入侵检测与可信计算.ppt
《入侵检测与可信计算.ppt》由会员分享,可在线阅读,更多相关《入侵检测与可信计算.ppt(78页珍藏版)》请在三一办公上搜索。
1、访问控制与网络安全技术(2),严飞武汉大学计算机学院Yfpostbox(AT),主要内容,访问控制技术防火墙技术VPN技术入侵检测技术一种新的网络安全技术,4.入侵检测技术,4.1 入侵检测技术概述4.2 入侵检测分类与评估4.3 入侵检测产品概况,4.1 入侵检测技术概述,入侵检测技术的起因传统网络安全技术存在着与生俱来的缺陷程序的错误配置的错误需求的变化决定网络不断发展 产品在设计阶段可能是基于一项较为安全的技术但当产品成型后,网络的发展已经使得该技术不再安全传统的网络安全技术是属于静态安全技术,无法解决动态发展网络中的安全问题,4.1 入侵检测技术概述,关于防火墙网络边界的设备自身可以被
2、攻破对某些攻击保护很弱不是所有的威胁来自防火墙外部入侵很容易入侵教程随处可见各种工具唾手可得,4.1 入侵检测技术概述,网络安全工具的特点,4.1 入侵检测技术概述,入侵检测的定义入侵检测是对入侵行为的发觉。它通过从计算机网络或计算机系统的关键点收集信息并进行分析,从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象.它还是一种增强内部用户的责任感及提供对攻击者的法律诉讼依据的机制,4.1 入侵检测技术概述,入侵检测的特点入侵检测是一种动态的网络安全技术它利用各种不同类型的引擎,实时地或定期地对网络中相关的数据源进行分析,依照引擎对特殊的数据或事件的认识,将其中具有威胁性的部分提取出来,
3、并触发响应机制 对系统的运行状态进行监视,发现各种攻击企图、攻击行为或者攻击结果,以保证系统资源的机密性、完整性和可用性进行入侵检测的软件与硬件的组合便是入侵检测系统入侵检测的动态性入侵检测的实时性对网络环境的变化具有一定程度上的自适应性,4.1 入侵检测技术概述,入侵检测的内容 外部攻击检测内部特权滥用检测,4.1 入侵检测技术概述,入侵检测的历史1980年 Anderson提出:入侵检测概念,分类方法1987年 Denning提出了一种通用的入侵检测模型 独立性:系统、环境、脆弱性、入侵种类 系统框架:异常检测器,专家系统 90年初 CMDS、NetProwler、NetRanger IS
4、S RealSecure,4.1 入侵检测技术概述,入侵检测的历史1980年4月,James P.Anderson Computer Security Threat Monitoring and Surveillance(计算机安全威胁监控与监视)第一次详细阐述了入侵检测的概念计算机系统威胁分类:外部渗透、内部渗透和不法行为提出了利用审计跟踪数据监视入侵活动的思想这份报告被公认为是入侵检测的开山之作,4.1 入侵检测技术概述,入侵检测的历史从1984年到1986年乔治敦大学的Dorothy DenningSRI/CSL的Peter Neumann研究出了一个实时入侵检测系统模型IDES(入侵检
5、测专家系统),4.1 入侵检测技术概述,4.1 入侵检测技术概述,入侵检测的内容 外部攻击检测外部攻击与入侵是指来自外部网络非法用户的威胁性访问或破坏外部攻击检测的重点在于检测来自于外部的攻击或入侵内部特权滥用检测内部特权滥用是指网络的合法用户在不正常的行为下获得了特殊的网络权限并实施威胁性访问或破坏内部特权滥用检测的重点集中于观察授权用户的活动,4.1 入侵检测技术概述,入侵检测的功能检测和分析用户和系统的活动识别反映已知攻击的活动模式非正常活动模式的统计分析通过对操作系统的审计,分析用户的活动、识别违规操作审计系统配置和脆弱性、评估关键系统和数据文件的一致性,4.1 入侵检测技术概述,入侵
6、检测技术原理与系统构成原理图,4.1 入侵检测技术概述,IDS原理入侵检测的技术的核心在于入侵检测过程 对行为与状态的综合分析是基于知识的智能推理神经网络理论模式匹配异常统计,4.1 入侵检测技术概述,IDS原理技术分析的依据历史知识现有的行为状态实时的监测是保证入侵检测具有实时性的主要手段 根据实时监测的记录不断修改历史知识保证了入侵检测具有自适应性,4.1 入侵检测技术概述,系统构成,4.1 入侵检测技术概述,IDS的构成信息采集部件对各类复杂、凌乱的信息进行格式化并交付于入侵分析部件 入侵分析部件按着部件内部的分析引擎进行入侵分析,当信息满足了引擎的入侵标准时就触发了入侵响应机制 入侵响
7、应部件当入侵分析部件发现入侵后,由入侵响应部件根据具体的情况做出响应响应部件同信息采集部件一样都是分布于网络中,甚至与信息采集部件集成在一起,4.2 入侵检测分类与评估,IDS引擎分类误用检测 异常检测,4.2 入侵检测分类与评估,IDS引擎分类误用检测 前提:所有的入侵行为都有可被检测到的特征 攻击特征库:当监测的用户或系统行为与库中的记录相匹配时,系统就认为这种行为是入侵 过程监控 特征提取 匹配 判定 首先根据已知的入侵,定义由独立的事件、事件的序列、事件临界值等通用规则组成的入侵模式然后观察能与入侵模式相匹配的事件,达到发现入侵的目的入侵模式需要定期更新,4.2 入侵检测分类与评估,I
8、DS引擎分类误用检测如果入侵特征与正常的用户行能匹配,则系统会发生误报;如果没有特征能与某种新的攻击行为匹配,则系统会发生漏报特点:采用特征匹配,滥用模式能明显降低错报率,但漏报率随之增加。攻击特征的细微变化,会使得滥用检测无能为力,4.2 入侵检测分类与评估,IDS引擎分类异常检测原理前提:入侵是异常活动的子集 用户轮廓(Profile):通常定义为各种行为参数及其阀值的集合,用于描述正常行为范围通过检查统计量的偏差,从而检测出不正常的行为其实现的方法将各个主体、对象的行为量化以历史数据设定期望值将与期望值有偏差的行为定义为入侵,4.2 入侵检测分类与评估,IDS引擎分类异常检测异常检测系统
9、的效率取决于用户轮廓的完备性和监控的频率因为不需要对每种入侵行为进行定义,因此能有效检测未知的入侵系统能针对用户行为的改变进行自我调整和优化,但随着检测模型的逐步精确,异常检测会消耗更多的系统资源,IDS引擎对比误用检测,优点误用检测具有很强的可分割性、独立性,可缩小模式数据库规模具有很强的针对性,对已知的入侵方法检测效率很高 有能力提供模糊入侵检测引擎,缺点可测量性与性能都和模式数据库的大小和体系结构有关 可扩展性差通常不具备自学习能力,对新攻击的检测分析必须补充模式数据库攻击行为难以模式化,IDS引擎对比异常检测,优点符合数据的异常变化理论,适合事物的发展规律 检查算法比较普适化,对变量的
10、跟踪不需要大量的内存 有能力检测与响应某些新的攻击,缺点数据假设可能不合理,加权算法在统计意义上可能不准确 对突发性正常事件容易引起误判断 对长期、稳定的攻击方法灵敏度低,4.2 入侵检测分类与评估,实现方式分类基于主机的IDS(HIDS)安装在被重点检测的主机之上对该主机的网络实时连接以及系统审计日志进行智能分析和判断基于网络的IDS(NIDS)放置在比较重要的网段内不停地监视网段中的各种数据包。对每一个数据包或可疑的数据包进行特征分析,IDS实现方式HIDS,优点能够获得更详尽的信息误报率低。对分析“可能的攻击行为”非常有用适用于不需要广泛的入侵检测、或者传感器与控制台之间的通信带宽不足的
11、环境风险较少,缺点依赖于服务器的日志与监视功能,降低应用系统的效率,可能需要中断服务全面布署HIDS代价较大对入侵行为的分析的工作量将随着主机数目增加而增加 可能带来一些额外的安全问题,IDS实现方式NIDS,优点能够检测来自网络的攻击能够检测到超过授权的非法访问 易于安装,不影响业务系统的性能,因此风险小,缺点监测范围受网段的限制,全网段部署传感器会使成本大大增加数据量大使得NIDS很难检测一些需要大量计算和分析才能检测的攻击 传感器的分析能力的增强常伴随着协同能力的减弱 难以处理复杂协议,如:加密、高层协议,4.2 入侵检测分类与评估,技术路线分类基于统计分析的入侵检测技术基于神经网络的入
12、侵检测技术 基于专家系统的入侵检测技术基于模型推理的入侵检测技术,4.2 入侵检测分类与评估,技术路线分类基于统计分析的入侵检测技术 基于对用户历史行为进行统计,同时实时地检测用户对系统的使用情况,根据用户行为的概率模型与当前用户的行为进行比较,一但发现可疑的情况与行为,就跟踪、监测并记录,适当时采用一定的响应手段 有一定的自适应能力,稳定,但误警率高,4.2 入侵检测分类与评估,技术路线分类基于神经网络的入侵检测技术 将神经网络模型运用于入侵检测系统,可以解决基于统计数据的主观假设而导致的大量虚假警报问题,同时由于神经网络模型的自适应性,使得系统精简,成本较低但是不成熟,4.2 入侵检测分类
13、与评估,技术路线分类基于专家系统的入侵检测技术 根据专家对合法行为的分析经验来形成一套推理规则,然后在此基础上构成相应的专家系统,由此专家系统自动地进行攻击分析工作推理系统的效率较低,4.2 入侵检测分类与评估,技术路线分类基于模型推理的入侵检测技术 对已知入侵行为建立特定的模型,监视具有特定行为特征的活动,一但发现与模型匹配的用户行为,就通过相关信息证实或否定攻击的真实性又称为模式匹配,是应用较多的入侵检测方法,4.2 入侵检测分类与评估,评价标准准确性误警:IDS将用户正常的操作当作入侵行为,予以报警(1%10%)漏警:IDS将入侵行为当作用户正常的操作,不予报警(10%50%)处理性能完
14、备性容错性及时性,4.3 入侵检测产品概况,产品实施层次应用层操作系统层网络层,4.3 入侵检测产品概况,国外产品Cyber Cop IDS:NAI Realsecure:ISS Session_wall:Abirnet NetWare Flight Recorder:Anzen Internet Emergency Response Service:IBM Cisco Secure IDS:Cisco,4.3 入侵检测产品概况,国外产品Adaptive Intrusion Detection System:布兰登大学 Autonomous Agents For Intrusion Detec
15、tion:Purdue University IDES:SRI Wisdom and Sense:Los Alamos NSM:加里福利亚大学 Snort:Snort.org,4.3 入侵检测产品概况,国内产品RIDS-100:瑞星 曙光GodEye-HIDS:曙光信息产业(北京)天阗:启明星辰 天眼NPIDS:北京中科网威,5.一种新的网络安全技术,可信计算提出的背景可信计算的发展历程可信计算的核心思想可信网络互联体系可信网络的关键技术可信计算目前存在的问题,5.1可信计算提出的背景,信息化发展:业务系统复杂化,网络环境高速化网络业务激增,造成网络威胁增多,安全风险加大对网络性能和可靠性要求



- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 入侵 检测 可信 计算

链接地址:https://www.31ppt.com/p-6550453.html