网络安全概论——入侵检测系统IDS

一、入侵检测的概念

1、入侵检测的概念

  • 检测对计算机系统的非授权访问
  • 对系统的运行状态进行监视,发现各种攻击企图、攻击行为或攻击结果,以保证系统资源的保密性、完整性和可用性
  • 识别针对计算机系统和网络系统或广义上的信息系统的非法攻击,包括检测外部非法入侵者的恶意攻击或探测,以及内部合法用户越权使用系统资源的非法行为。

所有能够执行入侵检测任务和实现入侵检测功能的系统都可称为入侵检测系统(IDS Intrusion Detection System)

入侵检测系统 IDS,它从计算机网络系统中的若干关键点收集信息,并分析这些信息,检查网络中是否有违反安全策略的行为和遭到袭击的迹象。入侵检测被认为是防火墙之后的第二道安全闸门。能在不影响网络性能的情况下对网络进行监测,从而提供对内部攻击、外部攻击和误操作的实时保护,这些都通过它执行以下任务来实现:

  • 监视、分析用户及系统的活动
  • 系统构造和弱点的审计
  • 识别反映已知攻击的活动模式并向相关人员报警
  • 异常行为模式的统计分析
  • 评估重要系统和数据文件的完整性
  • 操作系统的审计跟踪管理,并识别用户违反安全策略的行为

2、IDS系统模型的四个部分

  1. 数据收集器
  2. 检测器
  3. 知识库
  4. 控制器

3、IDS的任务

  1. 信息收集
  2. 信息分析:模式匹配(与已知网络入侵数据库比较,误报率低,但只能发现已知攻击),统计分析(观察值与正常值比较)、完整性分析(检查某个文件是否被修改)
  3. 安全响应:主动响应(系统本身自动执行,采取终止连接,修正系统环境),被动响应(发出告警信息和通知)

4、IDS的评价标准

  1. 性能检测
  2. 功能测试
  3. 用户可用性测试

二、入侵检测原理及主要方法

IDS通常使用两种基本的分析方法来分析事件、检测入侵行为,即异常检测(Anomaly Detection)误用检测(Misuse Detection)

1、异常检测

假定所有入侵行为都是与正常行为不同的,如果建立系统正常行为轨迹,那么理论上可以通过统计那些不同于我们已建立的特征文件的所有系统状态的数量来识别入侵企图,把所有与正常轨迹不同的系统状态视为可疑企图。

2、误用检测(基于知识的检测技术)

假定所有入侵行为和手段(及其变种)都能够表达为一种模式或特征,那么所有已知的入侵方法都可以用匹配方法发现。因为很大一部分的入侵是利用了系统的脆弱性,通过分析入侵过程的特征、条件、排列以及事件间关系能具体描述入侵行为的迹象。

误用检测系统的关键问题是如何从已知入侵中提取金和编写特征,使得其能够覆盖该入侵的所有可能的变种,而同时不会匹配到非法入侵活动(把真正入侵与正常行为区分开来)

三、IDS的结构与分类

1、IDS的功能

IDS至少包含事件提取入侵分析入侵响应远程管理四部分功能。

2、IDS的分类

按照数据来源分类:

①、基于网络的入侵检测系统(NIDS):数据来自于网络的数据流。

优缺点:侦测速度快,不容易受到攻击,对主机资源消耗少,//来自服务器本身的攻击不经过网络,误报率高

关键技术:蜜罐技术

工作原理:将入侵检测系统的产品放在比较重要的网段,如果数据包与产品内置的规则吻合就发出警报甚至直接切断连接

②、基于主机的入侵检测系统(HIDS):数据来自于审计记录和系统日志。

优缺点:不同操作系统捕获应用层入侵,误报少,//依赖与主机及其子系统,实时性差

工作原理:扫描操作系统和应用程序日志文件,查看敏感文件是否被篡改,检验进出主机的网络传输流,发现攻击。

监视用户和访问文件的活动

监视主要系统文件和可执行文件的改变

监视只有管理员才能实施的异常行为

③、分布式入侵检测系统(DIDS):数据来自于系统审计记录和网络的数据流。

克服了单一HIDS、NIDS的不足。

HIDS常安装于被保护的主机上,而NIDS常安装于网络入口处

按照入侵检测策略分类:

①、滥用检测

优缺点:只收集相关数据集合,减少系统负担,//需要不断升级

原理:将收集到的信息与已知网络入侵和数据库比对

②、异常检测

优缺点:可检测到未知的入侵和更复杂的入侵//误报,漏报率高,且不适用于用户正常行为的突然改变

原理:统计正常使用的测量属性,若观察值超过正常范围,则认为有入侵发生

③、完整性分析

优缺点:只要攻击导致某个文件的改变就可以被发现,//一般以批处理方式不容易实时响应。

原理:关注某个文件是否被修改

3、DIDS构件

数据采集构件、通信传输构件、入侵检测分析构件、应急处理构件、用户管理构件

4、IDS控制台

控制台的设计重点是

  • 日志检索
  • 探测器管理
  • 规则管理
  • 日志报表
  • 用户管理

5、蜜罐技术

现代的IDS采用了蜜罐(Honeypot)技术的新思想。蜜罐是一个吸引潜在攻击者的陷阱,它的作用是:

把潜在入侵者的注意力从关键系统移开;

收集入侵者的动作信息

设法让攻击者停留一段时间,使管理员能检测到它并采取相应的措施。

潜在入侵者的信息可以通过检查蜜罐日志来获得

四、IDS的发展方向

  1. 宽带高速实时检测技术
  2. 大规模分布式的检测技术
  3. 数据挖掘技术
  4. 更先进的检测算法
  5. 入侵响应技术

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.mzph.cn/bicheng/64703.shtml

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

登山第十六梯:深度恢复——解决机器人近视问题

文章目录 一 摘要 二 资源 三 内容 一 摘要 深度感知是基于 3D 视觉的机器人技术的一个重要问题。然而,现实世界的主动立体或 ToF 深度相机经常会产生嘈杂且深度不完整,从而成为机器人性能的瓶颈。在这项工作中,提出了 一个基于学习的立体…

【NLP】序列到序列(seq2seq)建模工具fairseq使用详解

文章目录 一、fairseq简介二、安装方式2.1 pip安装2.2 源码安装 三、fairseq命令工具3.1 fairseq-preprocess3.2 fairseq-train3.3 fairseq-generate3.4 fairseq-interactivate3.5 fairseq-score3.6 fairseq-eval-lm 4. 常见报错报错1 参考资料 一、fairseq简介 fairseq 是 Fa…

108. 将有序数组转换为二叉搜索树(java)

题目描述: 给你一个整数数组 nums ,其中元素已经按 升序 排列,请你将其转换为一棵 平衡 二叉搜索树。 示例 1: 输入:nums [-10,-3,0,5,9] 输出:[0,-3,9,-10,null,5] 解释:[0,-10,5,null,-3,…

flink集群搭建 详细教程

一、环境准备 1、准备三台服务器 三台服务器ip 115.120.227.194 jobmanger 123.60.154.232 taskmanger 36.111.173.249 taskmanger 2、给三台主机分别配置主机名 #第一台机器 hostnamectl set-hostname hadoop01#第二台机器 hostnamectl set-hostname hadoop02#第三台…

C# opencvsharp 流程化-脚本化-(2)ROI

ROI ROI也是经常需要使用的方法。特别是在图像编辑中。ROI又称感兴趣的区域,但是图像是矩阵是矩形的,感兴趣的是乱八七糟的,所以还有一个Mask需要了解一下的。 public class RoiStep : IImageProcessingStep{public ImageProcessingStepType…

修改vscode设置的原理

转载请标明出处:小帆的帆的专栏 修改vscode设置 首先需要理解的是,vscode的系统设置和插件设置都是通过settings.json文件管理的。 vscode中有三个Settings,三个Settings分别对应三个settings.json文件 Default Settings:默认…

【我的 PWN 学习手札】IO_FILE 之 stdin任意地址写

我们知道,stdin会往“缓冲区”先读入数据,如果我们劫持这个所谓“缓冲区”到其他地址呢?是否可以读入数据到任意地址?答案是肯定的。 注意!代码中的“-------”分隔,是为了区分一条调用链上不同代码片段&am…

用C#(.NET8)开发一个NTP(SNTP)服务

完整源码,附工程下载,工程其实也就下面两个代码。 想在不能上网的服务器局域网中部署一个时间服务NTP,当然系统自带该服务,可以开启,本文只是分享一下该协议报文和能跑的源码。网上作为服务的源码不太常见,…

【UE5 C++课程系列笔记】09——多播委托的基本使用

目录 多播委托——申明委托 一、DECLARE_MULTICAST_DELEGATE 二、DECLARE_DYNAMIC_MULTICAST_DELEGATE 多播委托——绑定委托 一、Add 二、AddStatic 三、AddRaw 四、AddSP 五、AddUObject 六、Remove 七、RemoveAll 多播委托——执行 载荷数据 上一篇:…

Python 写个 《系统信息采集工具》为重装系统做准备。。。

图样: 原码: # 系统信息采集工具 # 2024-12-18 # 作者:Hoye # 版本:1.0 # 功能:采集系统信息并保存到文件 # 使用方法: # 1. 运行程序 # 2. 点击“采集系统信息”按钮 # 3. 等待信息采集完成 # 4. 选择保存…

Ubuntu搭建ES8集群+加密通讯+https访问

目录 写在前面 一、前期准备 1. 创建用户和用户组 2. 修改limits.conf文件 3. 关闭操作系统swap功能 4. 调整mmap上限 二、安装ES 1.下载ES 2.配置集群间安全访问证书密钥 3.配置elasticsearch.yml 4.修改jvm.options 5.启动ES服务 6.修改密码 7.启用外部ht…

【Linux】磁盘空间莫名消失,找不到具体原因的思路

磁盘空间莫名消失,找不到具体原因的思路 先说下常见的几种原因: 1、删除的文件未释放空间 2、日志或过期文件未及时清理 3、inode导致 4、隐藏文件夹或者目录 6、磁盘碎片 最后一种单独介绍。 环境:情况是根分区(/&#xf…

机动车油耗计算API集成指南

机动车油耗计算API集成指南 引言 在当今社会,随着机动车数量的持续增长和环保意识的不断增强,如何有效管理和降低车辆油耗成为了车主、车队管理者以及交通政策制定者共同关注的问题。为了帮助这些群体更好地理解和优化燃油消耗情况,本接口能…

Fiddle突然抓不到虚拟机的地址

Fiddle不抓虚拟机的地址了 查看是否更换了ip地址,我是因为换了网络 更换正确的ip地址

C语言基础(五)【控制语句与循环综合应用篇猜数字游戏】

文章目录 前言一、实现一个猜数字游戏二、游戏实现的步骤1. 随机数生成1.1 rand1.2 srand1.3 time1.4 设置随机数的范围 2. 菜单函数的实现 3. 游戏函数的实现 二、猜数字游戏的实现1. 不限制次数 2. 限制次数为 5 总结 前言 学习过前面有关控制语句跟循环的相关知识&#xf…

javac 编译java文件源码 怎么生成 ast语法树 步骤详解

在 javac 中,编译源代码并生成抽象语法树(AST)是一个多步骤的过程,涉及从源码解析到最终生成字节码。以下是详细步骤,描述了如何使用 javac 编译源码并生成 AST。 1. 准备源文件 javac 首先需要源文件。这些源文件是…

手游和应用出海资讯:怪物猎人AR手游累计总收入已超过2.5亿美元、SuperPlay获得迪士尼纸牌游戏发行许可

NetMarvel帮助游戏和应用广告主洞察全球市场、获取行业信息,以下为12月第一周资讯: ● 怪物猎人AR手游累计总收入已超过 2.5 亿美元 ● SuperPlay获得迪士尼纸牌游戏发行许可 ● 腾讯混元大模型上线文生视频能力 ● 网易天下事业部一拆三,蛋仔…

酷克数据携手江西移动入选“星河(Galaxy)”数据库潜力案例

2024 年 12 月 18 - 19 日,为推动打造行业交流平台,驱动产业创新共荣,大数据技术标准推进委员会以“数据重塑价值 智能链接未来”为主题,在北京召开为期两天的“2024 数据资产管理大会”。 在会上,第八届大数据“星河&…

Mysql语法之DQL查询的多行函数

Mysql的多行函数和分组 目录 Mysql的多行函数和分组多行函数概念常用的多行函数 数据分组概念语法where和having的区别 语句关键字及执行顺序语句关键字执行顺序 实际操作基本语句格式和多行操作筛选语句格式 多行函数 概念 不管函数处理多少条,只返回一条记录&…

Ubuntu22.04上安装esp-idf

一、安装准备# 建议使用Ubuntu 20.04 或 Ubuntu 22.04 操作系统 为了在 Ubuntu 22.04 中使用 esp-idf,需要安装一些依赖包 sudo apt-get install git wget flex bison gperf python3\python3-pip python3-venv cmake ninja-build ccache\libffi-dev libssl-dev dfu…