入侵检测技术培训.ppt

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,IDS技术讲座,目录,需求背景,技术发展,产品分类,面临挑战,什么是入侵？,入侵是指一些人试图进入或者滥用你的系统。这里的滥用可以包括从严厉的偷窃机密数据到一些次要的事情：比如滥用你的电子邮件系统发垃圾邮件。,入侵者的分类,外部的:你网络外面的侵入者，或者可能攻击你的外部存在。外部的侵入者可能来自Internet,拨号线,物理介入,或者从同你网络连接的伙伴网络,内部的:合法使用你的互连网络的侵入者。包括滥用权力的人和模仿更改权力的人。,防火墙,两个安全域之间通信流的唯一通道,安全域1,Host A,Host B,安全域2,Host C,Host D,UDP,Block,Host C,Host B,TCP,Pass,Host C,Host A,Destination,Protocol,Permit,Source,根据访问控制规则决定进出网络的行为,一种高级访问控制设备，置于不同,网络安全域,之间的一系列部件的组合，它是不同网络安全域间通信流的,唯一通道,，能根据企业有关的安全政策,控制,（允许、拒绝、监视、记录）进出网络的访问行为。,绕过防火墙的攻击,穿过防火墙的攻击行为,其它问题,入侵者如何进入系统？,物理侵入:如果一个侵入者对主机有物理进入权限。(比如他们能使用键盘或者参与系统),应该可以进入方法包括控制台特权一直到物理参与系统并且移走磁盘(在另外的机器读/写)。甚至BIOS保护也很容易穿过的:事实上所有的BIOS都有后门口令。,入侵者如何进入系统？,系统侵入:这类侵入表现为侵入者已经拥有在系统用户的较低权限。如果系统没有打最新的漏洞补丁，就会给侵入者提供一个利用知名漏洞获得系统管理员权限的机会。,如未打过补丁的IIS发布系统，会存在UNICODE漏洞，可能会使得入侵者远程访问系统文件。IP/scrtpts/.%c1%1c./winnt/system32/cmd.exe?/c+dir,入侵者如何进入系统？,远程侵入:这类入侵指入侵者通过网络远程进入系统。侵入者从无特权开始这种侵入方式包括多种形式。比如如果在他/她和受害主机之间有防火墙存在，侵入就要复杂得多。,这类入侵通常是很漫长的，从系统扫描开始，获得较低的权限，然后通过先验经验获得更高的权限。,为什么会有入侵,？,软件总是存在bug。系统管理员和开发人员永远无法发现和解决所有的可能漏洞。侵入者只要发现一个漏洞就可以入侵系统。,有证据表明每一千行代码中就会存在五至十五个BUG！,缓冲区溢出,缓冲区溢出：大部分的安全漏洞都属于这类。攻击者通过发送精心构造的超过堆栈最大容量的数据，跳转执行自己想要的代码。,如IIS发布系统中的ida/idq以及.printf溢出漏洞，攻击者很容易利用工具获得系统的root权限。,意外结合意外结合:程序通常被组合成很多层代码。侵入者常可以发送一些对于一层无意义的输入,却对其他层有意义。,在“|mail 1024 bytes means,possible buffer overflow,例子（续）,线性匹配,树型匹配,O(N),O(logN),N,是规则数,规则数,时间,随着规则数的增大，树型匹配的消耗时间的增长速度远远低于线性匹配,模式匹配,模式匹配面临的问题：,计算的负载：对于满负载的100Mbps以太网，需要 的计算量将是：攻击特征字节数数据包字节数每秒的数据包数数据库的攻击特征数。,探测准确性：模式匹配/特征搜索技术使用固定的特征模式来探测攻击，只能探测出明确的、唯一的攻击特征，即便是基于最轻微变换的攻击串都会被忽略,模式匹配,优点：,只需收集相关的数据集合，显著减少系统负担,技术已相当成熟,检测准确率和效率都相当高,缺点：,计算负荷大,检测准确率低,没有理解能力：,协议分析,协议分析充分利用了网络协议的高度有序性，使用这些知识快速检测某个攻击特征的存在,因为系统在每一层上都沿着协议栈向上解码，因此可以使用所有当前已知的协议信息，来排除所有不属于这一个协议结构的攻击。,典型例子,第一步直接跳到第13个字节，并读取2个字节的协议标识。如果值是0800，则说明这个以太网帧的数据域携带的是IP包，基于协议解码的入侵检测利用这一信息指示第二步的检测工作。,第二步跳到第24个字节处读取1字节的第四层协议标识。如果读取到的值是06，则说明这个IP帧的数据域携带的是TCP包，入侵检测利用这一信息指示第三步的检测工作。,第三步跳到第35个字节处读取一对端口号。如果有一个端口号是0080，则说明这个TCP帧的数据域携带的是HTTP包，基于协议解码的入侵检测利用这一信息指示第四步的检测工作。,第四步让解析器从第55个字节开始读取URL。,URL串将被提交给HTTP解析器，在它被允许提交给Web服务器前，由HTTP解析器来分析它是否可能会做攻击行为。,面临挑战,IDS面临的挑战,漏报率高、误报率高；,管理困难、不方便；,性能不能满足需要；,发展方向,更有效的集成各种入侵检测数据源，包括从不同的系统和不同的传感器上采集的数据，提高报警准确率；,在事件诊断中结合人工分析；,提高对恶意代码的检测能力，包括email攻击，Java，ActiveX等；,采用一定的方法和策略来增强异种系统的互操作性和数据一 致性；,研制可靠的测试和评估标准；,提供科学的漏洞分类方法，尤其注重从攻击客体而不是攻击主体的观点出发；,提供对更高级的攻击行为如分布式攻击、拒绝服务攻击等的检测手段,