设备安全——入侵检测IDS

news/2024/11/26 7:39:43/

目录

  • 1. 什么是IDS?
  • 2. IDS和防火墙有什么不同?
    • 2.1 检测与监测
    • 2.2 设备所处点不同
    • 2.3 作用点不同
    • 2.4 动作不同
  • 3. IDS工作原理?
    • 3.1、IDS分为实时入侵检测和事后入侵检测:
    • 3.2、入侵检测分类:
    • 3.3、入侵检测技术途径:
  • 4. IDS的主要检测方法有哪些详细说明?
    • 4.1 异常检测模型 (Anomaly Detection)
    • 4.2 误用检测模型(misuse detection)
  • 5. IDS的部署方式有哪些?
  • 6. IDS的签名是什么意思?签名过滤器有什么作用?例外签名配置作用是什么?
    • 6.1 IDS的签名
    • 6.2 签名过滤器作用
    • 6.3外签名配置作用

1. 什么是IDS?

IDS(入侵检测系统):对系统的运行状态进行监视,发现各种攻击企图、攻击行为、攻击结果。用于保证系统资源的安全(机密性、完整性、可用性)

设备本身(IDS系统)是一个软件与硬件的组合系统。

IDS的作用:实时监测

经典检测模型
通用的入侵检测系统抽象模型
● 主体(subject)
● 对象(object)
● 审计记录(audit record)
● 活动档案(profiles)
● 异常记录(anomoly records)
● 活动规则(activity rules)

入侵检测经典理论
系统访问控制要面对三类用户
● 合法用户
● 伪装–攻破【流程控制】
1、身份仿冒(可能是最早提出不能依赖于身份认证,还要坚强行为为监控以防
● 秘密用户
1、后门

2. IDS和防火墙有什么不同?

2.1 检测与监测

防火墙一般是一次性检查:检测系统

检测:一次性检查

IDS系统:实时监测系统

监测:长时间的检测

防火墙主要是对外防御,这是针对攻击的被动防御,主要目的是保护内网用户
IDS主要是对内部的检测,IDS会主动寻找潜在的攻击者,主要是发现入侵行为

2.2 设备所处点不同

防火墙是在内网和外网之间的一道防御系统
IDS是一个旁路监听设备,没有也不需要跨接在任何链路上,无需流量流经过也能进行工作

2.3 作用点不同

通过了防火墙的数据防火墙就不能进行其他操作
入侵检测(IDS) 是防火墙的有力补充,形成防御闭环,可以及时、正确、全面的发现入侵,弥补防火墙对应用层检测的缺失

2.4 动作不同

防火墙可以允许内部的一部分主机被外部访问
IDS只有监视和分析用户和系统的活动、行为

3. IDS工作原理?

3.1、IDS分为实时入侵检测和事后入侵检测:

1 实时入侵检测:在网络连接过程中进行,发现入侵迹象立即断开当前连接,并收集证据和实施数据恢复。

2 事后入侵检测:由安全人员进行检测。

3.2、入侵检测分类:

1 基于网络:通过连接在网络的站点捕获数据包,分析是否具有已知攻击模式。

2 基于主机:通过分析系统审计数据来发现可疑活动,比如内存和文件的变化;输入数据只要来源于系统日志。

3.3、入侵检测技术途径:

1 信息收集:系统日志、目录以及文件的异常改变、程序执行中的异常行为、物理形式的入侵信息。

2 数据分析:

4. IDS的主要检测方法有哪些详细说明?

4.1 异常检测模型 (Anomaly Detection)

首先总结正常操作应该具有的特征(用户轮廓),当用户活动与正常行为有重大偏离时即被认为是入侵。
优点
● 不需要专门的操作系统缺陷特征库
● 有效检测对合法用户的冒充检测
缺点
● 建立正常的行为为轮廓和确定异常行为轮廓的阀值困难
● 不是所有的入侵行为都会产生明显的异常
误用检测

4.2 误用检测模型(misuse detection)

收集非正常操作的行为特征,建立相关的特征库,当检测的用户或系统行为与库中的记录相匹配时,系统就认为这种行为是入侵,误用检测模型也称为特征检测(Signature-based detection)。
优点
● 可检测所有已知入侵行为。
● 能够明确入侵行为并提升防范方法
缺点
● 缺乏对未知入侵行为的检测
● 对内部人员的越权行为无法进行检测

5. IDS的部署方式有哪些?

在这里插入图片描述

旁挂:需要在部署旁挂设备上使用端口镜像的功能,把需要采集的端口流量镜像带IDS旁挂口。也可以使用集线器、分光器实现流量复制。【即使是IPS也会有旁挂】

部署方式有:
1、共享和交换模式:在交换机或HUB设备上做端口镜像
2、隐蔽模式:将探测器的探测口IP去除,IDS将对外不可见
3、Tap模式:双向监听全双工以太网中网络通信信息,捕捉网络中所有能力,记录完整的状态信息与防火墙联动发送reset包
4、In-line模式:将IDS串联在通信接口上,位于交换机和路由器之间,该情况下可以将威胁通信包丢弃,实时阻断网络攻击
5、混合模式:通过监听所有连接到防火墙的网段,全面了解网络状态

6. IDS的签名是什么意思?签名过滤器有什么作用?例外签名配置作用是什么?

6.1 IDS的签名

IDS的签名是用来描述网络入侵行为的特征,通过比较报文特征和签名来检测入侵行为。

IPS特征库中包含了针对各种攻击行为的海量签名信息,但是在实际网络环境中,业务类型可能比较简单,不需要使用所有的签名,大量无用的签名也容易影响对常用签名的调测。此时我们可以使用签名过滤器将常用的签名过滤出来。

6.2 签名过滤器作用

签名过滤器是若干签名的集合,我们根据特定的条件如严重性、协议、威胁类型等,将IPS特征库中适用于当前业务的签名筛选到签名过滤器中,后续就可以重点关注这些签名的防御效果。通常情况下,对于筛选出来的这些签名,在签名过滤器中会沿用签名本身的缺省动作。特殊情况下,我们也可以在签名过滤器中为这些签名统一设置新的动作,操作非常便捷。
签名过滤器的动作分为:
1、阻断:丢弃命中签名的报文,并记录日志。
2、告警:对命中签名的报文放行,但记录日志。
3、采用签名的缺省动作,实际动作以签名的缺省动作为准。
签名过滤器的动作优先级高于签名缺省动作,当签名过滤器动作不采用缺省动作时以签名过滤器中的动作为准。

6.3外签名配置作用

由于签名过滤器会批量过滤出签名,且通常为了方便管理会设置为统一的动作。如果管理员需要将某些签名设置为与过滤器不同的动作时,可将这些签名引入到例外签名中,并单独配置动作。
例外签名的动作分为:
1、阻断:丢弃命中签名的报文并记录日志。
2、告警:对命中签名的报文放行,但记录日志。
3、放行:对命中签名的报文放行,且不记录日志。添加黑名单:是指丢弃命中签名的报文,阻断报文所在的数据流,记录日志,并可将报文的源地址或目的地址添加至黑名单。


http://www.ppmy.cn/news/355878.html

相关文章

入侵检测

入侵者 入侵者分为三类: 假冒者:指未经授权就使用计算机和穿透系统的访问控制机制而冒用合法账户的人。违法者:指访问未经授权的程序,数据或资源的合法用户。秘密用户:获得了系统的超级控制权,并利用超级控…

入侵检测技术

入侵检测 入侵检测可以被定义为对计算机和网络系统资源的恶意使用行为进行识别和相应处理的技术。 恶意行为包括系统外部的入侵和内部用户的非授权行为。入侵检测是为保证计算机系统的安全而设计与配置的、一种能够及时发现并报告系统中未授权或异常现象的技术,是…

Android系统Handler详解

目录 一,背景介绍 1.1 简介 1.2 核心概念 1.3 Handler 背后的生产者-消费者模型 二,Handler机制原理 2.1 消息模型 2.2 Handler原理概述 2.3 Handler与管道通信 三,实战 3.1 创建 Handler 3.2 子线程向主线程 3.3 主线程向子线程…

入侵检测系统(IDS)简介

文章目录 一、入侵检测系统(IDS)简介二、入侵检测系统的组成参考链接 一、入侵检测系统(IDS)简介 入侵检测系统(intrusion detection system,简称“IDS”)是一种对 网络传输 进行即时监视&…

综述类_网络入侵检测技术综述

文章目录 网络入侵检测技术综述大纲一、入侵检测系统分类1.基于数据来源划分2.基于检测技术划分 二、基于传统机器学习的入侵检测1.入侵数据处理2.监督机器学习技术3.无监督机器学习技术4.小结 三、基于深度学习的入侵检测1.生成方法2.判别方法3.生成对抗网络4.小结 四、基于强…

RK3588平台开发系列讲解(以太网篇)PHY驱动

文章目录 一、PHY驱动初始化二、PHY 配置初始化三、PHY 的扫描四、PHY 的STATUS状态读取五、PHY的RESET 复位六、PHY 的注册phy_device_register七、PHY 的状态变化沉淀、分享、成长,让自己和他人都能有所收获!😄 一、PHY驱动初始化 完成了mdio总线的注册,以及对不一样厂家…

【如何正确处理工作中的错误?】

在工作中,失误是不可避免的。无论你多么仔细地完成任务,都有可能会发生意外的错误。但是,关键在于如何处理这些失误,以便从中吸取教训并避免再次犯错。 当出现失误时,请不要惊慌失措。保持冷静,收集所有相…

【哈佛积极心理学笔记】第5讲 环境的力量

第5讲 环境的力量 dissemination 传播 To be a practical idealist: Premise 5: happiness is important, it also ought to be important. Aristotle’s law of identity, A is A. Negative emotion: -> narrow & constricts -> sad -> n&c Positive emo…