4-入侵检测技术

基于行为的检测--概率统计方法
操作密度 审计记录分布 范畴尺度 数值尺度 记录的具体操作包括：CPU 的使用，I/O 的使 用，使用地点及时间，邮件使用，编辑器使用， 编译器使用，所创建、删除、访问或改变的目录 及文件，网络上活动等。
基于行为的检测--神经网络方法 --神经网络方法
基本思想是用一系列信息单元(命令)训练神 经单元，这样在给定一组输入后，就可能预测出输 出。当前命令和刚过去的w个命令组成了网络的输 入，其中w是神经网络预测下一个命令时所包含的过 去命令集的大小。根据用户的代表性命令序列训练 网络后，该网络就形成了相应用户的特征表，于是 网络对下一事件的预测错误率在一定程度上反映了 用户行为的异常程度。目前还不很成熟。
• 入侵检测系统的基本模式
网络数据包的协议分析器(PassiveProtocolAnalyzer) 将监视分析结果送给模式匹配部分，并根据需要保 存；Pattern Matching Signature Analysis根据协议 分析器的结果匹配入侵特征，将结果传送给 Countermeasure部分，Countermeasure将结果按规定 进行分析，并将相关数据传给Storage，Storage则保 存最后的分析结果
网络IDS
网络IDS通过抓取网络上的所有报文，分析处理 后，报告异常和重要的数据模式和行为模式， 使网络安全管理员清楚地了解网络上发生的事 件，并能够采取行动阻止可能的破坏。
IDS的基本结构实现
IDS引擎的功能结构
原始数据读取
原始数据分析
事件产生
通讯
网络IDS控制中心的功能结构
IDS的分类及其实现技术
神经网络检测思想
基于行为的入侵检测（3）
优点 – 不需要操作系统及其安全性缺陷专门知识 – 能有效检测出冒充合法用户的入侵 缺点 – 为用户建立正常行为模式的特征轮廓和对用户活动 的异常性报警的门限值的确定都比较困难 – 不是所有入侵者的行为都能够产生明显的异常性 – 有经验的入侵者还可以通过缓慢地改变他的行为， 来改变入侵检测系统中的用户正常行为模式，使其 入侵行为逐步变为合法。
更加深入
• 状态检测 + 引向异常的分支 Port 25:{ stateful client-sends: “WIZ” | stateful client-sends: “DEBUG” after stateful “DATA” client-sends line > 1024 bytes means possible buffer overflow }
优点是结构简单，不会因为通讯而影响网络带宽和泄密。 分布式结构就是引擎和控制中心在2个系统之上，通过网络通
讯，可以远距离查看和操作。目前的大多数IDS系统都是分布式 的。
优点不是必需在现场操作，可以用一个控制中心控制多个引擎，
可以统一进行策略编辑和下发，可以统一查看申报的事件，可以通 过分开事件显示和查看的功能提高处理速度等等。
IDS的系统结构--分布式结构图
IDS的分类及其实现技术
按数据来源分类 ---主机IDS ---网络IDS 按结构分类 ---分布式IDS ---单机式IDS 按分析方式分类 ---异常检测的IDS（基于行为的检测） ---滥用检测的IDS（基于知识的检测）
IDS分析方式
滥用检测技术（基于知识的检测 ） 异常检测技术（基于行为的检测 ）
IDS分析方式
滥用检测技术（基于知识的检测 ） 异常检测技术（基于行为的检测 ）
基于行为的检测（1）
基于行为的检测指根据使用者的行为或资源 使用状况来判断是否入侵，而不依赖于具体行为是否 出现来检测，所以也被称为异常检测(Anomaly Detection)。 与系统相对无关，通用性强 能检测出新的攻击方法 误检率较高 Denning早在1986年就提出了一个基于行为的入侵检测 系统模型[Denning87]。
基于知识的检测--专家系统 基于知识的检测-将有关入侵的知识转化成if-then结构的规 则，即将构成入侵所要求的条件转化为if 部分，将 发现入侵后采取的相应措施转化成then部分。当其中 某个或某部分条件满足时，系统就判断为入侵行为发 生。其中的if-then结构构成了描述具体攻击的规则 库，状态行为及其语义环境可根据审计事件得到，推 理机根据规则和行为完成判断工作。
入侵检测系统的作用
入侵检测相关概念
• 虚警
检测系统在检测时把系统的正常行为判为入侵行为 的错误被称为虚警。 检测系统在检测过程中出现虚警的概率称为系统的 虚警率
• 漏警
检测系统在检测时把某些入侵行为判为正常行为的 错误现象称为漏警。 检测系统在检测过程中出现漏警的概率称为系统的 漏警率
入侵检测相关概念
基于知识的检测（1）
基于知识的检测指运用已知攻击方法，根据已 定义好的入侵模式，通过判断这些入侵模式是否出现 来检测。因为很大一部分的入侵是利用了系统的脆弱 性，通过分析入侵过程的特征、条件、排列以及事件 间关系能具体描述入侵行为的迹象。基于知识的检测 也被称为违规检测(Misuse Detection)。这种方法由 于依据具体特征库进行判断，所以检测准确度很高， 并且因为检测结果有明确的参照，也为系统管理员做 出相应措施提供了方便。
简单的匹配
• 检查每个packet是否包含： “WIZ” | “DEBUG”
பைடு நூலகம்
检查端口号
• 缩小匹配范围 Port 25:{ “WIZ” | “DEBUG” }
深入决策树
• 只判断客户端发送部分 Port 25:{ Client-sends: “WIZ” | Client-sends: “DEBUG” }
Petri网分析一分钟内4次登录失败
基于知识的入侵检测（3）
• 优点 – 可检测出所有对系统来说是已知的入侵行为 – 系统安全管理员能够很容易地知道系统遭受到的是那种入侵 攻击并采取相应的行动 • 局限： – 它只是根据已知的入侵序列和系统缺陷的模式来检测系统中 的可疑行为，而不能处理对新的入侵攻击行为以及未知的、 潜在的系统缺陷的检测。 – 系统运行的环境与知识库中关于攻击的知识有关。 – 对于系统内部攻击者的越权行为，由于他们没有利用系统的 缺陷，因而很难检测出来。
按数据来源分类 ---主机IDS ---网络IDS 按结构分类 ---分布式IDS ---单机式IDS 按分析方式分类 ---异常检测的IDS（基于行为的检测） ---滥用检测的IDS（基于知识的检测）
主机IDS
主机IDS运行于被检测的主机之上，通过查 询、监听当前系统的各种资源的使用运行 状态，发现系统资源被非法使用和修改的 事件，进行上报和处理。其监测的资源主 要包括：网络、文件、进程、系统日志等
基于知识的入侵检测（2） • 主要实现技术：基于知识的入侵检测系统只
是在表示入侵模式（知识）的方式以及在系统 的审计迹中检查入侵模式的机制上有所区别。
– 专家系统（早期系统IDES、NIDES、W&S等）。 – 入侵签名分析，由于这种技术在实现上简单有效， 现有的商用入侵检测系统产品中多采用这种技术。 – 状态迁移分析（USTAT） – 模式匹配，Sandeep Kumar设计的模式匹配检测模型 中，使用CPN（Colored Petri Network）来描述入 侵者的攻击模式。
入侵检测系统
为什么需要IDS (intrusion Detection System) IDS的作用及相关概念 IDS的分类及其技术实现 IDS的部署 IDS的性能指标 IDS的发展
协议分析的优点
● 提高了性能：协议分析利用已知结构的通信协议，与模式匹配系 统中传统的穷举分析方法相比，在处理数据帧和连接时更迅速、 有效。 ● 提高了准确性：与非智能化的模式匹配相比，协议分析减少了虚 警和误判的可能性，命令解析（语法分析）和协议解码技术的结 合，在命令字符串到达操作系统或应用程序之前，模拟它的执 行，以确定它是否具有恶意。 ● 基于状态的分析：当协议分析入侵检测系统引擎评估某个包时， 它考虑了在这之前相关的数据包内容，以及接下来可能出现的数 据包。与此相反，模式匹配入侵检测系统孤立地考察每个数据 包。 ● 反规避能力：因为协议分析入侵检测系统具有判别通信行为真实 意图的能力，它较少地受到黑客所用的像URL编码、干扰信息、 TCP/IP分片等入侵检测系统规避技术的影响。 ● 系统资源开销小：协议分析入侵检测系统的高效性降低了在网络 和主机探测中的资源开销，而模式匹配技术却是个可怕的系统资 源消费者。
基于行为的入侵检测（2）
• 实现技术
– 统计，典型系统如：SRI的NIDES。
• 利用统计理论提取用户或系统正常行为的特征轮廓。统计性特征 轮廓通常由主体特征变量的频度、均值、方差、被监控行为的属 性变量的统计概率分布以及偏差等统计量来描述。
– 神经网络
• 只要提供系统的审计迹数据，神经网络就可以通过自学习从中提 取正常的用户或系统活动的特征模式；而不需要获取描述用户行 为特征的特征集以及用户行为特征测度的统计分布。
基于知识的检测---模型匹配
模型推理是指结合攻击脚本推理出入侵行 为是否出现。其中有关攻击者行为的知识被描述 为：攻击者目的，攻击者达到此目的的可能行为 步骤，以及对系统的特殊使用等。根据这些知识 建立攻击脚本库，每一脚本都由一系列攻击行为 组成。
基于知识的检测--状态转换分析
状态转换法将入侵过程看作一个行为序列， 这个行为序列导致系统从初始状态转入被入侵状态。 分析时首先针对每一种入侵方法确定系统的初始状态 和被入侵状态，以及导致状态转换的转换条件，即导 致系统进入被入侵状态必须执行的操作(特征事件)。 然后用状态转换图来表示每一个状态和特征事件，这 些事件被集成于模型中，所以检测时不需要一个个地 查找审计记录。但是，状态转换是针对事件序列分 析，所以不善于分析过分复杂的事件，而且不能检测 与系统状态无关的入侵。