- 相關(guān)推薦
安防及入侵檢測·什么是IDS入侵檢測
IDS是英文“Intrusion Detection Systems”的縮寫，中文意思是“入侵檢測系統(tǒng)”。專業(yè)上講就是依照一定的安全策略，對網(wǎng)絡(luò)、系統(tǒng)的運行狀況進行監(jiān)視，盡可能發(fā)現(xiàn)各種攻擊企圖、攻擊行為或者攻擊結(jié)果，以保證網(wǎng)絡(luò)系統(tǒng)資源的機密性、完整性和可用性。
我們做一個形象的比喻：假如防火墻是一幢大樓的門鎖，那么IDS就是這幢大樓里的監(jiān)視系統(tǒng)。一旦小偷爬窗進入大樓，或內(nèi)部人員有越界行為，只有實時監(jiān)視系統(tǒng)才能發(fā)現(xiàn)情況并發(fā)出警告。
在本質(zhì)上，入侵檢測系統(tǒng)是一個典型的"窺探設(shè)備"。它不跨接多個物理網(wǎng)段（通常只有一個監(jiān)聽端口），無須轉(zhuǎn)發(fā)任何流量，而只需要在網(wǎng)絡(luò)上被動的、無聲息的收集它所關(guān)心的報文即可。對收集來的報文，入侵檢測系統(tǒng)提取相應(yīng)的流量統(tǒng)計特征值，并利用內(nèi)置的入侵知識庫，與這些流量特征進行智能分析比較匹配。根據(jù)預(yù)設(shè)的閥值，匹配耦合度較高的報文流量將被認為是進攻，入侵檢測系統(tǒng)將根據(jù)相應(yīng)的配置進行報警或進行有限度的反擊。入侵檢測系統(tǒng)的原理模型如圖所示。
入侵檢測系統(tǒng)通過監(jiān)聽獲得網(wǎng)絡(luò)連路上流量的拷貝
入侵檢測系統(tǒng)的工作流程大致分為以下幾個步驟：
（1）信息收集 入侵檢測的第一步是信息收集，內(nèi)容包括網(wǎng)絡(luò)流量的內(nèi)容、用戶連接活動的狀態(tài)和行為。
（2）信號分析 對上述收集到的信息，一般通過三種技術(shù)手段進行分析：模式匹配，統(tǒng)計分析和完整性分析。其中前兩種方法用于實時的入侵檢測，而完整性分析則用于事后分析。
具體的技術(shù)形式如下所述：
模式匹配
模式匹配就是將收集到的信息與已知的網(wǎng)絡(luò)入侵和系統(tǒng)誤用模式數(shù)據(jù)庫進行比較，從而發(fā)現(xiàn)違背安全策略的行為。該過程可以很簡單（如通過字符串匹配以尋找一個簡單的條目或指令），也可以很復(fù)雜（如利用正規(guī)的數(shù)學(xué)表達式來表示安全狀態(tài)的變化）。一般來講，一種進攻模式可以用一個過程（如執(zhí)行一條指令）或一個輸出（如獲得權(quán)限）來表示。該方法的一大優(yōu)點是只需收集相關(guān)的數(shù)據(jù)集合，顯著減少系統(tǒng)負擔(dān)，且技術(shù)已相當(dāng)成熟。它與病毒防火墻采用的方法一樣，檢測準(zhǔn)確率和效率都相當(dāng)高。但是，該方法存在的弱點是需要不斷的升級以對付不斷出現(xiàn)的黑客攻擊手法，不能檢測到從未出現(xiàn)過的黑客攻擊手段。
統(tǒng)計分析
分析方法首先給信息對象（如用戶、連接、文件、目錄和設(shè)備等）創(chuàng)建一個統(tǒng)計描述，統(tǒng)計正常使用時的一些測量屬性（如訪問次數(shù)、操作失敗次數(shù)和延時等）。測量屬性的平均值將被用來與網(wǎng)絡(luò)、系統(tǒng)的行為進行比較，任何觀察值在正常偏差之外時，就認為有入侵發(fā)生。例如，統(tǒng)計分析可能標(biāo)識一個不正常行為，因為它發(fā)現(xiàn)一個在晚八點至早六點不登錄的帳戶卻在凌晨兩點試圖登錄。其優(yōu)點是可檢測到未知的入侵和更為復(fù)雜的入侵，缺點是誤報、漏報率高，且不適應(yīng)用戶正常行為的突然改變。具體的統(tǒng)計分析方法如基于專家系統(tǒng)的、基于模型推理的和基于神經(jīng)網(wǎng)絡(luò)的分析方法，目前正處于研究熱點和迅速發(fā)展之中。
完整性分析
完整性分析主要關(guān)注某個文件或?qū)ο笫欠癖桓�，包括文件和目錄的�?nèi)容及屬性，它在發(fā)現(xiàn)被更改的、被特絡(luò)伊化的應(yīng)用程序方面特別有效。完整性分析利用強有力的加密機制，稱為消息摘要函數(shù)（例如MD5），能識別及其微小的變化。其優(yōu)點是不管模式匹配方法和統(tǒng)計分析方法能否發(fā)現(xiàn)入侵，只要是成功的攻擊導(dǎo)致了文件或其它對象的任何改變，它都能夠發(fā)現(xiàn)。缺點是一般以批處理方式實現(xiàn)，不用于實時響應(yīng)。這種方式主要應(yīng)用于基于主機的入侵檢測系統(tǒng)（HIDS）。
（3）實時記錄、報警或有限度反擊
IDS根本的任務(wù)是要對入侵行為做出適當(dāng)?shù)姆磻?yīng)，這些反應(yīng)包括詳細日志記錄、實時報警和有限度的反擊攻擊源。
經(jīng)典的入侵檢測系統(tǒng)的部署方式如圖所示：
【安防及入侵檢測·什么是IDS入侵檢測】相關(guān)文章：
遠古入侵作文11-27
生物入侵者教案11-22
生物入侵者的教案02-05
《生物入侵者》教案03-15
生物入侵教學(xué)反思（精選5篇）01-13
生物入侵者教學(xué)反思04-09
《生物入侵者》教學(xué)反思04-09
核酸檢測入戶檢測事跡（通用10篇）11-15