东软公司网络安全产品NetEye IDS(3)

NetEye IDS 监测主机
NetEye IDS 技术特点
• • • • • • • 高效快捷的数据截取技术 基于统计及模式匹配识别入侵和网络异常情况 全面的内容恢复，支持多种常用协议 即时报警，邮件报警,切断攻击连接 多处理器支持 中文图形化管理 全中文入侵信息描述
NetEye入侵监测系统主要功能
NetEye IDS 2.2系统结构图
入侵知识库 系统内核 数据包过滤, 连接 跟踪 响应动作
网卡
报警信息库
连接信息数 据库
NetEye IDS（Ver2.2）
• NetEye IDS 基于专用安全操作系统 • 使用独创的数据包截取与分析技术监听网络通 信 • 利用预装的攻击和漏洞信息库，使用统计和模 式匹配的方法检测网络内的入侵和攻击 • 支持多种协议通信内容恢复。 • 网络历史连接审计 • 多种辅助分析和管理工具 • 丰富的报表输出
管理，配置工具
• 简便易用的管理工具
主要功能回顾
1. 2. 3. 4. 5. 6. 7. 8. 9. 10. 先进的数据流截取和重组技术。 采用专用的接口直接从操作系统内核快速截取数据包，高效进行数据流重组，以数据流为对象进行分析。 轻松处理分片和乱序数据包。 强大的攻击事件检测和防御。 可对1000多种攻击进行检测，报警,记录，切断。并可方便的升级以检测最新的攻击。 高效的网络应用恢复 可对HTTP,SMTP,POP3,FTP,TELENT等协议进行恢复和重放，并可自定义协议，便于扩充。 完整的网络事件记录 可对网络中发生的所有事件进行记录，是完整的网络审计日志。 灵活的查询，报表功能 可对网络中的攻击事件，访问记录进行灵活的查询，并可根据查询结果输出优美的报表。 丰富的辅助工具 集成网络嗅探器和扫描器等网络分析工具，便于管理员查看当前网络状况，分析网络问题。 实时的网络连接察看，切断功能 实时查看网络当前连接状况，对可疑连接可立即切断，最大限度的保证用户的 安全。 简便的管理 客户/服务器结构，提供便于使用的图形界面来进行远程管理。自动进行自身的数据和策略的默认维护， 不需人为干预,使用极其简便。内置权限管理，方便不同权限的用户进行不同的操作。 全面的网络信息收集 采取多种方法全面收集网络用户信息，方便管理员快速了解当前网络用户状态。 多样的报警方法 用户可选择界面显示，记录到数据库。发送电子邮件等不同的方式进行报警。
实时网络监控功能
• 实时监控网络当前连接，显示网络用户 信息，可随时断开可疑连接，最大限度 的保证网络安全。
实时网络流量监控
• 实时监控网络当前状况，便于用户发现 网络异常，定位网络故障
网络嗅探器
• 对网络中的数据流进行分析，解码。查 找网络问题
网络端口扫描器
• 主动扫描网络，发现网络问题
分布式部署结构
路由器 NetEye IDS 管理主机
INTERNET
主交换机
交换机 3 交换机 1 交换机 2
监测主机
监测主机
一般主机
公共服务器群
一般主机
• 这种结构主要应用于 结构比较复杂的区域 网中，在这种网络中， 各机构间使用交换式 HUB或从交换机连接 到主交换机上，通过 主交换机连接路由器 接入Internet，如果要 全面监测整个网络， 就需要在每个从交换 机上的广播口（监听 口）上接入个NetEye IDS监测主机。
NetEye IDS 捍卫中国网络安全
目录
• 入侵检测系统简介 • NetEye IDS 2.2介绍
入侵检测系统简介
• IDS系统存在的必要性 • IDS系统的作用
IDS概念
• 入侵检测技术IDS是一种主动保护自己免受攻击的一种 网络安全技术。作为防火墙的合理补充，入侵检测技 术能够帮助系统对付网络攻击，扩展了系统管理员的 安全管理能力（包括安全审计、监视、攻击识别和响 应），提高了信息安全基础结构的完整性。它从计算 机网络系统中的若干关键点收集信息，并分析这些信 息。入侵检测被认为是防火墙之后的第二道安全闸门， 在不影响网络性能的情况下能对网络进行监测,它可以 防止或减轻上述的网络威胁
IDS存在与发展的必然性
• • • • 网络攻击的破坏性 损失的严重性 日益增长的网络安全威胁 单纯部署防火墙产品不能防范复杂多变 的攻击
IDS系统的作用
• 防范透过防火墙的入侵
– 利用应用系统漏洞及后门实施的入侵 – 利用防火墙配置失误实施的入侵
• 防范来自内部网的入侵
– 内部网的攻击占总的攻击事件的70% – 没有监测的内部网是内部人员的“自由王国”
简单区域中应用结构
用wenku.baidu.com 服务器 NetEye IDS 管理主机
HUB
交换机 NetEye IDS 监测主机
路由器
INTERNET
• 此种结构主要应用于 简单的区域网络，在 这种网络中，整个内 部网的主机都是通过 共享式HUB或直接连 接到交换机上，此时 只需要将NetEye IDS 监测主机连接到交换 机的广播口（监听口） 就可以监测整个区域 网。
• 对网络行为的审计，防范无法自动识别的 恶意破坏
安全威胁增长示意图
NetEye IDS特点
• • • • • • • 侦测速度快 隐蔽性好 视野更宽 较少的监测器 不在被监控系统上安装任何软件，不占用系统资源 不改变网络拓扑，部署简易 管理简便，即插即用
NetEye IDS
• NetEye IDS系统结构 • NetEye IDS技术特点 • NetEye IDS主要功能
应用层信息再现
• WWW浏览页面恢复 – 独特的页面重组技术 • 邮件恢复（POP3，SMTP） • Telnet全程监视与回放 • FTP回放 • 可自定义协议, 便于扩充
历史连接察看
• 察看网络中发生的所有连接事件，是完 整的网络审计日志
报表功能
• NetEye IDS 2.2 入侵监测系统提供灵活， 方便， 图文并茂的报表功能。便于管理 员检索和保存信息
谢谢！
• 基于入侵知识库的入侵识别和预警 – 1000多种入侵模式信息 – 能够识别国内产生的大量后门变种 – 对识别的入侵能够对正在形成入侵的连接进行复位 操作 • 应用信息的审计功能 – 原始数据包的重新组合 – 应用协议分析
入侵识别
• 根据数据流智能重组，轻松处理分片和乱序数 据包。利用统计与模式匹配，异常分析，检测 1000多种攻击与入侵行为。系统提供默认策略， 用户也可以方便的定制策略。使用数据库存储 攻击与入侵信息以便随时检索。系统还提供详 细的攻击与入侵资料，包括发生时间、发起主 机与受害主机地址、攻击类型、以及针对此类 型攻击的详细解释与解决办法。管理员可根据 资料加强系统安全，并追究攻击者责任