IDS入侵檢測

IDS入侵檢測

?IDS是英文“Intrusion Detection Systems”的縮寫，中文意思是“入侵檢測系統(tǒng)”。專業(yè)上講就是依照一定的安全策略，對網(wǎng)絡(luò)、系統(tǒng)的運(yùn)行狀況進(jìn)行監(jiān)視，盡可能發(fā)現(xiàn)各種攻擊企圖、攻擊行為或者攻擊結(jié)果，以保證網(wǎng)絡(luò)系統(tǒng)資源的機(jī)密性、完整性和可用性。
??? 我們做一個形象的比喻：假如防火墻是一幢大樓的門鎖，那么IDS就是這幢大樓里的監(jiān)視系統(tǒng)。一旦小偷爬窗進(jìn)入大樓，或內(nèi)部人員有越界行為，只有實時監(jiān)視系統(tǒng)才能發(fā)現(xiàn)情況并發(fā)出警告。?
??? 在本質(zhì)上，入侵檢測系統(tǒng)是一個典型的"窺探設(shè)備"。它不跨接多個物理網(wǎng)段（通常只有一個監(jiān)聽端口），無須轉(zhuǎn)發(fā)任何流量，而只需要在網(wǎng)絡(luò)上被動的、無聲息的收集它所關(guān)心的報文即可。對收集來的報文，入侵檢測系統(tǒng)提取相應(yīng)的流量統(tǒng)計特征值，并利用內(nèi)置的入侵知識庫，與這些流量特征進(jìn)行智能分析比較匹配。根據(jù)預(yù)設(shè)的閥值，匹配耦合度較高的報文流量將被認(rèn)為是進(jìn)攻，入侵檢測系統(tǒng)將根據(jù)相應(yīng)的配置進(jìn)行報警或進(jìn)行有限度的反擊。入侵檢測系統(tǒng)的原理模型如圖所示。

????????????????? 入侵檢測系統(tǒng)通過監(jiān)聽獲得網(wǎng)絡(luò)連路上流量的拷貝

??? 入侵檢測系統(tǒng)的工作流程大致分為以下幾個步驟：
??? （1）信息收集 入侵檢測的第一步是信息收集，內(nèi)容包括網(wǎng)絡(luò)流量的內(nèi)容、用戶連接活動的狀態(tài)和行為。
??? （2）信號分析 對上述收集到的信息，一般通過三種技術(shù)手段進(jìn)行分析：模式匹配，統(tǒng)計分析和完整性分析。其中前兩種方法用于實時的入侵檢測，而完整性分析則用于事后分析。
??? 具體的技術(shù)形式如下所述：

??? 模式匹配
??? 模式匹配就是將收集到的信息與已知的網(wǎng)絡(luò)入侵和系統(tǒng)誤用模式數(shù)據(jù)庫進(jìn)行比較，從而發(fā)現(xiàn)違背安全策略的行為。該過程可以很簡單（如通過字符串匹配以尋找一個簡單的條目或指令），也可以很復(fù)雜（如利用正規(guī)的數(shù)學(xué)表達(dá)式來表示安全狀態(tài)的變化）。一般來講，一種進(jìn)攻模式可以用一個過程（如執(zhí)行一條指令）或一個輸出（如獲得權(quán)限）來表示。該方法的一大優(yōu)點(diǎn)是只需收集相關(guān)的數(shù)據(jù)集合，顯著減少系統(tǒng)負(fù)擔(dān)，且技術(shù)已相當(dāng)成熟。它與病毒防火墻采用的方法一樣，檢測準(zhǔn)確率和效率都相當(dāng)高。但是，該方法存在的弱點(diǎn)是需要不斷的升級以對付不斷出現(xiàn)的黑客攻擊手法，不能檢測到從未出現(xiàn)過的黑客攻擊手段。

??? 統(tǒng)計分析
??? 分析方法首先給信息對象（如用戶、連接、文件、目錄和設(shè)備等）創(chuàng)建一個統(tǒng)計描述，統(tǒng)計正常使用時的一些測量屬性（如訪問次數(shù)、操作失敗次數(shù)和延時等）。測量屬性的平均值將被用來與網(wǎng)絡(luò)、系統(tǒng)的行為進(jìn)行比較，任何觀察值在正常偏差之外時，就認(rèn)為有入侵發(fā)生。例如，統(tǒng)計分析可能標(biāo)識一個不正常行為，因為它發(fā)現(xiàn)一個在晚八點(diǎn)至早六點(diǎn)不登錄的帳戶卻在凌晨兩點(diǎn)試圖登錄。其優(yōu)點(diǎn)是可檢測到未知的入侵和更為復(fù)雜的入侵，缺點(diǎn)是誤報、漏報率高，且不適應(yīng)用戶正常行為的突然改變。具體的統(tǒng)計分析方法如基于專家系統(tǒng)的、基于模型推理的和基于神經(jīng)網(wǎng)絡(luò)的分析方法，目前正處于研究熱點(diǎn)和迅速發(fā)展之中。

??? 完整性分析
??? 完整性分析主要關(guān)注某個文件或?qū)ο笫欠癖桓?，包括文件和目錄的?nèi)容及屬性，它在發(fā)現(xiàn)被更改的、被特絡(luò)伊化的應(yīng)用程序方面特別有效。完整性分析利用強(qiáng)有力的加密機(jī)制，稱為消息摘要函數(shù)（例如MD5），能識別及其微小的變化。其優(yōu)點(diǎn)是不管模式匹配方法和統(tǒng)計分析方法能否發(fā)現(xiàn)入侵，只要是成功的攻擊導(dǎo)致了文件或其它對象的任何改變，它都能夠發(fā)現(xiàn)。缺點(diǎn)是一般以批處理方式實現(xiàn)，不用于實時響應(yīng)。這種方式主要應(yīng)用于基于主機(jī)的入侵檢測系統(tǒng)（HIDS）。

??? （3）實時記錄、報警或有限度反擊
??? IDS根本的任務(wù)是要對入侵行為做出適當(dāng)?shù)姆磻?yīng)，這些反應(yīng)包括詳細(xì)日志記錄、實時報警和有限度的反擊攻擊源。
???
??? 經(jīng)典的入侵檢測系統(tǒng)的部署方式如圖所示：