网络入侵检测技术.ppt
《网络入侵检测技术.ppt》由会员分享,可在线阅读,更多相关《网络入侵检测技术.ppt(121页珍藏版)》请在三一办公上搜索。
1、入侵检测技术,信息安全,课程内容,入侵检测概述入侵检测工作原理入侵检测缺陷入侵检测选型原则入侵检测产品及发展方向,第一章:入侵检测系统概述,引言入侵检测系统基本概念入侵检测系统分类入侵检测系统构件入侵检测系统部署方式动态安全模型P2DR,第一节:什么叫网络入侵,网络攻击的定义对网络安全管理员来说,可能导致一个网络受到破坏、网络服务受到影响的所有行为都应称为攻击。,网络入侵的特点,网络入侵的特点没有地域和时间的限制;通过网络的攻击往往混杂在大量正常的网络活动之间,隐蔽性强;入侵手段更加隐蔽和复杂。,网络安全目前存在的威胁,网络,内部、外部泄密,拒绝服务攻击,逻辑炸弹,特洛伊木马,黑客攻击,计算机
2、病毒,信息丢失、篡改、销毁,后门、隐蔽通道,蠕虫,黑客入侵动机,攻击的动机出于政治目的、商业目的员工内部破坏出于好奇或者满足虚荣心单从技术上说,黑客入侵的动机是成为目标主机的主人。只要他们获得了一台网络主机的超级用户权限后他们就有可能在该主机上修改资源配置、安置“特洛伊”程序、隐藏行踪、执行任意进程等等。我们谁又愿意别人在我们的机器上肆无忌惮地拥有这些特权呢?,什么导致黑客入侵,服务(service)导致黑客入侵没有开启任何服务的主机绝对是安全的主机信息安全的隐患存在于信息的共享和传递过程中,小 结,网络入侵概念的广泛性服务导致黑客的入侵网络安全的核心就是信息的安全,第二节:攻击的一般步骤,恶
3、意用户为什么总是能成功入侵系统?前提条件就是系统的安全问题有漏洞,没有百分百的安全。任何系统都会有这样那样的弱点,即时使用了最新的技术,但由于系统的用户的错误操作也会使系统产生漏洞。收集信息 恶意用户再开始攻击之前首先要收集大量的信息,以确定可以攻击的目标。这些信息包括了目标主机的硬件、软件、操作系统、应用程序等等。一般这些信息的收集通过扫描工具完成。,第二节:攻击的一般步骤,考虑攻击方法 在确定了攻击目标后,恶意用户会根据所获得的信息考虑攻击方法。比如是利用系统现有的漏洞还是猜解口令的方式入侵系统,具体的方式根据目标主机环境的不同而不同。入侵系统 成功入侵系统后,恶意用户就可以进行各种各样的
4、活动了,既可以删除文件、读取敏感信息也可以利用它入侵其它的机器。安放后门、删除记录 一般入侵者在从他所入侵的主机上撤出时都会安装上后门程序,以方便下次进入。之后入侵者要在入侵主机上清理他所留下的痕迹,以避免被管理员发现。,繁多的黑客攻击手段,口令攻击Crack IP地址欺骗 缓冲区溢出 拒绝服务 特洛伊木马 社交欺骗 监听,繁多的黑客攻击手段,口令攻击Crack IP地址欺骗 拒绝服务 特洛伊木马 缓冲区溢出 社交欺骗 监听,口令攻击Crack,口令攻击 Crack 是使用一种软件对口令进行破解尝试,通常情况下该软件依次列举可能的口令进行试验,知道找出口令为止。,繁多的黑客攻击手段,口令攻击C
5、rack IP地址欺骗 拒绝服务 缓冲区溢出 特洛伊木马 社交欺骗 监听,IP地址欺骗,IP地址欺骗指的是向受害主机发送一个将源IP地址设置为其它计算机或不存在的计算机的IP地址的数据包,这样使得该数据包看起来像是来自别的其它主机地址,而不是实际的源地址。,繁多的黑客攻击手段,口令攻击Crack IP地址欺骗 拒绝服务 特洛伊木马 缓冲区溢出 社交欺骗 监听,拒绝服务攻击,拒绝服务攻击的主要目的是使被攻击的网络或服务器不能提供正常的服务。例如,WWW服务器一般在一定时间内只能处理一定量的通信,如果通信量超过了它所能承受的限度,服务器将会瘫痪。例如,如果使用某种ping工具软件(一种可以向主机发
6、送数据包,以验证主机是否处在激活状态,并观察返回的响应需要多长时间的程序)向某台主机发送大量的重复的数据包(称为湮没),这台主机在处理接收到的海量的ping请求时,就很可能太忙以致于不能响应任何正常合法的数据请求。这和人一样,如果有太多的事情在同一时刻交给一个人处理的话,那么他肯定只能响应某几个事务,忽略其它的事务。这时可以说这个人被“拒绝服务”了。,拒绝服务攻击方式有很多种,最基本的DoS攻击就是利用合理的连接服务请求来占用过多的服务资源,从而使合法用户无法得到服务的响应。,连接请求,响应信息,连接请求,ACK,响应信息,等待,?,分布式拒绝服务攻击,分布式拒绝服务攻击 DDoSDDoS攻击
7、手段是在传统的DoS攻击基础之上产生的一类攻击方式。单一的DoS攻击一般是采用一对一方式的,当攻击目标CPU速度低、内存小或者网络带宽小等等各项性能指标不高它的效果是明显的。随着计算机与网络技术的发展,计算机的处理能力迅速增长,内存大大增加,同时也出现了千兆级别的网络,这使得DoS攻击的困难程度加大了。被攻击目标对恶意攻击包的“消化能力”加强了不少,例如你的攻击软件每秒钟可以发送3,000个攻击包,但我的主机与网络带宽每秒钟可以处理 10,000个攻击包,这样一来攻击就不会产生什么效果。,分布式拒绝服务攻击,分布式拒绝服务攻击 DDoS这时侯分布式的拒绝服务攻击DDoS手段就应运而生了。你理解
8、了DoS攻击的话,它的原理就很简单。如果说计算机与网络的处理能力加大了10倍,用一台攻击机来攻击不再能起作用的话,攻击者使用10台攻击机同时攻击呢?用100台呢?DDoS就是利用更多的傀儡机来发起进攻,以比从前更大的规模来进攻受害者。,分布式拒绝服务攻击,分布式拒绝服务攻击 DDoS高速广泛连接的网络给大家带来了方便,也为DDoS攻击创造了极为有利的条件。在低速网络时代时,黑客占领攻击用的傀儡机时,总是会优先考虑离目标网络距离近的机器,因为经过路由器的跳数少,效果好。而现在电信骨干节点之间的连接都是以G为级别的,大城市之间更可以达到2.5G的连接,这使得攻击可以从更远的地方或者其他城市发起,攻
9、击者的傀儡机位置可以在分布在更大的范围,选择起来更灵活了。,分布式拒绝服务攻击,被DDoS攻击时的现象被攻击主机上有大量等待的TCP连接 网络中充斥着大量的无用的数据包,源地址为假 制造高流量无用数据造成网络拥塞使受害主机无法正常和外界通讯 利用受害主机提供的服务或传输协议上的缺陷,反复高速的发出特 定的服务请求,使受害主机无法及时处理所有正常请求 严重时会造成系统死机,分布式拒绝服务攻击,分布式拒绝服务攻击,连接请求,响应信息,死机!,?,DDOS攻击示意图,DDOS攻击(步骤1),ScanningProgram,不安全的计算机,Hacker,Internet,DDOS攻击(步骤2),Hac
10、ker,被控制的计算机(代理端),黑客设法入侵有安全漏洞的主机并获取控制权。这些主机将被用于放置后门、sniffer或守护程序甚至是客户程序。,2,Internet,DDOS攻击(步骤3),Hacker,黑客在得到入侵计算机清单后,从中选出满足建立网络所需要的主机,放置已编译好的守护程序,并对被控制的计算机发送命令。,3,被控制计算机(代理端),MasterServer,Internet,Hacker,Using Client program,黑客发送控制命令给主机,准备启动对目标系统的攻击,4,被控制计算机(代理端),TargetedSystem,MasterServer,Internet,
11、DDOS攻击(步骤4),Targeted System,Hacker,主机发送攻击信号给被控制计算机开始对目标系统发起攻击。,5,MasterServer,Internet,被控制计算机(代理端),DDOS攻击(步骤5),DDOS攻击(步骤6),TargetedSystem,Hacker,目标系统被无数的伪造的请求所淹没,从而无法对合法用户进行响应,DDOS攻击成功。,6,MasterServer,User,Internet,被控制计算机(代理端),DDOS攻击效果,DDOS攻击的效果 由于整个过程是自动化的,攻击者能够在5秒钟内入侵一台主机并安装攻击工具。也就是说,在短短的一小时内可以入侵数
12、千台主机。并使某一台主机可能要遭受1000MB/S数据量的猛烈攻击,这一数据量相当于1.04亿人同时拨打某公司的一部电话号码。,DDOS攻击的预防,预防DDOS攻击的措施确保主机不被入侵且是安全的;周期性审核系统;检查文件完整性;优化路由和网络结构;优化对外开放访问的主机;在网络上建立一个过滤器(filter)或侦测器(sniffer),在攻击信息到达网站服务器之前阻挡攻击信息。,IDS是对防火墙的必要补充,传统的操作系统加固技术和防火墙隔离技术等都是静态安全防御技术,它们主要是基于各种形式的静态禁止策略,对网络环境下日新月异的攻击手段缺乏主动的反应。入侵检测是最近发展起来的一种动态的监控、预
13、防或抵御系统入侵行为的安全机制,主要通过实时监控网络和系统的状态、行为以及系统的使用情况,来检测系统用户的越权使用以及系统外部的入侵者利用系统的安全缺陷对系统进行入侵的企图。,小 结,黑客攻击日益猖獗,防范问题日趋严峻网络入侵具有较复杂的特点需要采用入侵检测技术保障网络安全,第一章:入侵检测系统概述,引言入侵检测系统基本概念入侵检测系统分类入侵检测系统构件入侵检测系统部署方式动态安全模型P2DR,什么是入侵检测系统,对系统的运行状态进行监视,发现各种攻击企图、攻击行为或者攻击结果,以保证系统资源的机密性、完整性和可用性,进行入侵检测的软件与硬件的组合便是入侵检测系统,入侵检测产品的起源,审计技
14、术:产生、记录并检查按时间顺序排列的系统事件记录的过程,审计的目标:,监测系统的问题区,阻止系统的不正当使用,评估损失,提供有效的灾难恢复,重建事件,确定和保持系统活动中每个人的责任,为什么需要安装入侵检测系统,网络中已经安装了防火墙系统,为什么还需要安装入侵检测系统?,为什么需要安装入侵检测系统,安装入侵检测系统的必要性,网络中可被入侵者钻的空子较多在一些大型的网络中,存在大量的操作系统类型和应用。而网管人员少,没有时间跟踪系统的安全漏洞,并及时的安装相应的系统补丁程序。用户和管理员在配置和使用系统中的失误。对于一些存在安全漏洞的服务、协议和软件(比如snmp服务和IIS等等),用户有时候不
15、得不使用。,安装入侵检测系统的必要性(续),入侵检测系统还可有效的防范防火墙开放的服务入侵可检测来自内部的攻击事件和越权访问85以上的攻击事件来自于内部的攻击防火墙只能防外,难于防内可提供有效的审计信息,详细记录黑客的入侵过程,帮助管理员发现网络的脆弱性。,第一章:入侵检测系统概述,引言入侵检测系统基本概念入侵检测系统分类入侵检测系统构件入侵检测系统部署方式动态安全模型P2DR,第三节:入侵检测系统分类,Host-Based IDS 基于主机的入侵检测系统Network-Based IDS 基于网络的入侵检测系统,NIDS:基于网络的入侵检测系统,基于网络的入侵检测系统(NIDS)在计算机网络
16、中的关键点被动地监听网络上传输的原始流量,对获取的网络数据包进行分析处理,从中获取有用的信息,以识别、判定攻击事件。,HIDS:基于主机的入侵检测系统,基于主机的入侵检测系统(HIDS)一般主要使用操作系统的审计日志作为主要数据源输入,试图从日志判断滥用和入侵事件的线索。,HIDS优点,性能价格比高细腻性,审计内容全面视野集中适用于加密及交换环境,HIDS缺点,额外产生的安全问题安装了主机入侵检测系统后,将本不允许安全管理员有权力访问的服务器变成他可以访问的了。HIDS依赖性强它依赖于服务器固有的日志与监视能力。如果服务器没有配置日志功能,则必需重新配置,这将会给运行中的业务系统带来不可预见的
17、性能影响。如果主机数目多,代价过大不能监控网络上的情况,Network-Based IDS(NIDS),基于网络的入侵检测系统基于网络的入侵检测产品(NIDS)放置在比较重要的网段内,不停地监视网段中的各种数据包。对每一个数据包或可疑的数据包进行特征分析。如果数据包与产品内置的某些规则吻合,入侵检测系统就会发出警报甚至直接切断网络连接。目前,大部分入侵检测产品是基于网络的。值得一提的是,在网络入侵检测系统中,有多个久负盛名的开放源码软件,它们是Snort、NFR、Shadow等,其中Snort 的社区(http:/www.snort.org)非常活跃,其入侵特征更新速度与研发的进展已超过了大部
18、分商品化产品。,NIDS优点,检测范围广能够检测那些来自网络的攻击,它能够检测到超过授权的非法访问。无需改变主机配置和性能由于它不会在业务系统的主机中安装额外的软件,从而不会影响这些机器的CPU、I/O与磁盘等资源的使用,不会影响业务系统的性能。独立性和操作系统无关性由于网络入侵检测系统不像路由器、防火墙等关键设备方式工作,它不会成为系统中的关键路径。网络入侵检测系统发生故障不会影响正常业务的运行。布署一个网络入侵检测系统的风险比主机入侵检测系统的风险少得多。安装方便,NIDS缺点,不能检测不同网段的网络包很难检测复杂的需要大量计算的攻击网络入侵检测系统为了性能目标通常采用特征检测的方法,它可
19、以检测出普通的一些攻击,而很难实现一些复杂的需要大量计算与分析时间的攻击检测。协同工作能力弱难以处理加密的会话,基于网络的入侵检测产品和基于主机的入侵检测产品都有不足之处,单纯使用一类产品会造成主动防御体系不全面。但是,它们的缺憾是互补的。如果这两类产品能够无缝结合起来部署在网络内,则会构架成一套完整立体的主动防御体系,综合了基于网络和基于主机两种结构特点的入侵检测系统,既可发现网络中的攻击信息,也可从系统日志中发现异常情况。,小 结,第一章:入侵检测系统概述,引言入侵检测系统基本概念入侵检测系统分类入侵检测系统构件入侵检测系统部署方式动态安全模型P2DR,CIDF(公共入侵检测框架)组件:事
20、件产生器(Event generators)事件分析器(Event analyzers)响应单元(Response units)事件数据库(Event databases),事件产生器,事件分析器,事件数据库,响应单元,第四节:入侵检测系统构件,事件产生器,事件产生器的目的是从整个计算环境中获得事件(数据采集),并向系统的其他部分提供此事件。,事件分析器,事件分析器分析从事件产生器部分得到的数据包,即进行数据分析和协议分析。通过这些分析得到是否黑客入侵的数据包,从而进行下一步的操作。事件分析器是入侵检测系统的核心,它的效率高低直接决定了整个入侵检测系统的性能。根据事件分析的不同方式可将入侵检测
21、系统分为异常检测、特征检测和完整性分析三类。,事件分析器,异常检测系统也称为基于统计行为的入侵检测。这种方法首先给系统对象(如用户、文件、目录和设备等)创建一个统计描述,统计正常使用时的一些测量属性(如访问次数、操作失败次数和延时等)。测量属性的平均值将被用来与网络、系统的行为进行比较,任何观察值在正常值范围之外时,就认为有入侵发生。例如,统计分析可能标识一个不正常行为,因为它发现一个在晚八点至早六点不登录的帐户却在凌晨两点试图登录。,事件分析器,特征检测系统又称为基于规则、知识的入侵检测,它是将收集到的信息与已知的网络入侵和系统误用模式数据库进行比较,从而发现违背安全策略的行为。该过程可以很
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 网络 入侵 检测 技术
![提示](https://www.31ppt.com/images/bang_tan.gif)
链接地址:https://www.31ppt.com/p-5375919.html