网络安全入侵检测.ppt

《网络安全入侵检测.ppt》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、网络安全入侵检测网络安全的构成物理安全性设备的物理安全：防火、防盗、防破坏等通信网络安全性防止入侵和信息泄露系统安全性计算机系统不被入侵和破坏用户访问安全性通过身份鉴别和访问控制，阻止资源被非法用户访问数据安全性数据的完整、可用数据保密性信息的加密存储和传输安全的分层结构和主要技术物理安全层网络安全层系统安全层用户安全层应用安全层数据安全层加密访问控制授权用户/组管理单机登录身份认证反病毒风险评估入侵检测审计分析安全的通信协议VPN防火墙存储备份主要的传统安全技术加密消息摘要、数字签名身份鉴别：口令、鉴别交换协议、生物特征访问控制安全协议：IPSec

2、、SSL网络安全产品与技术：防火墙、VPN内容控制:防病毒、内容过滤等“预防（prevention）”和“防护（protection）”的思想传统安全技术的局限性传统的安全技术采用严格的访问控制和数据加密策略来防护在复杂系统中，这些策略是不充分的这些措施都是以减慢交易为代价的大部分损失是由内部引起的82%的损失是内部威胁造成的传统安全技术难于防内传统的安全技术基本上是一种被动的防护，而如今的攻击和入侵要求我们主动地去检测、发现和排除安全隐患传统安全措施不能满足这一点入侵检测系统概述入侵检测系统的定义入侵（Intrusion）企图进入或滥用计算机或网络

3、系统的行为可能来自于网络内部的合法用户入侵检测（IntrusionDetection）对系统的运行状态进行监视，发现各种攻击企图、攻击行为或者攻击结果，以保证系统资源的机密性、完整性和可用性入侵检测系统（IntrusionDetectionSystem，IDS）定义：进行入侵检测的软件与硬件的组合便是入侵检测系统功能：监控计算机系统或网络系统中发生的事件，根据规则进行安全审计为什么需要入侵检测系统入侵很容易入侵教程随处可见各种工具唾手可得防火墙不能保证绝对的安全网络边界的设备自身可以被攻破对某些攻击保护很弱不是所有的威胁来自防火墙外部防火墙是锁，入侵

4、检测系统是监视器入侵检测系统IDS通过从计算机网络或计算机系统的关键点收集信息并进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象入侵检测的任务检测来自内部的攻击事件和越权访问85％以上的攻击事件来自于内部的攻击防火墙只能防外，难于防内入侵检测系统作为传统安全工具的一个有效的补充入侵检测系统可以有效的防范防火墙开放的服务入侵通过事先发现风险来阻止入侵事件的发生，提前发现试图攻击或滥用网络系统的人员检测其它安全工具没有发现的网络工具事件提供有效的审计信息，详细记录黑客的入侵过程，从而帮助管理员发现网络的脆弱性入侵检测相关术语IDS(I

5、ntrusionDetectionSystems)入侵检测系统Promiscuous混杂模式，即IDS网络接口可以看到网段中所有的网络通信量，不管其来源或目的地Signatures特征，即攻击的特征Alerts警告Anomaly异常Console控制台Sensor传感器，即检测引擎入侵检测系统分类-1按照数据来源：基于主机系统获取数据的依据是系统运行所在的主机，保护的目标也是系统运行所在的主机基于网络系统获取的数据是网络传输的数据包，保护的是网络的运行入侵检测系统分类-2按系统各模块的运行方式集中式系统的各个模块包括数据的收集分析集中在一台主机上运行

6、分布式系统的各个模块分布在不同的计算机和设备上根据时效性脱机分析行为发生后，对产生的数据进行分析联机分析在数据产生的同时或者发生改变时进行分析基于主机的入侵检测系统基于主机的入侵检测系统:Host-BasedIDS(HIDS)系统安装在主机上面，对本主机进行安全检测优点审计内容全面，保护更加周密视野集中适用于加密及交换环境易于用户自定义对网络流量不敏感缺点额外产生的安全问题HIDS依赖性强如果主机数目多，代价过大不能监控网络上的情况基于网络的入侵检测系统基于网络的入侵检测系统：Network-BasedIDS(NIDS)系统安装在比较重要的网段内在共

7、享网段上对通信数据进行侦听采集数据优点检测范围广，提供对网络通用的保护无需改变主机配置和性能，安装方便独立性，操作系统无关性侦测速度快隐蔽性好较少的监测器，占资源少缺点不能检测不同网段的网络包很难检测复杂的需要大量计算的攻击协同工作能力弱难以处理加密的会话IDS基本结构入侵检测系统包括三个功能部件信息收集信息分析结果处理信息收集入侵检测的第一步是信息收集，收集内容包括系统、网络、数据及用户活动的状态和行为需要在计算机网络系统中的若干不同关键点（不同网段和不同主机）收集信息尽可能扩大检测范围从一个源来的信息有可能看不出疑点入侵检测很大程度上依赖于收集信

8、息的可靠性和正确性要保证用来检测网络系统的软件的完整性特别是入侵检测系统软件本身应具有相当强的坚固性，防止被