第15章入侵检测技术

9
讨论议题
• 入侵检测概述 • 入侵检测系统的功能组成 • 基于主机及基于网络的入侵检测系统 • 异常检测和误用检测 • 入侵检测的响应 • 入侵检测标准化工作
10
IDS基本结构
• 进行入侵检测的软件与硬件的组合便是入侵检测系统 （IDS， Intrusion Detection System ）。
• 按照数据来源：
– 基于主机：系统获取数据的依据是系统运行 所在的主机，保护的目标也是系统运行所在 的主机。
– 基于网络：系统获取的数据是网络传输的数 据包，保护的是网络的运行。
– 混合型：
15
入侵检测的分类-2
• 按照分析方法（检测方法）
– 异常检测模型（Anomaly Detection ):首先总 结正常操作应该具有的特征（用户轮廓）， 当用户活动与正常行为有重大偏离时即被认 为是入侵 。
1980年4月，James P. Anderson 《Computer Security Threat Monitoring and Surveillance》 （计算机安全威胁监控与监视） • 1980年 Anderson提出：提出了精简审计的概念，风 险和威胁分类方法 • 提出了利用审计跟踪数据监视入侵活动的思想 这份报告被公认为是入侵检测的开创性工作。
• 被动响应
– 警报显示 – 远程通报：寻呼机、移动电话、电子邮件 – 与其它网管工具结合：SNMP Trap
43
讨论议题
• 入侵检测概述 • 入侵检测系统的功能组成 • 基于主机及基于网络的入侵检测系统 • 异常检测和误用检测 • 入侵检测的响应 • 入侵检测标准化工作
44
与IDS有关的标准
• 通用入侵检测框架CIDF(The Common Intrusion Detection Framework)
30
检测器的位置
• 放在防火墙之外 • 检测器在防火墙内 • 防火墙内外于网络的入侵检测的好处
• 威慑外部人员 • 检测 • 自动响应及报告
32
讨论议题
• 入侵检测概述 • 入侵检测系统的功能组成 • 基于主机及基于网络的入侵检测系统 • 异常检测和误用检测 • 入侵检测的响应 • 入侵检测标准化工作
generalized intrusion detection objects，以下简称为 GIDO）和通用入侵规范语言(Common intrusion specification language) . • 一个GIDO可以表示在一些特定时刻发生的一些特定 事件，也可以表示从一系列事件中得出的一些结论， 还可以表示执行某个行动的指令
– 集中式 – 分布式
23
集中式基于主机的入侵检测结构
24
集中式检测的优缺点
• 优点：
– 不会降低目标机的性能 – 统计行为信息 – 多主机标志、用于支持起诉的原始数据
• 缺点：
– 不能进行实时检测 – 不能实时响应 – 影响网络通信量
25
分布式基于主机的入侵检测结构
26
分布式检测的优缺点
• 优点：
• CIDF的规格文档由四部分组成，分别为： – 体系结构：阐述了一个标准的IDS的通用模型 – 规范语言：定义了一个用来描述各种检测信息的标准 语言 – 内部通讯：定义了IDS组件之间进行通信的标准协议 – 程序接口：提供了一整套标准的应用程序接口
46
CIDF中的术语
• CIDF将IDS需要分析的数据统称为事件（event）. • CIDF组件之间的通信基于通用入侵检测对象（
• 完整性分析，往往用于事后分析，主要关注某个文件 或对象是否被更改。
13
检测目标
• 可说明性
– 是指从给定的活动或事件中，可以找到相关 责任方的能力。建立可说明性的目标是获得 补偿或针对责任方 追究相关法律责任。
• 积极的反应
– 报告 – 警报 – 修改目标机系统或入侵检测系统
14
入侵检测的分类-1
37
异常检测模型
• 如果系统错误地将异常活动定义为入侵，称为 误报(false positive) ；如果系统未能检测出真正 的入侵行为则称为漏报(false negative)。
• 特点：异常检测系统的效率取决于用户轮廓的 完备性和监控的频率。能有效检测未知的入侵 。
38
异常检测方法
• 统计学的方法 • 基于神经网络的异常检测 • 基于数据挖掘的异常检测
• 入侵检测是监测计算机网络和系统以发现违反安全策 略事件的过程。简单地说，入侵检测系统包括三个功 能部件：
（1）信息收集 （2）信息分析 （3）结果处理
11
信息收集
• 入侵检测的第一步是信息收集，收集内容包括系 统、网络、数据及用户活动的状态和行为。
• 需要在计算机网络系统中的若干不同关键点（不 同网段和不同主机）收集信息， – 尽可能扩大检测范围 – 从一个源来的信息有可能看不出疑点
第15章入侵检测技术
讨论议题
• 入侵检测概述 • 入侵检测系统的功能组成 • 基于主机及基于网络的入侵检测系统 • 异常检测和误用检测 • 入侵检测的响应 • 入侵检测标准化工作
2
主要的传统安全技术
• 加密 • 消息摘要、数字签名 • 身份鉴别：口令、鉴别交换协议、生物特征 • 访问控制 • 安全协议： IPsec、SSL • 网络安全产品与技术：防火墙、VPN • 内容控制: 防病毒、内容过滤等
• IDSG1997年给出了如下定义： • 入侵（ Intrusion ）：对信息系统的非授权访问及（或
）未经许可在信息系统中进行操作。 • 入侵检测（Intrusion Detection ）：对（网络）系统的
运行状态进行监视，对企图入侵、正在进行的入侵或 已经发生的入侵进行识别的过程。
7
入侵检测的起源和发展-1
4
信息安全两态论
5
P2DR安全的关键
• 检测
检测是静态防护转化为动态的关键 检测是动态响应的依据 检测是落实/强制执行安全策略的 有力工具
6
入侵检测的定义
• NSTAC（National Security Telecommunications Advisory Board，国家安全通信委员会）的IDSG（ Intrusion Detection Sub-Group)是一个由美国总统特 许的保护国家关键基础设施的小组。
• IETF入侵检测工作组(IDWG)的入侵检测交换 格式IDEF(Intrusion Detection Exchange Format)
• 漏洞和风险的标准 CVE(Common Vulnerabilities and Exposures)
45
CIDF规格文档
• CIDF是一套规范，它定义了IDS表达检测信息的标准语 言以及IDS组件之间的通信协议。
8
入侵检测的起源和发展-2
• 80年代，基于主机的入侵检测 • 1990，加州大学戴维斯分校的L. T. Heberlein等人开发
出了NSM（Network Security Monitor） • 该系统第一次直接将网络流作为审计数据来源，因而
可以在不将审计数据转换成统一格式的情况下监控异 种主机 • 入侵检测系统发展史翻开了新的一页，两大阵营正式 形成：基于网络的IDS和基于主机的IDS • 90年代，基于主机和基于网络入侵检测的集成
– 误用检测模型（Misuse Detection)：收集非 正常操作的行为特征，建立相关的特征库， 当监测的用户或系统行为与库中的记录相匹 配时，系统就认为这种行为是入侵 。
16
入侵检测的分类-3
• 根据时效性：
– 脱机分析：行为发生后，对产生的数据进行 分析。早期比较流行
– 联机分析：在数据产生的同时或者发生改变 时进行分析。
28
基于网络的检测威胁
• 非授权访问 – 非授权登录（login) – 进行其它攻击的起始点
• 数据/资源的窃取 – 口令下载 – 带宽窃取
• 拒绝服务 – 畸形分组：land – 分组泛洪：packet flooding – 分布式拒绝服务
29
基于网络的入侵检测系统结构
• 基于网络的入侵检测系统由遍及网络的传感器 （Sensor)组成，传感器会向中央控制台报告。 传感器通常是独立的检测引擎，能获得网络分 组、找寻误用模式，然后告警。 – 传统的基于传感器的结构 – 分布式网络节点结构(network node)
• 技术特点
– 原理简单 – 扩展性好 – 检测效率高 – 实时性好
• 技术缺陷
– 仅适用简单攻击模式 – 检测的准确性 – 检测速度
36
基于专家系统误用入侵检测方法
• 通过将安全专家的知识表示成 IF-THEN规则 形成专家知识库，然后，运用推理算法进行检 测入侵
• Snapp和Smaha给出了在入侵检测中使用这样 的系统的实例CLIPS
17
入侵检测的分类-4
• 按系统各模块的运行方式
– 集中式：系统的各个模块包括数据的收集分 析集中在一台主机上运行。
– 分布式：系统的各个模块分布在不同的计算 机和设备上。
18
讨论议题
• 入侵检测概述 • 入侵检测系统的功能组成 • 基于主机及基于网络的入侵检测系统 • 异常检测和误用检测 • 入侵检测的响应 • 入侵检测标准化工作
• 特权滥用 – 前职员使用旧帐户 – 管理员创建后门帐户
• 关键数据的访问及修改 – 非授权泄露、修改WEB站点
• 安全配置的变化 – 用户没有激活屏保 – 激活guest帐户
22
基于主机的入侵检测系统结构
• 基于主机的入侵检测系统通常是基于代理的， 代理是运行在目标系统上的可执行程序，与中 央控制计算机（命令控制台）通信。
19
基于主机的入侵检测系统