nids强化公司网络安全

《nids强化公司网络安全》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、NIDS强化公司网络安全安徽省宿州供电公司科技信息部黄侠黄德强摘要：简述宿州供电公司网络应用及网络安全系统，分析网络升级和应用扩展后的安全隐患，提出能够完善安全体系的入侵检测系统。叙述入侵检测系统的分类选择并根据公司网络构架选择NIDS，根据NIDS对信息处理的过程，分析其存在的问题及解决办法，最后说明在宿州供电公司网络系统中布置NIDS的最佳位置。『关键词』网络安全入侵监测一、前言：Internet开放互联的体系结构，实现了信息资源的充分共享，为用户带来了信息检索查询的方便，因而得到迅速的发展和普及。宿州供电公司局域网络也于2001年通

2、过省公司统一出口实现与Internet的连接，近年又开通了与工行、建行、中行、农行等多家银行联网实时收费系统。但是伴随着数据共享给公司和用电客户带来的高效、便捷，也使得某些保密性要求较高的信息和数据（如通过软件防火墙和用户连接的电费信息等），存在着被攻击的危险，信息网络安全的重要性也日益明显。针对网络上存在的各种安全隐患，公司采取了一系列措施：在与外网连接处配置硬件防火墙，作为公司网络安全的第一道防线，对通过的所有数据流进行监测、限制和修改，以控制外网用户对公司局域网络的非法访问；在交换机上设置访问控制列表，控制局域网对外网的访问；在局域

3、网内各个服务器及工作站安装Trend防病毒系统，通过服务器实现自动升级，实时监控服务器及工作站的运转；采用VLAN技术实现网络的区域管理；并利用操作系统、数据库、应用系统本身的安全机制，对用户权限进行控制等。“十一五”期间宿州供电公司到Internet的通道将升级到155M，局域网主干带宽也将升级，以及银电联网、移动营销、营销网站等系统应用的不断扩展与研发，公司现有网络安全体系的弊病将逐渐显现出来。例如：防火墙与交换机在对网络数据进行深入检测和控制的同时，使得网络的传输速度下降；网络内部的攻击不能通过防火墙检测出来，防病毒系统虽能实时监控

4、内部网络，但对新的病毒及攻击行为只能被动的防卫，不能预防；防火墙本身容易遭受隧道攻击和基于应用的攻击等等。隧道攻击是指由于防火墙根据网络协议决定包的通过/禁止，然而把一种协议（本应被防火墙过滤器禁止）的信息封装在另外一种允许通过协议的信息之中时，不该通过的流量穿越了防火墙,旁路了防火墙的保护。此种攻击采用的手法类似于VPN中的隧道机制，因而称之为隧道攻击。基于应用的攻击是指通过发送包直接与应用通信，利用这些应用的漏洞。如某人可以通过发送HTTP命令在web应用中执行缓冲区溢出攻击来利用web软件中的漏洞。如果防火墙配置成允许HTTP流量通

5、过，包含此攻击的包将允许通过。总之，随着网络升级和应用的扩展，目前宿州供电公司的网络安全系统已不能满足网络应用全面升级后的安全要求，因此，公司规划引入“入侵检测系统”，以保障重要信息的安全。入侵检测系统作为一种积极主动的安全防护工具，提供了对内部攻击、外部攻击和误操作的实时防护，在计算机网络和系统受到危害之前进行报警、拦截和响应。它具有以下主要作用：通过检测和记录网络中的安全违规行为，惩罚网络犯罪，防止网络入侵事件的发生；检测其他安全措施未能阻止的攻击或安全违规行为；检测黑客在攻击前的探测行为，预先给管理员发出警报；报告计算机系统或网络中

6、存在的安全威胁；提供有关攻击的信息，帮助管理员诊断网络中存在的安全弱点，利于其进行修补。二、入侵检测系统的分类检测入侵的技术是从事件中检测出通常表示恶意或可疑企图的攻击特征。根据事件来源的不同，入侵检测系统可以被分成两类：一类是基于主机的入侵检测系统(HIDS)。入侵检测系统通过分析审计日志纪录中检测攻击特征，称其为基于主机。审计日志是主机系统的一项安全设施，能够对主机资源的使用事件：哪个用户、使用何种资源、如何使用以及使用的时间等问题提供完备记录，以备非法事件发生后能够有效的追查。另一类是基于网络的入侵检测系统(NIDS)。入侵检测系统

7、从网络流量中检测这些特征时，我们称其为基于网络；基于网络入侵检测系统(NIDS)具有实时性、隐蔽性、与操作系统无关性等优于HIDS的特点。同时由于NIDS既检测包头，也检测包的载荷，因此它可以检测到HIDS可能会遗漏的攻击。而且NIDS安全探测器可置于防火墙外来检测企图对它保护的资源进行攻击的恶意流量（由于防火墙可以拒绝一些入侵企图，因而它们可能无法到达主机系统，但是获得关于这些攻击的类型和频率方面的信息仍然是至关重要的）。位于防火墙内部的安全探测器也可以作为审查防火墙配置的安全工具。基于以上特点，宿州供电公司规划在“十一五”期间引入基于

8、网络入侵检测系统（NIDS），以实时监控网络流量，保障数据安全。三、NIDS信息处理过程在本质上，入侵检测系统是一个典型的“窥探设备”，它只需在网络上被动地、无声息地收集它所关心的报文即可。N