅速地进行攻击响应。（3）基于知识的入侵检测系统很难检测到未知的攻击行为，也就是说，检测具有一定的后滞性，而对于已知的报警，一些没有明显特征的攻击行为也很难检测到，或需要付出提高误报警率的代价才能够正确检测。（4）入侵检测系统的主动防御功能和联动防御功能会对网络的行为产生影响，同样也会成为攻击者的目标，实现以入侵检测系统自主防御为目标的攻击。（5）入侵检测系统无法单独防止攻击行为的渗透，只能调整相关网络设备的参数或人为地进行处理。（6）网络入侵检测系统在纯交换环境下无法正常工作，只有对交换环境进行一定的处理，利用镜像等技术，网络入侵检测系统才能对镜像的数据进行分析处理。电子工业出版社8.1.5入侵检测系统的技术指标

IDS的主要目的就是有效地检测出入侵行为，并进行及时处理。检测率用来确定在一个时间段内及在给定的环境中IDS可以正确检测到攻击的比率。当系统将正常的行为确认为人侵行为时就是发生误报(FalsePositive)。误报率用来确定在一个特定的时间段内及在给定环境中IDS所产生的误报比率，大多数产生误报的原因是正常的非恶意的后台流量引起的。当系统将入侵行为确认为正常行为时，则发生漏报(FalseNegatire)。漏报率用来衡量一个特定的时间段及在给定环境中IDS所产生的漏报比率。电子工业出版社除了上面的几项指标外，还有几项重要的指标需要加以考虑。它们包括：每秒数据流量、每秒抓包数、每秒能监控的网络连接数、每秒能够处理的事件数、自身安全性(抵抗对入侵检测系统本身的攻击)、事件关联能力、检测未知攻击的能力、确认攻击是否成功的能力等。电子工业出版社8.2入侵检测系统的分类随着入侵检测技术的发展，到目前为止出现了很多入侵检测系统，不同的入侵检测系统具有不同的特征。根据不同的分类标准，入侵检测系统可分为不同的类别。对于入侵检测系统，要考虑的因素（分类依据）主要的有：信息源、入侵、事件生成、事件处理、检测方法等。下面就不同的分类依据及分类结果分别加以介绍。电子工业出版社8.2.1根据信息源分类按照原始数据的来源，可以将入侵检测系统分为基于主机的入侵检测系统、基于网络的入侵检测系统和混合型入侵检测系统。电子工业出版社1．主机型入侵检测系统主机入侵检测系统HIDS(Hostintrusiondetectionsystems)以系统日志、应用程序日志等作为数据源，也可以通过其他手段（如监督系统调用）从所在的主机收集信息进行分析。主机型IDS保护的一般是所在的系统。2.网络型入侵检测网络入侵检测系统NIDS(networkintrusiondetectionsystems)的数据源是网络上的数据包。基于网络的IDS有许多仅靠基于主机的入侵检测法无法提供的功能。它有以下优点：(1)监测速度快。(2)隐蔽性好。一个网络上的监测器不像一个主机那样明显和易被存取，因而也不那么(3)建设范围更宽。(4)较少的监测器。(5)攻击者不易转移证据。(6)操作系统无关性。(7)可以配置在专门的机器上，不会占用被保护的设备上的资源。电子工业出版社3.分布式入侵检测系统基于网络和基于主机的入侵检测系统都有不足之处，会造成防御体系的不全面，综合了基于网络和基于主机的分布式入侵检测系统既可以发现网络中的攻击信息，也可以从系统日志中发现异常情况。典型的分布式入侵检测系统是控制台/探测器结构。电子工业出版社8.2.2按照功能分类

按功能的不同，IDS可分为以下几类：网络入侵检测系统NIDS（NetworkIntrusionDetectionSystem），这类IDS通过对网络中传输的数据包进行分析，从而发现可能的恶意攻击企图。系统完整性校验系统SIV（SystemIntegrityVerifiers），这类IDS用来校验系统文件，查看系统是否已经被入侵者攻破而且更改了系统原文件并留下了后门。日志文件分析系统LFM（LogFileMonitors），这类IDS主要通过监测网络服务所产生的日志文件来获得潜在的恶意攻击企图。欺骗系统DS（DeceivingSystem），又称蜜罐系统（HoneyPots），这类IDS通过模拟一些著名漏洞并提供虚假服务来欺骗入侵者，从而达到迷惑入侵者的目的。电子工业出版社8.2.3根据检测方法分类

按照检测方法将IDS分为异常和误用两种，然后分别对其建立异常检测模型和误用检测模型。异常入侵检测是指能够根据异常行为和使用计算机资源的情况检测出入侵的方法。它试图用定量的方式描述可以接受的行为特征，以区分非正常的、潜在的入侵行为。误用入侵检测是指利用已知系统和应用软件的弱点攻击模式来检测入侵的方法。与异常入侵检测不同，误用入侵检测能直接检测不利的或不可接受的行为，而异常入侵检测是检测出与正常行为相违背的行为。电子工业出版社1．异常检测在异常检测中，观察到的不是已知的入侵行为，而是所研究的通信过程中的异常现象，它通过检测系统的行为或使用情况的变化来完成。2．误用检测在误用检测中，入侵过程模型及它在被观察系统中留下的踪迹是决策的基础。所以，可事先定义某些特征的行为是非法的，然后将观察对象与之进行比较以做出判别。电子工业出版社8.2.4根据体系结构分类

按照体系结构，IDS可分为集中式、等级式和协作式3种。1集中式入侵检测系统集中式IDS可能有多个分布于不同主机上的审计程序，但只有一个中央入侵检测服务器。2等级式入侵检测系统等级式(部分分布式)IDS中，定义了若干个分等级的监控区域，每个IDS负责一个区域，每一级IDS只负责所监控区的分析，然后将当地的分析结果传送给上一级IDS。3协作式入侵检测系统协作式IDS将中央检测服务器的任务分配给多个基于主机的IDS，这些IDS不分等级，各司其职，负责监控当地主机的某些活动。电子工业出版社8.2.5根据检测的实时性分类入侵检测系统还可以按响应时间分为实时和非实时处理系统。电子工业出版社8.2.6根据入侵检测响应方式入侵检测响应方式分为主动响应和被动响应。被动响应系统只会发出告警通知，将发生的不正常情况报告给管理员，本身并不试图降低所造成的破坏，更不会主动地对攻击者采取反击行动。主动响应系统可以分为两类：对被攻击系统实施控制的系统和对攻击系统实施控制的系统。电子工业出版社8.3入侵检测系统的部署8.3.1IDS应用部署1.部署在DMZ区使用入侵检测系统和防火墙共同构建网络安全防护体系有多种组合方法，用户可以根据需要进行选择，具体可以结合网络中防火墙的位置和安全需求来进行部署。2.部署在外网入口3.部署在内网主干4.部署在个别关键子网6.基于主机的入侵检测系统的部署电子工业出版社8.3.2IDS技术部署方式 从技术原理上来讲，IDS的部署主要有以下几种：共享模式和交换模式隐蔽模式分接器Tap模式

可捕获100%的数据包，没有丢包。可监测到不规则的数据包，方便于故障排查。精确的时间戳，没有延迟和重定时.需额外花费购买分路器TAP,一次只能看一条链路.

串联In-Line模式电子工业出版社8.3.3入侵检测系统的设置步骤入侵检测系统的设置主要分为以下几个基本的步骤：

①确定入侵检测需求。

②设计入侵检测系统在网络中的拓扑位置。

③配置入侵检测系统。

④入侵检测系统磨合。

⑤入侵检测系统的使用及自调节。电子工业出版社图8-3入侵检测系统设置流程图电子工业出版社在网络中部署IDS时，可以使用多个NIDS和HIDS，这完全根据网络的实际情况和自己的需求。电子工业出版社图8-4典型的IDS的部署图电子工业出版社8.4入侵检测系统的关键技术8.4.1NIDS的关键技术1IP碎片重组技术

2TCP流重组技术

3协议分析技术

4零复制技术

电子工业出版社8.4.2HIDS的关键技术1文件和注册表保护技术

2网络安全防护技术

3文件完整性分析技术

电子工业出版社8.5入侵检测系统的标准化1.入侵检测工作组的标准草案为了提高IDS产品、组件及与其他安全产品之间的互操作性，美国国防高级研究计划署（DARPA）和互联网工程任务组（IETF）的入侵检测工作组IDWG（IntrusionDetectionWorkingGroup）发起制定了一系列IDS的标准草案。IDWG主要负责制定入侵检测响应系统之间共享信息的数据格式和交换信息的方式，以及满足系统管理的需要。电子工业出版社IDWG提出的建议草案包括三部分内容：入侵检测消息交换格式IDMEF（IntrusionDetectionMessageExchangeFormat）、入侵检测交换协议IDXP（IntrusionDetectionExchangeProtocol）以及隧道模型（TunnelProfile）。电子工业出版社2.通用入侵检测框架

DARPA提出的建议是通用入侵检测框架CIDF（CommonIntrusionDetectionFramework

），最早由加州大学戴维斯分校安全实验室主持起草工作。CIDF主要介绍了一种通用入侵说明语言，用来表示系统事件、分析结果和响应措施。为了把IDS从逻辑上分为面向任务的组件，CIDF试图规范一种通用的语言格式和编码方式以表示在组件边界传递的数据。CIDF所做的工作主要包括四部分：IDS的体系结构、通信体制、描述语言和应用编程接口。

电子工业出版社8.6入侵防护8.6.1入侵防护系统入侵防御系统IPS（IntrusionPreventionSystem）是指能检测并阻止已知和未知攻击的内嵌硬件设备或软件系统，是近几年发展起来的新一代安全工具，是一种主动、积极的入侵防范、阻止系统。电子工业出版社图8-8IPS防御模型电子工业出版社8.6.2IDS、Firewall和IPS的关系IPS系统由IDS系统发展而来，但是仍然和IPS系统有较大差别。这是由它们在网络中的部署特点决定的。IPS系统在网络中以在线（in-line）形式安装在被保护网络的入口上，它能够控制所有流经的网络数据；而IDS系统以旁路形式安装在网络入口处，甚至安装在某些共享式网络内电子工业出版社图8-9IDS、Firewall和IPS的关系电子工业出版社IDS系统在网络中处于旁路地位，这决定了它从本质上无法阻断外来的恶意攻击请求，只能通过某些手段如发送TCPRST报文来干扰攻击的进行，但是这种干扰手段的效果非常有限，只对很少需要保持一定时间连接的攻击能够起到效果。IPS系统吸取了防火墙的特点，它与防火墙一样以在线形式部署在网络入口处。网络数据报文在流经IPS系统时，IPS系统在线决定报文的处理方式，转发或者丢弃，进出网络的数据报文都要经过IPS的深层检查，从而达到防御的目的。电子工业出版社8.6.3入侵防御系统的特点IPS综合了入侵检测系统的检测功能和防火墙的防御功能。IPS能够从不断更新的模块库中发现各种各样的新的入侵方法，从而做出更多的保护性操作，以减少漏报和误报。IPS的设计基于一种全新的思想和体系结构，工作与内嵌方式，采用专用集成电路ASIC（ApplicationSpecificIntegratedCircuits）、现场可编程门阵列FPGA（FieldProgrammableGateArray）或网络处理器NP（NetworkProcessor）等硬件设计技术实现网络数据流的捕获。电子工业出版社图8-10IPS系统结构电子工业出版社IPS支持多种监控模式，如接到交换机的映象端口-交换端口分析器SPAN（SwitchedPortAnalyzer）、TAP（分流器）、IN—LINE（串连）、PORTCLUSTER（端口群集），可根据实际情况选择。电子工业出版社8.6.4入侵防御系统的不足现有的IPS技术在带来改进和方便的同时，也面临着很多的挑战：误报率问题检测率问题IPS的隔离和保护功能不够足够强大，导致它不能够有效地处理来自内网的攻击，而网络上很大一部分的网络攻击是来自内网的。电子工业出版社8.7蜜罐与蜜网技术8.7.1蜜罐与蜜网技术概述蜜罐如同是情报收集系统。蜜罐是故意让人攻击的目标，引诱黑客前来攻击。所以攻击者入侵后，就可以知道他是如何得逞的，随时了解针对公司服务器发动的最新的攻击和漏洞。还可以通过窃听黑客之间的联系，收集黑客所用的种种工具，并且掌握他们的社交网络。蜜罐（honeypot）技术是一种主动防御技术电子工业出版社表8.1传统安全设备与蜜罐能力分类的比较8.7.2常见的蜜罐软件两个典型的蜜罐平台：MHN和T-pot。现代蜜罐网络平台MHN（ModernHoneyNetwork），基于一个用于管理和收集蜜罐数据的中心服务器。通过MHN，可以实现快速部署多种类型的蜜罐，并且通过web可视化界面显示蜜罐收集的数据，目前支持的蜜罐类型有捕蝇草（Dionaea）、Snort、Cowrie、glastopf等。T-Pot16.10多蜜罐平台直接提供一个系统ISO镜像，该平台使用docker技术实现多个蜜罐，从而方便蜜罐研究与数据捕获。T-Pot16.10使用Ubuntuserver16.04LTS系统，基于docker

技术提供了下面一些蜜罐容器：Conpot:低交互工控蜜罐Cowrie:基于kippo更改的中交互ssh蜜罐Emobility:在T-Pot中使用的高交互蜜罐容器Glastopf:低交互型Web应用蜜罐8.8Snort简介及实验8.8.1概述在上个世纪末期，Snort原本是作为一个开源IDS而被开发出来的，如今，它已经发展成为一个具有多平台、实时流量分析、网络IP数据包记录等特性的强大的入侵检测/防御系统。电子工业出版社8.8.2系统组成Snort由以下三个重要的子系统构成：数据包解码器——对各种协议上的数据包进行解析、预处理，以便提交给检测引擎进行规则匹配。检测引擎——检测到数据包满足某个用户预定义的规则时，触发相应操作。日志和报警系统。电子工业出版社图8.11

Snort入侵检测系统体系结构8.8.3工作模式

根据Snort用户手册中所述，Snort可以被配置和运行在以下几种模式中：嗅探（/侦听）模式（SnifferMode），从现有的网络内抓取数据包，然后连续不断地显示在你的控制台屏幕上。数据包记录模式（PacketLoggerMode），把已经抓取的数据包记录到储存媒体（如硬盘等）上。网路入侵检测模式（NetworkIntrusionDetectionSystemMode），是最复杂的，而且是可配置的。内联模式（InlineMode），数据包的抓取不透过libcap，而是透过iptable防火墙，并根据使用特定内联规则类型的Snort规则决定iptable防火墙是否让数据包通行。电子工业出版社8.8.4入侵检测规则及编写1.snort入侵检测规则简介snort使用一种简单的，轻量级的规则描述语言，这种语言灵活而强大。大多数snort规则都写在一个单行上，或者在多行之间的行尾用/分隔。Snort规则被分成两个逻辑部分：规则头和规则选项。规则头包含规则的动作，协议，源和目标ip地址与网络掩码，以及源和目标端口信息；规则选项部分包含报警消息内容和要检查的包的具体部分。电子工业出版社下面是一个规则范例：alerttcpanyany->/24111(content:"|000186a5|";msg:"mountdaccess";)第一个括号前的部分是规则头（ruleheader），包含的括号内的部分是规则选项（ruleoptions）。规则选项部分中冒号前的单词称为选项关键字（optionkeywords）。注意，不是所有规则都必须包含规则选项部分，选项部分只是为了使对要收集或报警，或丢弃的包的定义更加严格。组成一个规则的所有元素对于指定的要采取的行动都必须是真的。当多个元素放在一起时，可以认为它们组成了一个逻辑与（AND）语句。同时，snort规则库文件中的不同规则可以认为组成了一个大的逻辑或（OR）语句。电子工业出版社2.规则启用通过以下命令启动snort入侵检测规则：snort-ieth0-c/etc/snort/snort.conf其中，-i参数指定启用入侵检测的网络接口，-c参数指定启用入侵检测的规则文件。当用户需要测试自己编写的规则时，需要将自己编写的入侵检测snort规则保存在local.rules文件中，并将该规则文件存放在 $RULE_PATH路径下。电子工业出版社3.规则说明snort入侵检测规则包括规则头和规则选项两大部分。规则头包含规则的动作，协议，源和目标ip地址与网络掩码，以及源和目标端口信息规则头的第一项是“规则动作”（ruleaction），“规则动作”告诉snort在发现匹配规则的包时要干什么。在snort中有五种动作：alert、log、pass、activate和dynamic。alerttcp!/24any->/24111(content:"|000186a5|";msg:"externalmountdaccess";)电子工业出版社规则选项组成了snort入侵检测引擎的核心，既易用又强大还灵活。所有的snort规则选项用分号"；"隔开。规则选项关键字和它们的参数用冒号"："分开。按照这种写法，snort中有42个规则选项关键字。主要的关键字如下。msg：在报警和包日志中打印一个消息。logto：把包记录到用户指定的文件中而不是记录到标准输出。content：在包的净荷中搜索指定的模式。alerttcpanyany->/24143(content:"|90c8c0ffffff|/bin/sh";msg:"IMAPbufferoverflow");4.添加报警规则（1）在snort规则集目录snort/rules下新建snort规则集文件new.rules（2）编辑snort.conf配置文件，使其包含new.rules规则集文件（3）以入侵检测方式启动snort，进行监听。启动snort的命令snort-csnort.conf

5.加速含有内容选项的规则探测引擎运用规则的顺序和它们在规则中的书写顺序无关。内容规则选项总是最后一个被检验。6.采用Snort检测SQL注入攻击本文以使用Snort入侵检测系统为例，编写基于规则的正则表达式来对这类攻击进行监测。（1）针对SQL注入的正则表达式alerttcp$EXTERNAL_NETany->$HTTP_SERVERS$HTTP_PORTS(msg:"SQLInjection-Paranoid";flow:to_server,established;uricontent:".pl";pcre:"/(%27)|(’)|(--)|(%23)|(#)/i";classtype:Web-application-attack;sid:9099;rev:5;)其中，uricontent-在数据包URI部分搜索指定的匹配；Pcre关键字，通过正则表达式对.pl文件进行模式检查。（2）针对跨站脚本攻击的正则表达式在发动一次跨站脚本攻击之前，可以使用一个简单的脚本如<script>alert("OK")</script>。一些的入侵者可能会使用变换的方式进行测试，如将起对应的16进制值进行等价替换，简单CSS攻击的正则表达式：/((%3C)|<)((%2F)|/)*[a-z0-9%]+((%3E)|>)/ix其中，((%3C)|<)是对左尖括号进行检测。((%2F)|/)*对表示tag标志结束的斜杠或者16进制值进行匹配。[a-z0-9%]+对一个以上的小写字母或阿拉伯数字进行正则匹配。((%3E)|>)对右尖括号或者它的16进制值进行匹配。(%69)|i|(%49))((%6D)|m|(%4D))((%67)|g|(%47)正则匹配img大小写混合编码将这些正则表达式写成Snort规则：alerttcp$EXTERNAL_NETany->$HTTP_SERVERS$HTTP_PORTS(msg:"NIICross-sitescriptingattempt";flow:to_server,established;pcre:"/((%3C)|<)((%2F)|/)*[a-z0-9%]+((%3E)|>)/i";classtype:Web-application-attack;sid:9000;rev:5;)7．采用Snort检测网络流量图像载荷异常（1）基础匹配：图像文件类型。每种图像格式都有固定的文件头（MagicNumber），可通过content关键字匹配这些特征来识别网络流量中的图像文件类型。#示例1：匹配JPEG图像类型文件头（0xFFD8FFE0）alerttcpanyany->anyany(

msg:"DetectJPEGImageFile";content:"|FFD8FFE0|";#JPEG文件头（十六进制表示）

content:"JFIF";distance:4;within:4;#JPEG头后的"JFIF"标识（偏移4字节，长度4）sid:1000001;)（2）进阶检测：恶意图像内容。攻击者常通过篡改图像的元数据、尺寸字段来植入恶意代码，可通过content匹配异常值：#示例：检测恶意JPEG（异常的SOFX字段，对应攻击漏洞编号CVE-2010-0028）alerttcpanyany->anyany(msg:"MSPaintJPEGMalformedSOFXField(CVE-2010-0028)";

content:"|FFD8FFE0|"; #匹配JPEG头

content:"JFIF";distance:4;within:4;

content:"|FFE9|"; #匹配SOFX段标识，特制图像内容offset:10; #从JPEG头后偏移10字节开始匹配

content:"|00000000|";distance:2;within:4;#SOFX段后异常的0值字段reference:cve,2010-0028;sid:36818; #Snort官方规则ID)（3）复杂规则：图像解析漏洞。针对图像解析漏洞（如缓冲区溢出），可通过content关键字定位协议字段，再用byte_test关键字检查字段值是否异常：#示例：检测GIF图像的LZW代码缓冲区溢出漏洞（CVE-2008-1373）alerttcpanyany->anyany(msg:"CUPSGIFLZWBufferOverflow(CVE-2008-1373)";

content:"GIF89a";#GIF文件头

content:"|0000|";distance:6;within:2;#GIF宽度字段（异常的0值）

byte_test:1,>,8,offset8;#检查LZW代码大小（>8为异常值）reference:cve,2008-1373;sid:17558;#Snort官方规则ID)8．采用Snort检测网络木马及漏洞利用攻击

（1）网络木马流量特征检测。wireshark抓包发现网络流量中的木马特征字段在snort中添加检测规则，将特征值添加入规则：alerttep any 8000:any any (msg:"huigezi网络木马通信被检测";content:'|0400000038623463613538313732383830626262";sid:10386;)（2）漏洞利用攻击检测。网络攻击流量特征：永恒之蓝漏洞利用攻击流量在SMBv1协议协商过程中，会包含一个特定的、畸形的Trans2会话设置请求。漏洞利用检测Snort规则：alerttcp$EXTERNAL_NETany->$HOME_NET445(msg:"EXPLOITPossibleETERNALBLUEMS17-010EchoRequest";flow:to_server,established;content:"|00000031ff|SMB|2b000000001807c0|";depth:14;fast_pattern;content:"|0e00000c00|";distance:34;within:5;content:"|4a6c4a71b1f4106385cf992fc4|";distance:14;within:14;classtype:attempted-admin;sid:20251130;rev:4;)content：这条规则定义了3个二进制content关键字，Snort会像拼接藏宝图一样，在数据包中依次匹配这些二进制字符串片段。只有当所有这些片段字符串模式特征都按照distance（距离）和within（在……之内）等条件准确出现在数据包特定位置时，规则才会匹配。9．Snort中的多模式字符串匹配算法串匹配算法是Snort规则检测引擎的核心组件，负责在网络数据包载荷中匹配规则的特征字符串，以识别攻击行为。在Snort早期版本中，主要采用单模式串匹配算法，如BM、KMP算法等。由于Snort规则库包含上千条特征字符串，多模式匹配算法可同时处理多个模式串，能大幅提升检测效率，因此成为Snort模式匹配的主流，主要包括AC算法、WM算法等。WM算法全称为Wu-Manber算法，源于BM串匹配算法的坏字符机制，其核心思想是通过大块字符跳转减少无效比对，借助三张核心表实现多模式串的批量并行匹配。WM算法匹配比较过程用到的三张表分别为移动跳跃表(Shift)、模式哈希表(Hash)、前缀表(Prefix)，这三张核心表在预处理阶段建立。WM算法初始状态，将所有模式串首字符对齐文本串第一个字符，在后面的匹配过程中模式串整体向右移动。整体匹配从文本串第m个字符位置开始从左向右扫描；模式串匹配由右向左，每次扫描B个字符（B通常取2或3）。WM预处理算法时间复杂度为O(∑+M)，其中∑为字符集大小，M为所有模式串长度之和。扫描算法的平均时间复杂度为O(B

n/m)，其中，B是扫描字符块的大小，n是文本串长度，m是模式集合中最短模式串长度。WM多模式匹配算法的主循环包括以下五个步骤。步骤1：根据文本串当前m个字符计算其尾部大小为B的字符块，检查是否到文本的末尾，如果是则退出；否则，转到步骤2。步骤2：检查该字符块对应的Shift[]跳跃值，如果Shift[]>0，则将窗口安全右移Shift[]位并转步骤1；如果Shift[]=0则转到步骤3。步骤3：计算从文本串当前位置向左m个字符中长度为B的前缀子串哈希值，称为text_prefix，转到步骤4。步骤4：检查前缀表Prefix，当前缀表Prefix[B]=text_prefix时，找到对应模式串p；按照模式串p的实际长度检查文本串的相应子串，计算Hash[]的值，转到步骤5。步骤5：若Hash[]=Hash[p]，则输出匹配的字符串p及文本串匹配位置；若未检查到与文本匹配的模式，则将模式匹配窗口右移一个字符，转到步骤1。10.入侵检测规则测试利用FragRoute、FragRouter、TCPReplay、Nidsbench、IDStest、Dsniff等入侵检测系统测试工具对所编写的入侵检测规则进行安全性测试。其中，FragRoute能够截取、修改和重写向外发送的报文，实现大部分的攻击功能。在FragRoute中起重要作用的是一个简单的规则设置语言，每条指令是报文变换原语，流水线式处理包队列。8.8.5部分命令

部分Snort命令行（及参数）说明（注意大小写）：-A<var>——设置警告模式，var的取值可以是full、fast或none。full模式进行典型Snort类型的警告；fast模式只把时间、消息、IP地址和端口记录到警告文件中；none模式为关闭警报。-a——显示arp报文。-b——以tcpdump格式将报文记录到日志文件中，报文以二进制的形式记录。-C——只用ASCII显示报文负载，不显示十六进制输出。-d——显示应用层数据。-l<var>——将日志文件放到目录<var>中。-L<var>——设置二进制输出的文件名为<var>。-N——关闭日志功能，警告功能依旧可用。-p——关闭混杂监听模式。-q——在安静模式运行，不显示标题和状态统计。-?——显示Snort的简要使用说明。电子工业出版社小结本章介绍了入侵检测系统的相关概念、发展历程、分类方法与关键技术，入侵检测是对入侵行为的发觉。它通过从计算机网络或计算机系统的关键点收集信息并进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。本章还介绍了蜜罐与蜜网技术以及入侵检测的标准化进展，以Snort为实例阐释了入侵检测规则及选项使用，包括网络流量图像载荷异常检测、网络木马漏洞利用攻击检测规则，以及入侵检测规则的测试工具。。电子工业出版社电子工业出版社第9章面向内容的网络信息安全

网络内容安全的概念与意义网络内容安全监控的功能网络内容监测的关键技术面向内容的网络安全监控模型网络内容安全中的数据挖掘与知识发现论坛类网站内容安全监控模型网络信息内容安全与网络空间语言治理的关系电子工业出版社9.1网络内容安全的概念与意义网络内容安全，主要是针对用户层、内容层及应用层的安全管理，其范围应该包括传统的防病毒、反恶意软件、上网行为管理及消息安全等。网络内容安全开始成为继防火墙、网络防毒、入侵监测系统之后，安全领域的又一个重要组成部分。电子工业出版社9.1.1网络信息内容安全的发展背景互联网的开放性、交互性、匿名性特点，使得网络信息复杂多样。网络内容从各种大众资讯到博客、股票、游戏等热门话题，再到反动言论、暴力、色情等不良信息，已经涉及到国家利益和社会稳定。境内外敌对势力和其他犯罪分子也在利用互联网进行危害国家安全的违法活动。许多社会学家和教育学者都呼吁控制网络不健康信息的泛滥，对互联网内容进行全面监管。电子工业出版社9.1.2网络信息内容安全监控的意义由于境外敌对势力的渗透活动不断，出于国家安全需要的网络内容监控需求一直很迫切。同时家庭、公司内部局域网的上网行为也存在内容监控的需求，以便滤除色情暴力和与工作无关的内容。电子工业出版社9.2网络内容安全监控的功能从技术角度看，网络信息内容的安全监控与入侵检测、防火墙等都属于数据包分析、安全过滤类技术，因此网络的监控与审计是继防火墙、入侵检测之后的又一种网络安全手段。但网络信息内容的安全监控与审计主要针对的是网络的应用层内容分析，因此在功能上具有自己明显的特点。电子工业出版社网络信息内容的安全监控在功能上主要表现在以下方面：1.典型应用审计2.用户自定义数据传输审计3.面向连接的数据截获4.面向连接的浏览5.文件共享审计6.实时阻断和报警响应7.流量监测8.入侵检测电子工业出版社9.3网络信息内容安全监测的关键技术9.3.1数据获取技术1.网络环境下的数据获取方法网络数据采集是指从网络收集数据的过程。它是进行后续信息处理、信息服务的基础。如何快速、准确地获取所需要的信息，是面向内容的网络安全监控系统研究的主要内容之一。数据捕获就是将流经某个网络的数据包进行第三方截获，以便进行进一步分析还原处理的一种技术。在网络环境中，信息获取分为主动获取和被动获取。电子工业出版社2.用户级数据包捕获机制目前，大多数采集系统，均采取如Libpcap或WinPcap（Libpcap的Windows版本）之类的用户级包捕获库。这些包捕获库工作在网络分析系统模块的最底层，作用是从网卡取得数据包或者根据过滤规则取出数据包，再转交给上层分析模块。电子工业出版社图9-1LibPcap的工作原理电子工业出版社Libpcap主要包含三个部分：最底层是针对硬件设备接口的数据包捕获机制，中间是内核级的包过滤机制，第三层是针对用户程序的接口。电子工业出版社9.3.2协议分析技术1.协议分析的基本原理协议分析，就是利用互联网上的协议的高度规范性，将捕获到的网络数据包进行逐层协议解析和分析，并将分析结果保存及显示的技术。电子工业出版社2.协议分析的方法在分析时，可以采用模拟TCP/IP协议栈的方式，逐层分析每个数据包直至应用层。因为捕获的是别人通信的数据，因此协议分析设备始终是处于数据包接受者的位置，所以协议分析时从底层开始向上分析。电子工业出版社3.常用的数据包分析技术目前，常用的数据包分析技术包括无状态数据包分析技术和有状态数据包分析技术。无状态数据包分析技术是最早采用的网络数据包分析技术。有状态数据包分析技术在进行协议分析时，分析每个数据包所属的协议状态，提取与连接有关的状态信息。每个连接状态可以通过数据包的协议类型号、源IP、源端口、目的IP、目的端口来标识。电子工业出版社9.3.3应用数据还原技术1.应用数据还原的基本概念数据采集的目的是为了分析还原其内容。对于基于内容的网络安全监控系统来说，仅分析零碎的数据包是没有任何价值的，而必需将一个会话中双向传输的所有数据包进行的拼接，并排除协商、应答、重传、包头等网络附加信息，最终实现还原与重放，只有这样才能实现网络内容的监控与审查。电子工业出版社2．会话重聚与还原协议分析的目的是将整个会话过程及其数据内容显示或者保存，因此它的工作过程主要有两个步骤：会话重聚，会话还原。会话重聚即把会话中包含的数据包提取出来，将其中的分片或者分段进行重组，并且调整会话中的数据包的顺序为正确的顺序(即处理重传，丢包，乱序等情况)的过程。会话重聚依靠协议分析，要建立在我们己经对每一个数据包进行应用层以下的协议的充分解析的基础上。电子工业出版社9.3.4内容分析与过滤技术1．内容分析与过滤技术的基本概念网络信息内容监测的目的不仅