入侵檢測安全解決方案

1、入侵檢測安全解決方案摘要：隨著互聯(lián)網(wǎng)技術(shù)的飛速發(fā)展，網(wǎng)絡(luò)安全逐漸成為一個潛在的巨大問題。但是長久以來，人們普遍關(guān)注的只是網(wǎng)絡(luò)中信息傳遞的正確與否、速度怎樣，而忽視了信息的安全問題，結(jié)果導(dǎo)致大量連接到Internet上的計算機暴露在愈來愈頻繁的攻擊中。因此，保證計算機系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)以及整個信息基礎(chǔ)設(shè)施的安全已經(jīng)成為刻不容緩的重要課題。本文先介紹入侵檢測的概念和基本模型，然后按不同的類別分別介紹其技術(shù)特點。關(guān)鍵詞：網(wǎng)絡(luò)安全、入侵檢測、入侵檢測系統(tǒng)、蠕蟲、入侵檢測系統(tǒng)的發(fā)展引言：隨著Internet的迅速擴張和電子商務(wù)的興起，越來越多的企業(yè)以及政府部門依靠網(wǎng)絡(luò)傳遞信息。然而網(wǎng)絡(luò)的開放性與共享性使它很

2、容易受到外界的攻擊與破壞,信息的安全保密性受到了嚴(yán)重影響。與此同時，網(wǎng)上黑客的攻擊活動也逐漸猖狂。人們發(fā)現(xiàn)保護資源和數(shù)據(jù)的安全，讓其免受來自惡意入侵者的威脅是件非常重要的事。因此，保證計算機系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)以及整個信息基礎(chǔ)設(shè)施的安全已經(jīng)成為刻不容緩的重要課題，入侵檢測技術(shù)隨即產(chǎn)生。正文：該網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)分析從網(wǎng)絡(luò)拓?fù)鋱D可以看出，該網(wǎng)絡(luò)分為辦公局域網(wǎng)、服務(wù)器網(wǎng)絡(luò)和外網(wǎng)服務(wù)器，通過防火墻與互聯(lián)網(wǎng)連接。在辦公局域網(wǎng)中有一個交換機和一些客戶機。對于辦公局域網(wǎng)絡(luò)，每臺計算機處于平等的位置，兩者之間的通信不用經(jīng)過別的節(jié)點，它們處于競爭和共享的總線結(jié)構(gòu)中。這種網(wǎng)絡(luò)適用于規(guī)模不大的小型網(wǎng)絡(luò)當(dāng)中，管理簡單方便，安

3、全控制要求不高的場合。在服務(wù)器網(wǎng)絡(luò)中，有目錄服務(wù)器、郵件服務(wù)器等通過核心交換機，在經(jīng)過防火墻與外網(wǎng)服務(wù)器相連，在通過外網(wǎng)防火墻與互聯(lián)網(wǎng)相連。網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)安全性考慮 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)與網(wǎng)絡(luò)的安全性關(guān)系很大，如果設(shè)備再好，結(jié)構(gòu)設(shè)計有問題，比如拓?fù)浣Y(jié)構(gòu)不合理，使防火墻旋轉(zhuǎn)放置在網(wǎng)絡(luò)內(nèi)部，而不是網(wǎng)絡(luò)與外部的出口處，這樣整個網(wǎng)絡(luò)就不能抵擋外部的入侵了。設(shè)計好網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)，也就是使其進出口減少了收縮，把防御設(shè)備放置到網(wǎng)絡(luò)的出入口，特別是防火墻和路由器，一定要放置在網(wǎng)絡(luò)的邊緣上，且是每個出入口均要有。內(nèi)網(wǎng)防火墻是一類防范措施的總稱，它使得內(nèi)部網(wǎng)絡(luò)與Internet之間或者與其他外部網(wǎng)絡(luò)互相隔離、限制網(wǎng)絡(luò)互訪用

4、來保護內(nèi)部網(wǎng)絡(luò)。防火墻簡單的可以只用路由器實現(xiàn)，復(fù)雜的可以用主機甚至一個子網(wǎng)來實現(xiàn)。設(shè)置防火墻目的都是為了在內(nèi)部網(wǎng)與外部網(wǎng)之間設(shè)立唯一的通道，簡化網(wǎng)絡(luò)的安全管理。 防火墻的功能有： 1、過濾掉不安全服務(wù)和非法用戶 2、控制對特殊站點的訪問 3、提供監(jiān)視Internet安全和預(yù)警的方便端點由于互連網(wǎng)的開放性，有許多防范功能的防火墻也有一些防范不到的地方： 1、防火墻不能防范不經(jīng)由防火墻的攻擊。例如，如果允許從受保護網(wǎng)內(nèi)部不受限制的向外撥號，一些用戶可以形成與Internet的直接的連接，從而繞過防火墻，造成一個潛在的后門攻擊渠道。 2、防火墻不能防止感染了病毒的軟件或文件的傳輸。這只能在每臺主機

5、上裝反病毒軟件。 3、防火墻不能防止數(shù)據(jù)驅(qū)動式攻擊。當(dāng)有些表面看來無害的數(shù)據(jù)被郵寄或復(fù)制到Internet主機上并被執(zhí)行而發(fā)起攻擊時，就會發(fā)生數(shù)據(jù)驅(qū)動攻擊。 因此，防火墻只是一種整體安全防范政策的一部分。這種安全政策必須包括公開的、以便用戶知道自身責(zé)任的安全準(zhǔn)則、職員培訓(xùn)計劃以及與網(wǎng)絡(luò)訪問、當(dāng)?shù)睾瓦h(yuǎn)程用戶認(rèn)證、撥出撥入呼叫、磁盤和數(shù)據(jù)加密以及病毒防護的有關(guān)政策。2.網(wǎng)絡(luò)的安全威脅 該網(wǎng)絡(luò)網(wǎng)的特點是有一個辦公局域網(wǎng)和服務(wù)器網(wǎng)絡(luò)。這種情況下，網(wǎng)絡(luò)面臨著許多安全方面的威脅： 1）黑客攻擊，特別是假冒源地址的拒絕服務(wù)攻擊屢有發(fā)生。攻擊者通過一些簡單的攻擊工具，就可以制造危害嚴(yán)重的網(wǎng)絡(luò)洪流，耗盡網(wǎng)絡(luò)資源

6、或被攻擊主機系統(tǒng)資源。但是同時，攻擊者常?？梢越柚鷤卧煸吹刂返姆椒ㄥ羞b法外，使網(wǎng)絡(luò)管理員對這種攻擊無可奈何； 2）病毒和蠕蟲，在高速大容量的局域網(wǎng)絡(luò)中，各種病毒和蠕蟲，不論新舊都很容易通過不小心的用戶或有漏洞的系統(tǒng)迅速傳播擴散。其中特別是新發(fā)的網(wǎng)絡(luò)蠕蟲，常常可以在爆發(fā)初期的幾個小時內(nèi)就閃電般席卷全校甚至全球，造成網(wǎng)絡(luò)阻塞甚至癱瘓； 3) 濫用網(wǎng)絡(luò)資源，在校園網(wǎng)中總會出現(xiàn)濫用帶寬等資源以致影響其它用戶甚至整個網(wǎng)絡(luò)正常使用的行為。如各種掃描、廣播、訪問量過大的視頻下載服務(wù)等等。3 系統(tǒng)功能需求在以上安全威脅面前侵檢測系統(tǒng)（Intrusion Detection System，IDS）必須滿足以下需

7、求：（1）確定攻擊是否成功。由于基于主機的IDS使用含有已發(fā)生事件信息，它們可以比基于網(wǎng)絡(luò)的IDS更加準(zhǔn)確地判斷攻擊是否成功。在這方面，基于主機的IDS是基于網(wǎng)絡(luò)的IDS完美補充，網(wǎng)絡(luò)部分可以盡早提供警告，主機部分可以確定攻擊成功與否。（2）監(jiān)視特定的系統(tǒng)活動?；谥鳈C的IDS監(jiān)視用戶和訪問文件的活動，包括文件訪問、改變文件權(quán)限，試圖建立新的可執(zhí)行文件并且或者試圖訪問特殊的設(shè)備。例如，基于主機的IDS可以監(jiān)督所有用戶的登錄及下網(wǎng)情況，以及每位用戶在聯(lián)結(jié)到網(wǎng)絡(luò)以后的行為。對于基于網(wǎng)絡(luò)的系統(tǒng)經(jīng)要做到這個程度是非常困難的?；谥鳈C技術(shù)還可監(jiān)視只有管理員才能實施的非正常行為。操作系統(tǒng)記錄了任何有關(guān)用戶

8、帳號的增加，刪除、更改的情況，只要改動一且發(fā)生，基于主機的IDS就能檢察測到這種不適當(dāng)?shù)母膭印；谥鳈C的IDS還可審計能影響系統(tǒng)記錄的校驗措施的改變?；谥鳈C的系統(tǒng)可以監(jiān)視主要系統(tǒng)文件和可執(zhí)行文件的改變。系統(tǒng)能夠查出那些欲改寫重要系統(tǒng)文件或者安裝特洛伊木馬或后門的嘗試并將它們中斷。而基于網(wǎng)絡(luò)的系統(tǒng)有時會查不到這些行為。（3）能夠檢查到基于網(wǎng)絡(luò)的系統(tǒng)檢查不出的攻擊?；谥鳈C的系統(tǒng)可以檢測到那些基于網(wǎng)絡(luò)的系統(tǒng)察覺不到的攻擊。例如，來自主要服務(wù)器鍵盤的攻擊不經(jīng)過網(wǎng)絡(luò)，所以可以躲開基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)。（4）適用被加密的和交換的環(huán)境。交換設(shè)備可將大型網(wǎng)絡(luò)分成許多的小型網(wǎng)絡(luò)部件加以管理，所以從覆蓋足夠

9、大的網(wǎng)絡(luò)范圍的角度出發(fā)，很難確定配置基于網(wǎng)絡(luò)的IDS的最佳位置。業(yè)務(wù)映射和交換機上的管理端口有助于此，但這些技術(shù)有時并不適用?；谥鳈C的入侵檢測系統(tǒng)可安裝在所需的重要主機上，在交換的環(huán)境中具有更高的能見度。某些加密方式也向基于網(wǎng)絡(luò)的入侵檢測發(fā)出了挑戰(zhàn)。由于加密方式位于協(xié)議堆棧內(nèi)，所以基于網(wǎng)絡(luò)的系統(tǒng)可能對某些攻擊沒有反應(yīng)，基于主機的IDS沒有這方面的限制，當(dāng)操作系統(tǒng)及基于主機的系統(tǒng)看到即將到來的業(yè)務(wù)時，數(shù)據(jù)流已經(jīng)被解密了。（5）近于實時的檢測和響應(yīng)。盡管基于主機的入侵檢測系統(tǒng)不能提供真正實時的反應(yīng)，但如果應(yīng)用正確，反應(yīng)速度可以非常接近實時。老式系統(tǒng)利用一個進程在預(yù)先定義的間隔內(nèi)檢查登記文件的狀態(tài)

10、和內(nèi)容，與老式系統(tǒng)不同，當(dāng)前基于主機的系統(tǒng)的中斷指令，這種新的記錄可被立即處理，顯著減少了從攻擊驗證到作出響應(yīng)的時間，在從操作系統(tǒng)作出記錄到基于主機的系統(tǒng)得到辨識結(jié)果之間的這段時間是一段延遲，但大多數(shù)情況下，在破壞發(fā)生之前，系統(tǒng)就能發(fā)現(xiàn)入侵者，并中止他的攻擊。（6）不要求額外的硬件設(shè)備?；谥鳈C的入侵檢測系統(tǒng)存在于現(xiàn)行網(wǎng)絡(luò)結(jié)構(gòu)之中，包括文件服務(wù)器，Web服務(wù)器及其它共享資源。這些使得基于主機的系統(tǒng)效率很高。因為它們不需要在網(wǎng)絡(luò)上另外安裝登記，維護及管理的硬件設(shè)備。（7）記錄花費更加低廉?；诰W(wǎng)絡(luò)的入侵檢測系統(tǒng)比基于主機的入侵檢測系統(tǒng)要昂貴的多。4.入侵檢測安全解決方案單一的安全保護往往效果不理

11、想，而最佳途徑就是采用多層安全防護措施對信息系統(tǒng)進行全方位的保護結(jié)合不同的安全保護因素，例如防病毒軟件、防火墻和安全漏洞檢測工具，來創(chuàng)建一個比單一防護有效得的多的綜合的保護屏障。分層的安全防護成倍地增加了黑客攻擊的成本和難度，從而大大減少了他們對該網(wǎng)絡(luò)的攻擊。在內(nèi)網(wǎng)防火墻后增加一個IDS入侵檢測系統(tǒng)，在外網(wǎng)防火墻和互聯(lián)網(wǎng)之間增加一個IDS入侵檢測系統(tǒng)，入侵檢測系統(tǒng)的漏洞的存在，通過對防火墻的配置提供穩(wěn)定可靠的安全性。風(fēng)險管理系統(tǒng)是一個漏洞和風(fēng)險評估工具，用于發(fā)現(xiàn)、發(fā)掘和報告網(wǎng)絡(luò)安全漏洞。防病毒軟件的應(yīng)用也是多層安全防護的一種必要措施。防病毒軟件是專門為防止已知和未知的病毒感染企業(yè)的信息系統(tǒng)而設(shè)

12、計的。它的針對性很強，但是需要不斷更新。入侵檢測系統(tǒng)入侵檢測系統(tǒng)是指監(jiān)視入侵或者試圖控制你的系統(tǒng)或者網(wǎng)絡(luò)資源的那種努力的系統(tǒng)。作為分層安全中日益被越普遍采用的成分，入侵檢測系統(tǒng)將有效地提升黑客進入網(wǎng)絡(luò)系統(tǒng)的門檻。入侵監(jiān)測系統(tǒng)能夠通過向管理員發(fā)出入侵或者入侵企圖來加強當(dāng)前的存取控制系統(tǒng)，例如防火墻；識別防火墻通常不能識別的攻擊，如來自企業(yè)內(nèi)部的攻擊；在發(fā)現(xiàn)入侵企圖之后提供必要的信息，幫助系統(tǒng)的移植。入侵檢測系統(tǒng)工具方面，基于主機與基于網(wǎng)絡(luò)兩條腿并行。在基于主機方面，ITA入侵檢測系統(tǒng)中唯一基于規(guī)則的、實時的、集中管理的主機監(jiān)測系統(tǒng)，它可以在網(wǎng)絡(luò)邊界和網(wǎng)絡(luò)內(nèi)部檢查和響應(yīng)來自外界的攻擊和可疑行為。從

13、功能上看，它可以探測出潛在的危險-包括審計日志外不正常的印跡，并且根據(jù)安全管理員設(shè)定的規(guī)則，還可以對這些印跡進行分類并作出相應(yīng)的反擊響應(yīng)。由于ITA即代表了網(wǎng)絡(luò)IDS技術(shù)的發(fā)展趨勢，所以在主動安全防護方面，富有創(chuàng)見性。NetProwler是一個基于網(wǎng)絡(luò)的動態(tài)入侵檢測系統(tǒng)，它提供了動態(tài)、實時、透明的網(wǎng)絡(luò)IDS，能記錄日志，同時可中斷內(nèi)部不滿者和外部黑客的非授權(quán)使用、誤用和濫用。尤其在動態(tài)擴展攻擊特征庫方面，NetProwler可使用SDSI虛擬處理器能夠立即展開自定義攻擊信號，中斷嚴(yán)重的惡意攻擊?？傮w上講，可以幫助企業(yè)避免內(nèi)部、遠(yuǎn)程、乃至授權(quán)用戶所進行的網(wǎng)絡(luò)探測、系統(tǒng)誤用及其它惡意行為。作為一套

14、戰(zhàn)略工具，它還可幫助安全管理員制定杜絕未來攻擊的可靠應(yīng)對措施。在實施基于網(wǎng)絡(luò)的IDS系統(tǒng)同時仍然在特定的敏感主機上增加代理是一個比較完善的策略。因為，基于主機的IDS與基于網(wǎng)絡(luò)的IDS并行可以做到優(yōu)勢互補：網(wǎng)絡(luò)部分提供早期警告，而基于主機的部分可提供攻擊成功與否的情況分析與確認(rèn)。所以如果企業(yè)將賽門鐵克的NetProwler與Intruder Alert配合使用，能夠達(dá)到更佳效果。防火墻由于，防火墻的就成為多層安全防護中必要的一層。一個防火墻為了提供穩(wěn)定可靠的安全性，必須跟蹤流經(jīng)它的所有通信信息。為了達(dá)到控制目的，防火墻首先必須獲得所有通信層和其它應(yīng)用的信息，然后存儲這些信息，還要能夠重新獲得以

15、及控制這些信息。防火墻僅檢查獨立的信息包是不夠的，因為狀態(tài)信息-以前的通信和其它應(yīng)用信息-是控制新的通信連接的最基本的因素。對于某一通信連接，通信狀態(tài)（以前的通信信息）和應(yīng)用狀態(tài)是對該連接做控制決定的關(guān)鍵因素。因此為了保證高層的安全，防火墻必須能夠訪問、分析和利用通信信息、通信狀態(tài)、應(yīng)用狀態(tài)，并做信息處理而在防火墻方面，底層建立的應(yīng)用程序代理防火墻產(chǎn)品更安全、更快速，并且更便于管理與公司的網(wǎng)絡(luò)集成，以其獨特的混合體系結(jié)構(gòu)將多種功能基于一身，易于集中管理，可對企業(yè)提供全面的安全性防護。風(fēng)險管理系統(tǒng)風(fēng)險管理系統(tǒng)是一個漏洞和風(fēng)險評估工具，用于發(fā)現(xiàn)、發(fā)掘和報告網(wǎng)絡(luò)安全漏洞。的風(fēng)險管理系統(tǒng)不僅能夠檢測和

16、報告漏洞，而且還可以證明漏洞發(fā)生在什么地方以及發(fā)生的原因。在系統(tǒng)間分享信息并繼續(xù)探測各種漏洞直到發(fā)現(xiàn)所有的安全漏洞；還可以通過發(fā)掘漏洞以提供更高的可信度以確保被檢測出的漏洞是真正的漏洞。這就使得風(fēng)險分析更加精確并確保管理員可以把風(fēng)險程度最高的漏洞放在優(yōu)先考慮的位置。在風(fēng)險管理解決方案方面,ESM是一種基于主機的安全漏洞掃描和風(fēng)險評估工具，它通過簡化整個安全策略的設(shè)置和安全過程，可最大可能的檢測出系統(tǒng)內(nèi)部的安全漏洞障礙，并且使管理人員能夠迅速對其網(wǎng)絡(luò)安全基礎(chǔ)架構(gòu)中存在的潛在漏洞進行評估并采取措施。NetRecon可根據(jù)整體網(wǎng)絡(luò)視圖進行風(fēng)險評估，同時可在那些常見安全漏洞被入侵者利用且實施攻擊之前進

17、行漏洞識別，從而保護網(wǎng)絡(luò)和系統(tǒng)。由于NetRecon具備了網(wǎng)絡(luò)漏洞的自動發(fā)現(xiàn)和評估功能，它能夠安全地模擬常見的入侵和攻擊情況，在系統(tǒng)間分享信息并繼續(xù)探測各種漏洞直到發(fā)現(xiàn)所有的安全漏洞，從而識別并準(zhǔn)確報告網(wǎng)絡(luò)漏洞，并推薦修正措施。在整個企業(yè)網(wǎng)絡(luò)系統(tǒng)風(fēng)險評估過程中，基于主機的ESM在內(nèi)的安全漏洞掃描工具只限于在單一位置自動進行并整合安全策略的規(guī)劃、管理及控制工作，其對于整個網(wǎng)絡(luò)系統(tǒng)內(nèi)的風(fēng)險評估，尤其對于基于不同網(wǎng)絡(luò)協(xié)議的網(wǎng)絡(luò)風(fēng)險評估不能面面俱到。蜜罐(Honeypot)蜜罐(Honeypot)是一種在互聯(lián)網(wǎng)上運行的計算 機系統(tǒng)。它是專門為吸引并誘騙那些試圖非法闖 入他人計算機系統(tǒng)的人(如電腦黑客)

18、而設(shè)計的，蜜 罐系統(tǒng)是一個包含漏洞的誘騙系統(tǒng)，它通過模擬 一個或多個易受攻擊的主機，給攻擊者提供一個 容易攻擊的目標(biāo)。由于蜜罐并沒有向外界提供真 正有價值的服務(wù)，因此所有對蜜罐嘗試都被視為 可疑的。蜜罐的另一個用途是拖延攻擊者對真正 目標(biāo)的攻擊，讓攻擊者在蜜罐上浪費時間。簡單 點一說：蜜罐就是誘捕攻擊者的一個陷阱。防病毒軟件防病毒軟件的應(yīng)用也是多層安全防護的一種必要措施。防病毒軟件是專門為防止已知和未知的病毒感染企業(yè)的信息系統(tǒng)而設(shè)計的。它的針對性很強，但是需要不斷更新。最新的諾頓防病毒企業(yè)版7.6，提供桌面計算機和文件服務(wù)器的全面防毒保護，并可協(xié)助企業(yè)建立多層次防毒以保護其資產(chǎn)。與此同時，諾頓

19、防病毒企業(yè)版7.6特別針對Microsoft Exchange/ Lotus Notes兩類郵件服務(wù)器設(shè)計了自動化電子郵件防毒及內(nèi)容過濾功能。借助諾頓防病毒企業(yè)版7.6對郵件服務(wù)器提供的防護功能，即可維持郵件服務(wù)器的穩(wěn)定及正常運作的前提下，只需要一次掃描便能探測出惡意程序及帶病毒的進出電子郵件，并可對有毒或可疑的電子郵件實施隔離，從而可以確保企業(yè)的郵件系統(tǒng)的高度安全。多層防護發(fā)揮作用即使網(wǎng)絡(luò)中的入侵檢測系統(tǒng)失效，防火墻、風(fēng)險評估和防病毒軟件 蜜罐系統(tǒng)還會起作用。配置合理的防火墻能夠在入侵檢測系統(tǒng)發(fā)現(xiàn)之前阻止最普通的攻擊。安全漏洞評估能夠發(fā)現(xiàn)漏洞并幫助清除這些漏洞。如果一個系統(tǒng)沒有安全漏洞，即使

20、一個攻擊沒有被發(fā)現(xiàn)，那么這樣的攻擊也不會成功。即使入侵檢測系統(tǒng)沒有發(fā)現(xiàn)已知病毒，防火墻沒能夠阻止病毒，安全漏洞檢測沒有清除病毒傳播途徑，防病毒軟件同樣能夠偵測這些病毒。所以，在使用了多層安全防護措施以后，企圖入侵該網(wǎng)絡(luò)系統(tǒng)的黑客要付出成數(shù)倍的代價才有可能達(dá)到入侵目的。這時，你的信息系統(tǒng)的安全系數(shù)得到了大大的提升。系統(tǒng)特點(1)誤用檢測特征庫又稱為基于知識的檢測。其基本前提是：假定所有可能的入侵行為都能被識別和表示。首先，對已知的攻擊方法進行攻擊簽名表示，然后根據(jù)已經(jīng)定義好的攻擊簽名，通過判斷這些攻擊簽名是否出現(xiàn)來判斷入侵行為的發(fā)生與否攻擊特征庫是所有誤用檢測系統(tǒng)的核心部件，系統(tǒng)中規(guī)則的質(zhì)量決定了誤用檢測的準(zhǔn)確性和有效性。本系統(tǒng)中的攻擊特征庫記錄有一千多條攻擊特征，提供豐富的數(shù)據(jù)庫管理接口，管理員可以很容易的增加或修改規(guī)則。同時，系統(tǒng)現(xiàn)有規(guī)則描述方法與互聯(lián)網(wǎng)上常用的 snort 規(guī)則兼容，并且支持動態(tài)擴展新的描述方法，使管理員可以迅速對新發(fā)現(xiàn)的攻擊做出相應(yīng)規(guī)則，保