第7章 入侵检测技术2
入侵检测ppt课件
传统防火墙的主要缺陷之一在于对内联网络的防范措施不力。这是因 为一般的防火墙的目的就是为了保护用户网络，所以它们都假定内联网络 是安全的外联网络是不安全的。但研究表明，50%以上的攻击行为是从内 部发起的。
入侵检测技术是人们对网络探测与攻击技术层出不穷的的反应，其目 的是通过对系统负载的深入分析，发现和处理更加隐蔽的网络探测与攻击 行为，为系统提供更强大、更可靠的安全策略和解决方案，弥补防火墙的 不足。
28
IDS 模式匹配举例
模式匹配举例：
较早版本的Sendmail漏洞利用 $ telnet 25 WIZ shell 或者 DEBUG # 直接获得rootshell！ 模式匹配 检查每个packet是否包含：
“WIZ” | “DEBUG”
29
6.5
入侵检测的历史
32
6.6.1 按照检测数据的来源划分 （1）
1 基于主机的入侵检测
基于主机的入侵检测系统(HIDS)检查 判断的依据是系统内的各种数据以及 相关记录。具体来说，可以分成以下 几种：
系统审计记录 系统日志 应用程序日志 其它数据源 比如文件系统信息
33
1 基于主机的入侵检测
基于主机的IDS的优点
26
6.4 入侵检测的主要作用
识别并阻断系统活动中存在的已知攻击行为，防止入侵行为对受保护 系统造成损害。
识别并阻断系统用户的违法操作行为或者越权操作行为，防止用户对 受保护系统有意或者无意的破坏。
检查受保护系统的重要组成部分以及各种数据文件的完整性。
审计并弥补系统中存在的弱点和漏洞，其中最重要的一点是审计并纠 正错误的系统配置信息。
7
6.1.1
拒绝服务（3）
3 报文超载
防火墙入侵检测与VPN——第二部分资料
走信息路 读北邮书
本书的 封面
6.4 入侵检测的主要作用
识别并阻断系统活动中存在的已知攻击行为，防止入侵行为对受保 护系统造成损害。
识别并阻断系统用户的违法操作行为或者越权操作行为，防止用户 对受保护系统有意或者无意的破坏。
检查受保护系统的重要组成部分以及各种数据文件的完整性。 审计并弥补系统中存在的弱点和漏洞，其中最重要的一点是审计并 纠正错误的系统配置信息。
详细内容见参考书。 本书的 封面
走信息路 读北邮书
6.6.1 按照检测数据的来源划分 （3）
3 混合式的入侵检测
基于主机的入侵检测能够对主机上用户 或进程的行为进行细粒度地监测，很好地 保护了主机的安全。基于网络的入侵检测 则能够对网络的整体态势做出反应。这两 种优点都是用户所需要的，因此计算机安 全界对两者的融合进行了大量的研究，并 称这种融合系统为混合式入侵检测系统。
走信息路 读北邮书
本书的 封面
6.1.7
ICMP秘密通道
ICMP协议作为网络控制信息传递的 基础协议在所有实现TCP/IP协议的网络 上存在。许多访问控制设备并不阻断这种 协议的传输。但是ICMP协议的某些字段 并不被安全设备检查，攻击者即可利用这 些字段传递秘密信息。
走信息路 读北邮书
本书的 封面
1984年至1986年，乔治敦大学的Dorothy Denning和SRI/CSL （SRI公司计算机科学实验室）的Peter Neumann设计并实现了入 侵检测专家系统IDES（Intrusion Detection Expert System）。 1988年，Stephen Smaha为美国空军Unisys大型主机设计并开 发了Haystack入侵检测系统。 1990年，加州大学戴维斯分校的Todd Heberlien等人开发了 NSM（Network Security Monitor）。 1992年，SAIC开发了计算机滥用检测系统CMDS（Computer Misuse Detection System）。1993年，Haystack Labs开发了 Stalker系统。它们是首批商用的入侵检测系统。
015--《企业网安全高级技术》大纲及进程表(网工 两年)(30+30课时)
《企业网安全高级技术》课程进程表总计学习课时为60 课时，其中理论课时为30 课时，实验课时为30 课时，适用专业：网络技术工程师TC专业，各章节课时分配如下：章节号章节名称理论课时分配实验课时分配说明第1章网络安全概述 1 1第2章网络协议分析 2 2第3章加密与认证技术33第4章PKI组件及其应用 3 3第5章VPN技术 3 3第6章防火墙技术 3 3第7章入侵检测技术 2 2第8章主机操作系统的安全 3 3第9章计算机病毒及防治 2 2第10章木马与后门 3 3第11章无线网络安全 2 2第12章企业网安全综合应用 3 3课时小计3030课时总计60《企业网安全高级技术》课程教学大纲适用专业：网络技术工程师专业（两年制系统方向）教材：企业网安全高级技术（XHJC-091-805）出版社：新华教育集团（北京）研究院教学环境：理实一体化教室考核方法：考试-课程实践执笔人:王海军审稿人:叶伟一、课程的性质与任务《企业网安全高级技术》课程属于网络工程应用专业必修课程。
通过本课程的学习，学生可以了解构建计算机网络及信息安全的安全策略，掌握建立有效的安全机制的方法。
在课程中学生可以了解不同类型的黑客活动、黑客的攻击范围及防止和控制黑客侵入的方法，同时掌握加密和身份验证方法及过程，保护Windows 2k和Linux 系统免于受到攻击、提高安全性能，以及防火墙的技术构成、体系结构及与Internet服务的结合，通过安全审核的不同阶段，掌握审计及日志分析的方法和基于主机及网络的入侵检测的方法及软件的使用。
本课程内容主要包括：网络安全的基本理论、加密技术与认证、VPN技术、防火墙技术与应用、操作系统安全等。
本课程遵循把所学理论应用于实际的原则。
应该把所有的安全技术从理论上为学生讲解清楚，其次每一种安全理论在实际的环境中的应用，每种安全技术的优缺点，以及每种安全技术的适用范围、能实现的安全目标，及在实际网络环境中的应用。
计算机安全 第7章 病毒防护
第7章病毒防护主讲：×××7.1 病毒的基本特征7.1.1 常见的计算机的病毒7.1.2 计算机病毒的基本结构7.1.3 计算机病毒的共同特征7.1.4 计算机病毒的新特点7.1.1 入侵检测方法1.木马病毒木马病毒源于古希腊的特洛伊木马神话，它是把自己伪装在正常程序内部的病毒，这种病毒程序还是木马。
木马病毒带有黑客性质，它有强大的控制和破坏能力，可窃取密码、控制系统、7.1.1 入侵检测方法2.宏病毒宏是一系列由用户编写或录制的命令和指令，用来实现任务执行的自动化。
的具有病毒特征的宏集合。
它的危害性大，以二进制文件加密压缩格式存入.doc或.dot文件中，所有打开的Word文档都会在自动保存时被传染。
7.1.1 入侵检测方法3.宏病毒蠕虫病毒是一种能自我复制的程序，并能通过计算机网络进行传播，它消耗大量系统资源，网络瘫痪。
蠕虫病毒的传染目标是互联网内的所有计算机，其传播方式分为两类：一类是利用系播。
7.1.1 入侵检测方法4.宏病毒PE病毒是指所有感染Windows操作系统中PE文件格式的病毒。
PE病毒大多数采用Win 32文件）并把自己的代码加到EXE文件尾部，修改原程序的入口点以指向病毒体，PE病毒没本身没有什么危害，但被感染的文件可能被破坏。
7.1.1 入侵检测方法5.宏病毒脚本病毒通常是用JavaScript或者VBScript 通过网页进行传播，一旦用户运行了带有病毒的给用户使用计算机带来不便。
VBS脚本病毒是使用VBScript编写的，以宏病毒和新欢乐时光病毒为典型代表。
VBS脚本病毒编写简单，破坏力大，感染力强。
这类病毒通传播范围大。
7.1.1 入侵检测方法5.恶意网页病毒网页病毒主要是利用软件或系统操作平台等本标记语言）内的Java Applet小应用程序、JavaScript脚本语言程序或ActiveX控件，强行程序，或非法控制系统资源，盗取用户文件，或恶意删除硬盘文件、格式化硬盘。
入侵检测习题答案
入侵检测习题答案第一章习题答案１.1 从物理安全和逻辑安全两个方面描述计算机安全的内容.答：计算机安全的内容包括物理安全和逻辑安全两方面。
物理安全指系统设备及相关设施受到物理保护，免于破坏、丢失等。
逻辑安全指计算机中信息和数据的安全，它存在于信息系统中从信息的产生、信息的传输、信息的存贮直至信息的应用这一全部过程，主要包括软件的安全、数据的安全和运行的安全。
软件的安全是保护各种软件及其文档不被任意篡改、失效和非法复制，数据安全是保护所存贮的数据资源不被非法使用和修改，运行安全是保护信息系统能连续正确地运行。
1.2 安全的计算机系统的特征有几个，它们分别是什么？答：安全的计算机信息系统是指可以信赖的按照期望的方式运行的系统，它必须能够保护整个系统使其免受任何形式的入侵。
它一般应该具有以下几个特征：太高，那么用户的合法行为就会经常性地被打断或者被禁止。
这样，不仅使得系统的可用性降低，而且也会使合法用户对系统失去信心。
1.3 描述并解释Anderson在１９７２年提出的计算机安全模型．答：Anderson在1972年提出了计算机安全模型，如图1.1所示。
图1.1 计算机安全模型其各个模块的功能如下:安全参考监视器控制主体能否访问对象。
授权数据库并不是安全参考监视器的一部分，但是安全参考监视器要完成控制功能需要授权数据库的帮助。
识别与认证系统识别主体和对象。
审计系统用来记录系统的活动信息。
该模型的实现采用访问控制机制来保证系统安全。
访问控制机制识别与认证主体身份，根据授权数据库的记录决定是否可以允许主体访问对象。
1.4 描述并解释P2DR模型.P2DR模型(Policy——策略，Protection—防护，Detection——检测，Response——响应)是一种动态的、安全性高的网络安全模型，如图1.3所示。
图1.3 P2DR模型它的基本思想是：以安全策略为核心，通过一致的检查、流量统计、异常分析、模式匹配以及应用、目标、主机、网络入侵检查等方法进行安全漏洞检测，检测使系统从静态防护转化为动态防护，为系统快速响应提供了依据，当发现系统有异常时，根据系统安全策略快速作出响应，从而达到了保护系统安全的目的。
第7章(IDS)
基于行为准则判断的IDS 基于行为准则判断的IDS
统计行为判断是根据上面模式匹配的事件， 统计行为判断是根据上面模式匹配的事件， 在进行统计分析时，根据已知非法行为的 在进行统计分析时，根据已知非法行为的 规则，判断出非法行为。 规则，判断出非法行为。 异常行为判断是根据平时统计的各种信息 是根据平时统计的各种信息， 异常行为判断是根据平时统计的各种信息， 得出正常网络行为准则， 得出正常网络行为准则，当遇到违背这种 准则的事件发生时，报告非法行为事件。 准则的事件发生时，报告非法行为事件。 显然， 显然，异常行为判断方法能够发现未知的 网络非法行为， 网络非法行为，但系统必须具有正常规则 统计和自我学习功能。 统计和自我学习功能。
IDS系统 IDS系统
IDS Agent
IDS系统（实时入侵检测) IDS系统（实时入侵检测) 系统
优点
对重要服务的攻击企图能及时发现 能进行系统受攻击程度的量化 对攻击进行一定的取证 弥补防火墙的不足
IAP +TL S IAP +TL S
IAP+ TLS
IAP +TL S IAP +TL S IAP +TL S
IDS的分类 IDS的分类
入侵检测系统分为主机型和网络型两种 主机型IDS是安装在服务器或 机上软件， 是安装在服务器或PC机上软件 主机型 是安装在服务器或 机上软件， 监测到达主机的网络信息流； 监测到达主机的网络信息流； 网络型IDS一般配置在网络入口处（路由 一般配置在网络入口处（ 网络型 一般配置在网络入口处 ）、或网络核心交换处 核心交换路由） 或网络核心交换处（ 器）、或网络核心交换处（核心交换路由） 监测网络上的信息流。 监测网络上的信息流。
入侵检测技术
1.2 入侵检测系统的组成
用专家系统对入侵进行检测，经常是针对有特征的 入侵行为。规则，即是知识，不同的系统与设置具 有不同的规则，且规则之间往往无通用性。专家系 统的建立依赖于知识库的完备性，知识库的完备性 以取决于审计记录的完备性与实时性。入侵的特征 抽取与表达，是入侵检测专家系统的关键。在系统 实现中，将有关入侵的知识转化为if-then结构，条 件部分为入侵特征，then部分是系统防范措施。运 用专家系统防范有特征入侵行为的有效性完全取决 于专家系统知识库的完备性。
由于嗅探技术的限制，网络节点入侵检测仅仅能分析目 的地址是主机地址的包，但是由于网络节点入侵检测的 特性，当网络使用的是一个高速通信网络、加密网络或 者使用了交换式设备，网络节点入侵检测仍然能对所有 的子网进行检测。网络节点入侵检测的优势在于，能有 效的抵御针对特定主机的基于包的攻击。
1.3 常用的入侵检测方法 入侵检测系统常用的检测方法有特征测、统 计检测与专家系统。据公安部计算机信息系 统安全产品质量监督检验中心的报告，国内 送检的入侵检测产品中95%是属于使用入侵 模式匹配的特征检测产品，其他5%是采用 概率统计的统计检测产品与基于日志的专家 知识库型产品。
1．什么是入侵检测 入侵检测系统（IDS，Intrusion detection system）是为保证计算机系统的安全而设计与 配置的一种能够及时发现并报告系统中未授权 或异常现象的系统，是一种用于检测计算机网 络中违反安全策略行为的系统。入侵和滥用都 是违反安全策略的行为。
第7章(IDS)模板
控制和策略下发 事件上报
IDS控制中心
IDS引擎的主要功能
读取原始数据、分析数据、产生事件、策略 匹配、事件处理、通信等功能，IDS工作过 程如图 原始数据读取
原始数据分析
事件产生
事件规则库
响应策略匹配
策略规则库
时间响应处理
通信
IDS控制中心的主要功能
通信
事件读取
策略定制
日志分析
系统帮助
IDS系统
IDS Agent
IDS系统（实时入侵检测)
优点
IAP+ TLS
IAP +TL S IAP +TL S
IAP +TL S
对重要服务的攻击企图能及时发现 能进行系统受攻击程度的量化 对攻击进行一定的取证 弥补防火墙的不足
缺点
网管 告警 IDS 中心 Agent
网络IDS企业内部典型安装
Intranet
router
IDS Agent
IDS Agent
Firewall
DMZ
监控中心
IDS AgentServesIDS阻断入侵示意图
Intranet
攻击者 攻击者
router
IDS Agent Firewall 发现攻击
报警
DMZ
发现攻击
监控中心
发现攻击
（1）安全保障 （2）服务质量保证（QoS） （3）可扩充性和灵活性 （4）可管理性
虚拟专用网安全技术
虚拟专用网络VPN，提供了一种通过公用网络 安全地对企业内部专用网络进行远程访问的连 接方式。VPN连接使用隧道(Tunnel)作为传输 通道，这个隧道是建立在公共网络或专用网络 基础之上的，如：Internet或Intranet，使用 密码技术及专用协议实现的。 VPN常用的隧道协议包括以下几种：
浙大远程教育信息安全在线作业
您的本次作业分数为：99分单选题1.【第11、12章】在目前的信息网络中，(____)病毒是最主要的病毒类型。
• A 引导型• B 文件型• C 网络蠕虫• D 木马型单选题2.【第11、12章】传统的文件型病毒以计算机操作系统作为攻击对象，而现在越来越多的网络蠕虫病毒将攻击范围扩大到了(____)等重要网络资源。
• A 网络带宽• B 数据包• C 防火墙• D LINUX单选题3.【第11、12章】相对于现有杀毒软件在终端系统中提供保护不同，(____)在内外网络边界处提供更加主动和积极的病毒保护。
• A 防火墙• B 病毒网关• C IPS• D IDS单选题4.【第11、12章】不能防止计算机感染病毒的措施是(____)。
• A 定时备份重要文件• B 经常更新操作系统• C 除非确切知道附件内容，否则不要打开电子邮件附件• D 重要部门的计算机尽量专机专用，与外界隔绝单选题5.【第11、12章】计算机病毒最重要的特征是(____)。
• A 隐蔽性• B 传染性• C 潜伏性• D 表现性单选题6.【第11、12章】通常为保证信息处理对象的认证性采用的手段是(____)。
• A 信息加密和解密• B 信息隐匿• C 数字签名和身份认证技术• D 数字水印单选题7.【第11、12章】安全扫描可以(____)。
• A 弥补由于认证机制薄弱带来的问题• B 弥补由于协议本身而产生的问题• C 弥补防火墙对内网安全威胁检测不足的问题• D 扫描检测所有的数据包攻击，分析所有的数据流单选题8.【第11、12章】计算机病毒的实时监控属于(____)类的技术措施。
• A 保护• B 检测• C 响应• D 恢复单选题9.【第11、12章】某病毒利用RPCDCOM缓冲区溢出漏洞进行传播，病毒运行后，在%System%文件夹下生成自身的拷贝nvchip4、exe，添加注册表项，使得自身能够在系统启动时自动运行。
入侵检测系统(IDS)简介
第一章入侵检测系统概念当越来越多的公司将其核心业务向互联网转移的时候，网络安全作为一个无法回避的问题呈现在人们面前。
传统上，公司一般采用防火墙作为安全的第一道防线。
而随着攻击者知识的日趋成熟，攻击工具与手法的日趋复杂多样，单纯的防火墙策略已经无法满足对安全高度敏感的部门的需要，网络的防卫必须采用一种纵深的、多样的手段。
与此同时，当今的网络环境也变得越来越复杂，各式各样的复杂的设备，需要不断升级、补漏的系统使得网络管理员的工作不断加重，不经意的疏忽便有可能造成安全的重大隐患。
在这种环境下，入侵检测系统成为了安全市场上新的热点，不仅愈来愈多的受到人们的关注，而且已经开始在各种不同的环境中发挥其关键作用。
本文中的“入侵”（Intrusion）是个广义的概念，不仅包括被发起攻击的人（如恶意的黑客）取得超出合法范围的系统控制权，也包括收集漏洞信息，造成拒绝访问（Denial of Service）等对计算机系统造成危害的行为。
入侵检测（Intrusion Detection），顾名思义，便是对入侵行为的发觉。
它通过对计算机网络或计算机系统中得若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。
进行入侵检测的软件与硬件的组合便是入侵检测系统（Intrusion Detection System,简称IDS）。
与其他安全产品不同的是，入侵检测系统需要更多的智能，它必须可以将得到的数据进行分析，并得出有用的结果。
一个合格的入侵检测系统能大大的简化管理员的工作，保证网络安全的运行。
具体说来，入侵检测系统的主要功能有（[2]）：a.监测并分析用户和系统的活动；b.核查系统配置和漏洞；c.评估系统关键资源和数据文件的完整性；d.识别已知的攻击行为；e.统计分析异常行为；f.操作系统日志管理，并识别违反安全策略的用户活动。
由于入侵检测系统的市场在近几年中飞速发展，许多公司投入到这一领域上来。
计算机网络安全选择题
计算机网络安全第1章绪论一、单选1、在以下人为的恶意攻击行为中，属于主动攻击的是（）（分数：2分）A. 数据窃听B.数据流分析D.非法访问标准答案是：C。
2、数据完整性指的是（）（分数：2 分）A.保护网络中各系统之间交换的数据，防止因数据被截获而造成泄密B.防止因数据被截获而造成泄密C.确保数据是由合法实体发出的D.防止非法实体对用户的主动攻击，保证数据接受方收到的信息与发送方发送的信息完全一致标准答案是：D。
3、以下算法中属于非对称算法的是（）（分数：2分）A.DESD.三重DES标准答案是：B。
4、以下不属于代理服务技术优点的是（）（分数：2 分）A.可以实现身份认证B.内部地址的屏蔽和转换功能C.可以实现访问控制D.可以防范数据驱动侵袭标准答案是：D。
5、下列不属于主动攻击的是（）（分数：2 分）A.修改传输中的数据B.重放C.会话拦截D.利用病毒标准答案是：D。
6、下列不属于被动攻击的是（）（分数：2 分）A.监视明文B.解密通信数据C.口令嗅探D.利用恶意代码标准答案是：D。
7、网络安全主要实用技术不包括（）（分数：2分）A.数字认证B.身份认证C. 物理隔离D.逻辑隔离标准答案是：A。
8、网络安全不包括哪些重要组成部分（）（分数：2 分）A.先进的技术B.严格的管理C.威严的法律D.以上都不是标准答案是：D。
9、不是计算机网络安全的目标的是（）（分数：2分）A. 保密性D.不可否认性标准答案是：C。
10、计算机网络安全是一门涉及多学科的综合性学科，以下不属于此学科的是（）（分数：2 分）A. 网络技术D.信息论标准答案是：C。
第2章物理安全一、单选1、物理安全在整个计算机网络信息系统安全中占有重要地位，下列不属于物理安全的是B.机房环境安全C. 通信线路安全D.设备安全标准答案是：A。
C.5D.6标准答案是：A。
3、为提高电子设备的抗干扰能力，除在芯片、部件上提高抗干扰能力外，主要措施有（）（分数：2 分）C.隔离D.接地标准答案是：B。
《网络安全技术》习题与答案
答：攻击者意图在两组合同中各选一份使得其杂凑值相同，既非 弱碰撞攻击也非强碰撞攻击，而是介于两者之间的一种形式。为 计算成功概率，先考虑 M 组中的一份合同均不与 M-组中任一份合 同杂凑值相同的概率：ρ1=(1-1/264)^232；其次，当 M 组中的任 一份合同都满足这一条件时，攻击者才会失败，对应概率为：ρ 2=ρ1^232=((1-1/264)^232)^232=(1-1/264)^264；最后，攻击者成功的 概率则为：ρ=1-ρ2=1-(1-1/264)^264。其中^表示乘方运算。
PDRR 模型在 P2DR 模型的基础上把恢复环节提到了和防护、检测、 响应等环节同等的高度，保护、检测、恢复、响应共同构成了完 整的安全体系。PDRR 也是基于时间的动态模型，其中，恢复环节 对于信息系统和业务活动的生存起着至关重要的作用，组织只有 建立并采用完善的恢复计划和机制，其信息系统才能在重大灾难 事件中尽快恢复并延续业务。
WPDRRC 模型全面涵盖了各个安全因素，突出了人、策略、管理的 重要性，反映了各个安全组件之间的内在联系。该模型主要由六 个元素构成：预警、保护、检测、响应、恢复、反击。
6. 试分析古典密码和现代密码的异同？
答：在 1949 年之前，是密码发展的第一阶段—古典密码体制。古 典密码体制是通过某种方式的文字置换和移位进行，这种置换或 移位一般是通过某种手工或机械变换方式进行转换，同时简单地 使用了数学运算。古典密码的安全性主要依赖对算法本身的保密， 密钥的地位和作用并不十分突出。虽然在古代加密方法中已体现 了密码学的若干要素，但它只是一门艺术，而不是一门科学。
4. 何谓业务填充技术？主要用途如何？
答：所谓的业务填充即使在业务闲时发送无用的随机数据，增加 攻击者通过通信流量获得信息的困难，是一种制造假的通信、产
《网络信息安全》第17-18讲(5.1-5.3)
统管理员配置错误引起的，如在网络文件系统中，将目录和文件
以可写的方式共享，将未加shadow的用户密码文件以明码方式存 放在某一目录下，这都会给黑客带来可乘之机，应及时加以修正。
系统攻击者往往是安全漏洞的发现者和使用者
遵义师范学院
5.2 网络攻击的一般步骤
1．攻击的准备阶段
2) 信息收集
收集操作系统类型及版本的方法③：利用网络操作系统里的 TCP/IP堆栈作为特殊的“指纹”来确定系统的真正身份。因为不 同的操作系统在网络底层协议的各种实现细节上略有不同。可以 通过远程向目标发送特殊的包，然后通过返回的包来确定操作系
遵义师范学院
5.1 一般的常用入侵技术
6． www欺骗技术（钓鱼网站）
“钓鱼网站”近来在全球频繁出现，严重地影响了在线金融
服务、电子商务的发展，危害公众利益，影响公众应用互联网的 信心。黑客将用户要浏览的网页链接地址指向黑客自己的服务器， 当用户浏览目标网页的时候，实际上是向黑客发出请求，那么黑 客就可以达到欺骗的目的了。最典型的网络钓鱼攻击将收信人引 诱到一个通过精心设计与目标组织的网站非常相似的钓鱼网站上， 并获取收信人在此网站上输入的个人敏感信息，通常这个攻击过 程不会让受害者警觉。
遵义师范学院
第二部分 攻击与防护
第5章 黑客入侵技术
第6章 病毒原理 第7章 防火墙技术 第8章 入侵检测技术
遵义师范学院
第5章 黑客入侵技术
5.1 一般的常用入侵方法
5.2 网络攻击的一般步骤 5.3 扫描技术
遵义师范学院
5.1 一般的常用入侵技术
计算机网络安全(选择题)
计算机网络安全第1章绪论一、单选1、在以下人为的恶意攻击行为中，属于主动攻击的是（）（分数：2 分）A. 数据窃听B. 数据流分析C. 数据篡改及破坏D. 非法访问标准答案是：C。
2、数据完整性指的是（）（分数：2 分）A. 保护网络中各系统之间交换的数据，防止因数据被截获而造成泄密B. 防止因数据被截获而造成泄密C. 确保数据是由合法实体发出的D. 防止非法实体对用户的主动攻击，保证数据接受方收到的信息与发送方发送的信息完全一致标准答案是：D。
3、以下算法中属于非对称算法的是（）（分数：2 分）A. DESB. RSA算法C. IDEAD. 三重DES标准答案是：B。
4、以下不属于代理服务技术优点的是（）（分数：2 分）A. 可以实现身份认证B. 内部地址的屏蔽和转换功能C. 可以实现访问控制D. 可以防范数据驱动侵袭标准答案是：D。
5、下列不属于主动攻击的是（）（分数：2 分）A. 修改传输中的数据B. 重放C. 会话拦截D. 利用病毒标准答案是：D。
6、下列不属于被动攻击的是（）（分数：2 分）A. 监视明文B. 解密通信数据C. 口令嗅探D. 利用恶意代码标准答案是：D。
7、网络安全主要实用技术不包括（）（分数：2 分）A. 数字认证B. 身份认证C. 物理隔离D. 逻辑隔离标准答案是：A。
8、网络安全不包括哪些重要组成部分（）（分数：2 分）A. 先进的技术B. 严格的管理C. 威严的法律D. 以上都不是标准答案是：D。
9、不是计算机网络安全的目标的是（）（分数：2 分）A. 保密性B. 完整性C. 不可用性D. 不可否认性标准答案是：C。
10、计算机网络安全是一门涉及多学科的综合性学科，以下不属于此学科的是（）（分数：2 分）A. 网络技术B. 通信技术C. 操作系统D. 信息论标准答案是：C。
第2章物理安全一、单选1、物理安全在整个计算机网络信息系统安全中占有重要地位，下列不属于物理安全的是（）（分数：2 分）A. 安全管理B. 机房环境安全C. 通信线路安全D. 设备安全标准答案是：A。
信息系统安全检测技术
7.1 入侵检测技术
7.1.1 入侵检测定义
入侵检测（Intrusion Detection）是检测和识别系统中 未授权或异常现象，利用审计记录，入侵检测系统应能识 别出任何不希望有的活动，这就要求对不希望的活动加以 限定，一旦当它们出现就2能024自/6/2动3 地检测。入侵检测技术的 第一条防线是接入控制，第二条防线是检测。
实时监控非法入侵的安全实验
攻击检测
EMAIL 报警日志
记录
2024/6/23 26
INTERNAL
通话终止 重配置 防火墙/路由器
攻击检测 记录
7.2 漏洞检测技术
7.2.1 入侵攻击可利用的系统漏洞的类型
Wes Server
2024/6/23
Internet
27
Wes Server Wes Server
利用网络适配器 来实时监视和分析所 有通过网络进行传输 的通信。一旦检测到 攻击，IDS相应模块 通过通知、报警以及 中断连接等方式来对 攻击做出反应。
网2络02接4/6口/23
网络接口
采集模块
采集模块
14
分析引擎模块
分析结果
管理/配置模块
网络安全 数据库
7.1 入侵检测技术
7.1.4入侵检测系统的结构
为进行分析。
2024/6/23
实现基于规则的专家系统是一个知识工程问题，应当
能够随着经验的积累而利用其自学习能力进行规则的扩充 21
和修正。这样的能力需在专家指导和参与才能实现。一方
面，推理机制使得系统面对一些新的行为现象时可能具备
一定的应对能力(即有可能会发现一些新的安全漏洞)；另
一方面，攻击行为不会触发任何一个规则，从而被检测到。
第7章 基于网络的入侵检测技术
7.2.4 分析层
异常检测是定期执行的，代理层的各种代理定期地从消 息日志中统计网络和主机的行为模式，并利用学习的方法 与系统中存储的该对象的正常模式相比较，对于异常行为 模式（比如主机负载过高，夜间网络流量过高，通信的源 地址等于目的地址，登录失败等）向管理层报警。如图7.3 所示为NIDS的分析层结构。
• 这一层由通信模块、决策与统计模块和安全响应模块组 成。通信模块接收分析层的报警事件，在管理员控制下， 向分析模块发送配置和控制命令。决策与统计模块一方面 根据网络的配置和相应策略来决定处理行为，包括忽略， 报警、向其它管理层转发、终止当前的连接、自动配置防 火墙或路由器访问控制链表等，并可以执行用户配置的响 应程序；另一方面，从分析模块中获取的数据信息，整理、 归并到关系数据库中，并定期分析，将分析结果以图形化 的形式提交管理员。
版权所有，盗版必般会拦截它们在网络上可疑拦截的一切数据包， 当一个数据包被拦截后，可能会有以下几种情况：
• (1) 对包进行累加，在截取的时间段内对数据包进行累加，用 以确定该时间段内网络的负载，LANALYSER和MS的NM都在网 络负载的表示界面方面有很好的表现。
版权所有，盗版必纠
7.2.2 网络层
• 这一层的作用类似于TCP/IP 体系结构的网络层。它的作 用是接收从网络和系统主机传输到本层分类器的审计数据。 然后分类器将审计数据按照一定的分类原则将数据分为多 种审计类型（Audit classes）的数据（也就是拆包），然后 分别（也就是数据包的路由）传输给它上一层（代理层） 中相应的Agent。
版权所有，盗版必纠
7.2.3 代理层
• 这一层是整个体系结构的核心。在这一层中，每个Agent 执行基于审计内容的计算。计算完成后每个Agent 产生一 个怀疑值（Suspicious Value），这个怀疑值表明了Agent 管 理的相应系统（通过审计日志的记录）是否在一个入侵的 威胁之下。最后，每个Agent 分别报告它的怀疑值给它的 上一层（即：分析层）的分析模块（Analyzer），以做进一 步的处理。
入侵检测习题标准答案
入侵检测习题答案————————————————————————————————作者：————————————————————————————————日期：2第一章习题答案１.1 从物理安全和逻辑安全两个方面描述计算机安全的内容.答：计算机安全的内容包括物理安全和逻辑安全两方面。
物理安全指系统设备及相关设施受到物理保护，免于破坏、丢失等。
逻辑安全指计算机中信息和数据的安全，它存在于信息系统中从信息的产生、信息的传输、信息的存贮直至信息的应用这一全部过程，主要包括软件的安全、数据的安全和运行的安全。
软件的安全是保护各种软件及其文档不被任意篡改、失效和非法复制，数据安全是保护所存贮的数据资源不被非法使用和修改，运行安全是保护信息系统能连续正确地运行。
1.2 安全的计算机系统的特征有几个，它们分别是什么？答：安全的计算机信息系统是指可以信赖的按照期望的方式运行的系统，它必须能够保护整个系统使其免受任何形式的入侵。
它一般应该具有以下几个特征：●机密性（confidentiality）：机密性是指数据不会泄漏给非授权的用户、实体，也不会被非授权用户使用，只有合法的授权用户才能对机密的或受限的数据进行存取。
●完整性（Integrity）：完整性是指数据未经授权不能被改变。
也就是说，完整性要求保持系统中数据的正确性和一致性。
不管在什么情况下，都要保护数据不受破坏或者被篡改。
●可用性（Availability）：计算机资源和系统中的数据信息在系统合法用户需要使用时，必须是可用的。
即对授权用户，系统应尽量避免系统资源被耗尽或服务被拒绝的情况出现。
●可控性（Controliability）：可控性是指可以控制授权范围内的信息流向及行为方式，对信息的访问、传播以及具体内容具有控制能力。
同时它还要求系统审计针对信息的访问，当计算机中的泄密现象被检测出后，计算机的安全系统必须能够保存足够的信息以追踪和识别入侵攻击者，入侵者对此不能够抵赖。
计算机网络安全概述
编辑ppt
11
本章小结
计算机网 络安全是指保 持网络中的硬 件、软件系统 正常运行，使 它们不因各种 因素受到破坏、 更改和泄露。 网络受到的威 胁来自于网络 的内部和外部
两个方面。
为实现开 放系统互联 网环境下的 信息安全， ISO7498-2 国际标准描 述了实现OSI 参考模型之 间的安全通 信所必须提 供的安全服 务和安全机 制。
编辑ppt
知识目标
掌握网络安全的定义 掌握网络面临的各种安全威胁 了解产生网络安全威胁的原因 了解计算机系统的安全级别
技能目标
能识别网络威胁的类别 熟练使用网络工具对计算机系统进行漏洞扫描 能区分常用计算机系统的安全级别
编辑ppt
1.1 计算机网络安全概述
1.1.1 计算机网络安全的概念
计算机网络安全是指保持网络中的硬件、软件 系统正常运行，使它们不因自然和人为的因素而受 到破坏、更改和泄露。
业务流量填充机制
路由控制机制
编辑ppt
9
加密标准 安全管理标准 安全协议标准 安全防护标准 身份认证标准 数据验证标准 安全评价标准 安全审计标准
编辑ppt
10
常见的计算机系统安全等级的 划分有两种：一种是美国国防部 1985 年 发 表 的 评 估 计 算 机 系 统 安 全等级的桔皮书，将计算机系统的 安全划分为4个等级，7个级别，即 A2、A1、B3、B2、B1、C2、C1、 D；另一种是依据我国颁布的《计 算机信息系统安全保护等级划分准 则》划分为5级，从低到高依次是： 用户自主保护级、系统审计保护级、 安全标记保护级、结构化保护级和 访问验证保护级。
主 编 耿杰 副主编 王俊 白悍东 彭庆红 张卫
编辑ppt
信息安全问答
信息安全问答信息安全问答题第1章概述1解释计算机信息的完整性、可⽤性、保密性等属性。
1．完整性技术是保护计算机系统内软件和数据不被偶然或⼈为蓄意地破坏、篡改、伪造等。
2．可⽤性技术是在⽤户授权的条件下，信息必须是可⽤的。
3．保密性技术是防⽌信息失窃和泄露的技术，信息必须按照信息拥有者的要求保持⼀定的秘密性。
2计算机系统的安全策略包含哪些内容？计算机系统的安全策略是指在特定的环境下，为保证⼀定级别的安全要求所提出的⼀系列条例、规则和⽅法。
安全策略可分为政策法规层、安全管理层、安全技术层三个层次。
1．政策法规层是为建⽴安全规章制度和合理使⽤安全技术提供的法律保护，同时通过⽴法和政策导向来提⾼⼈的职业道德，对⼈进⾏伦理教育，净化社会环境。
2．安全管理层将涉及到具体单位和个⼈，为实施安全技术提供具体保护。
包括组织管理机构、⼈事管理和计算机系统管理。
3．安全技术层可以通过物理⽅法和逻辑⽅法（或软件⽅法）来实现。
（1）物理安全策略是保护计算机等硬件实体免受破坏和攻击；（2）逻辑⽅法是通过访问控制、加密、防⽕墙等⽅法以阻挡⾮法侵⼊。
3 什么是避错和容错？避错是由产品的⽣产商通过元器件的精选、严格的⼯艺和精⼼的设计来提⾼产品的硬件的质量，减少故障的发⽣。
容错是指在计算机系统内部出现故障的情况下，利⽤冗余的资源，使计算机系统仍能正确地运⾏，提供可靠的服务。
容错系统⼯作过程包括⾃动检测、⾃动切换和⾃动恢复部分。
4 威胁计算机信息安全的因素1．直接对计算机系统的硬件设备进⾏破坏；2．对存放在系统存储介质上的信息进⾏⾮法获取、篡改和破坏等；3．在信息传输过程中对信息⾮法获取、篡改和破坏等。
第2章密码学1 什么是代替密码和换位密码代替密码⼜称替换密码，就是按照⼀定要求，将明⽂中的每个字符替换成另⼀个字符，明⽂中字符的位置保持不变，但其本⾝改变了。
如移位密码。
换位密码也可称为置换密码，它是改变明⽂中字母的位置，明⽂中的字母不变。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
入侵检测系统的性能指标
• • • • 每秒数据流量 每秒抓包数 每秒能监控的网络连接数 每秒能处理的事件数
入侵检测系统的应用
• Snort入侵检测系统：是一个免费的、跨平台的 软件包。 • 金诺入侵检测系统：是由上海金诺公司研发的具 有全方位的实时入侵检测、报警、响应和防范功 能的入侵检测系统。
入侵检测与防火墙、系统扫描器
• 入侵监测系统的位置： 处于防火墙之后对网络活动进行实时检 测。许多情况下，由于可以记录和禁止网 络活动，所以入侵监测系统是防火墙的延 续。它们可以和你的防火墙和路由器配合 工作。
入侵检测与系统扫描器
• 入侵监测系统IDS与系统扫描器system scanner的 区别： （1）系统扫描器是根据攻击特征数据库来扫描系统 漏洞的，它更关注配置上的漏洞而不是当前进出你 的主机的流量。在遭受攻击的主机上，即使正在运 行着扫描程序，也无法识别这种攻击 （2）IDS扫描当前网络的活动，监视和记录网络的流 量，根据定义好的规则来过滤从主机网卡到网线上 的流量，提供实时报警。 （3）总之，网络扫描器检测主机上先前设置的漏洞， 而IDS监视和记录网络流量。如果在同一台主机上 运行IDS和扫描器的话，配置合理的IDS会发出许多 报警。
入侵检测系统的发展历程
• 1980年4月，James P. Anderson为美国空军做了 一份题为《Computer Security Threat Monitoring and Surveillance》（计算机安全威胁监控与监视） 的技术报告，第一次详细阐述了入侵检测的概念。 • 从1984年到1986年，乔治敦大学的Dorothy Denning和SRI/CSL（SRI公司计算机科学实验室） 的Peter Neumann研究出了一个实时入侵检测系 统模型，取名为IDES（入侵检测专家系统）。为 构建入侵检测系统提供了一个通用的框架。
通用入侵检测系统模型
知识库 报警信息
配置信息
检测器
控制器
数据收集器 审计数据 目标系统 通用入侵检测系统模型 控制动作
入侵检测IDS的基本结构
入侵检测系统模型包括以下几个组成部分： （ 1 ）信息收集（信息收集器也事件产生器）主要 负责收集所有可能的和入侵行为有关的数据。 （ 2 ）信息分析（检测器也叫事件分析器） : 分析检 测入侵行为，并发出警报信号。 （ 3 ）知识库（也叫事件数据库）：提供必要的数 据信息支持，如用户的历史活动档案、检测规则 集合等。 （ 4 ）结果处理（控制器也叫响应单元）：根据警 报信号，人工或自动做出反应动作。
由于有这些局限性，为了保护网络，就必 须完善网络的防护体系 入侵检测技术是对防火墙技术的合理补充， 是网络的第二道安全闸门
第7章 入侵检测技术 (Instruction Detection System) (IDS)
本章主要内容：
重 点： 1:入侵检测系统的概念 重 点： 2:入侵检测技术的作用 重难点： 3:入侵检测原理 重难点： 4:入侵检测应用
入侵检测系统的功能
a.监测并分析用户和系统的活动； b.核查系统配置和漏洞； c.评估系统关键资源和数据文件的完整 性； d.识别已知的攻击行为； e.统计分析异常行为； f.审计操作系统日志管理，并识别违反安 全策略的用户活动。
入侵检测系统的工作过程
• 信息收集
日志文件、非正常的目录文件改变、非正常的程序执行
IDS存在与发展的必然性
一、网络攻击的破坏性、损失的严重性 二、日益增长的网络安全威胁
三、单纯的防火墙无法防范复杂多变的攻击
入侵检测系统的概念
• 入侵检测系统 IDS （ Intrusion Detection System）： 通过对计算机网络或计算机系统中若干 关键点收集信息，并对其进行分析，从中发 现网络或系统中是否有违反安全策略的行为 和被攻击的迹象。这种进行入侵检测的软件 与硬件的组合被称为入侵检测系统。
内容回顾
复习: 测试中的问题 防火墙技术 新内容: 入侵检测技术
防火墙技术
两种主要防火墙技术：
– 包过滤防火墙 – 代理防火墙
防火墙的体系结构
• 双宿主机
防火墙体系结构
• 被屏蔽子网体系结构
防火墙的局限性
（1）防火墙防外不防内。 （2）防火墙不能防范不通过它的连接。 （3）防火墙只实现了粗粒度的访问控制。
信息分析
对上述四类收集到的有关系统、网络、数据及用户
活动的状态和行为等信息，一般通过三种技术手段 进行分析： （1）模式匹配 （2）统计分析 （就是将收集到的信息与已知的网络 入侵和系统误用模式数据库进行比较，从而 发现违背安全策略的行为。该过程可以很简 单（如通过字符串匹配以寻找一个简单的条 目或指令），也可以很复杂（如利用正规的 数学表达式来表示安全状态的变化）。 • 一般来讲，一种进攻模式可以用一个过程 （如执行一条指令）或一个输出（如获得权 限）来表示。该方法的一大优点是只需收集 相关的数据集合，显著减少系统负担，且技 术已相当成熟。
完整性分析
• 完整性分析主要关注某个文件或对象是否被更改， 这经常包括文件和目录的内容及属性，它在发现被 更改的、被特络伊化的应用程序方面特别有效。 • 完整性分析利用强有力的加密机制，称为消息摘要 函数（例如MD5），它能识别哪怕是微小的变化。 • 其优点是不管模式匹配方法和统计分析方法能否发 现入侵，只要是成功的攻击导致了文件或其它对象 的任何改变，它都能够发现。 • 缺点是一般以批处理方式实现，不用于实时响应。 尽管如此，完整性检测方法还应该是网络安全产品 的必要手段之一。 • 例如，可以在每一天的某个特定时间内开启完整性 分析模块，对网络系统进行全面地扫描检查。
作业
• 本意章课后习题第一大题做书上 • 本意章课后习题第二大题下次上机课时提 交
完整的网络防护体系
双机热备份
入侵检测的应用
• 控制台
（网络卫士入侵检测系统 ）
部分窗口打开平铺的效果
策略编辑器
策略编辑器
编辑具体事件
事件属性
入侵事件-详细日志
响应/报警
• 信号分析
模式匹配、统计分析、完整性分析
• 实时记录、报警或有限度反击
信息收集
• 入侵检测利用的信息一般来自以下四个方面 ： （1）系统和网络日志文件：黑客经常在系统日志文件 中留下他们的踪迹，因此，充分利用系统和网络日志 文件信息是检测入侵的必要条件。 （2）非正常的目录和文件改变：网络环境中的文件系 统包含很多软件和数据文件，包含重要信息的文件和 私有数据文件经常是黑客修改或破坏的目标。 （3）非正常的程序执行：一个进程出现了不期望的行 为可能表明黑客正在入侵你的系统。 （4）物理形式的入侵信息：这包括两个方面的内容， 一是未授权的对网络硬件连接；二是对物理资源的未 授权访问。
入侵检测系统分类（1）
按照检测方法分类： 异常检测模型：检测与可接受行为的偏差。如果可 以定义每项可接受的行为，那么每项不可接受的行 为就应该是入侵。总结正常操作应该具有的特征 （用户轮廓），当用户活动与正常行为有重大集偏 离时即被认为是入侵。 特点：漏报率低，误报率高。 误用检测模型：检测与已知的不可接受行为之间的 匹配程度。如果可以定义所有的 不可接受行为，那 么每种能够与之匹配的行为都会引起报警。收集非 正常操作的行为特征，建立相关的特征库，当监测 的用户或系统行为与库中的记录相匹配时即被认为 是入侵。 特点：漏报率高，误报率低。
入侵检测系统基本概念
• 事件：将IDS需要分析的数据统称为事件 （event）,它可以是网络中的数据包，也可以是 从系统日志等其他途径得到的信息。 • 事件产生器的目的是从整个计算环境中获得事件， 并向系统的其他部分提供此事件。 • 事件分析器分析得到的数据，并产生分析结果。 • 响应单元则是对分析结果作出作出反应的功能单 元，它可以作出切断连接、改变文件属性等强烈 反应，也可以只是简单的报警。 • 事件数据库是存放各种中间和最终数据的地方的 统称，它可以是复杂的数据库，也可以是简单的 文本文件。
统计分析
• 统计分析方法首先给系统对象（如用户、文件、目 录和设备等）创建一个统计描述，统计正常使用时 的一些测量属性（如访问次数、操作失败次数和延 时等）。测量属性的平均值将被用来与网络、系统 的行为进行比较，任何观察值在正常值范围之外时， 就认为有入侵发生。 • 例如，统计分析可能标识一个不正常行为，因为它 发现一个在晚八点至早六点不登录的帐户却在凌晨 两点试图登录。其优点是可检测到未知的入侵和更 为复杂的入侵，缺点是误报、漏报率高，且不适应 用户正常行为的突然改变。
入侵检测系统的作用
• 入侵检测技术IDS是一种主动保护自己免受攻击的 一种网络安全技术。 • 作为防火墙的合理补充，入侵检测技术通过对计算 机网络系统中的若干关键点收集分析信息，帮助系 统对付网络攻击，扩展了系统管理员的安全管理能 力（包括安全审计、监视、攻击识别和响应），提 高了信息安全基础结构的完整性。 • 入侵检测被认为是防火墙之后的第二道安全闸门， 在不影响网络性能的情况下能对网络进行监测。它 可以防止或减少网络威胁。
入侵检测系统的发展历程
• 1989年是入侵检测系统发展史上的一个分水岭。 这一年，加州大学戴维斯分校的L. T. Heberlein等 人开发出了NSM（Network Security Monitor）。 • 该系统第一次直接将网络流作为审计数据来源， 并可以在不将审计数据转换成统一格式的情况下 监控异种主机。 • 从此之后，入侵检测系统发展史翻开了新的一页， 两大阵营正式形成：基于网络的IDS和基于主机 的IDS。
入侵检测系统分类（2）
根据入侵检测的对象不同，可以分为：
• 主机型入侵检测系统 HIDS
主要对象：日志 优点和缺点
• 网络型入侵检测系统 NIDS
主要对象：数据包 优点和缺点
入侵检测系统分类（3）