实验五：入侵检测技术
一、实验目的
通过实验深入理解入侵检测系统的原理和工作方式，熟悉入侵检测系统的配置和使用。实验具体要求如下：
1.理解入侵检测的作用和原理
2.理解误用检测和异常检测的区别
3.掌握Snort的安装、配置和使用等实用技术
二、实验原理
1、入侵检测概念及其功能
入侵检测是指对入侵行为的发现、报警和响应，它通过对计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。入侵检测系统(intrusion detection system,IDS)是完成入侵检测功能的软件和硬件的集合。
入侵检测的功能主要体现在以下几个方面：
1）. 监视并分析用户和系统的活动。
2）. 核查系统配置和漏洞。
3）. 识别已知的攻击行为并报警。
4）. 统计分析异常行为。
5）. 评估系统关键资源和数据文件的完整性。
6）. 操作系统的审计跟踪管理，并识别违反安全策略的用户行为。
2、入侵检测的分类
根据IDS检测对象和工作方式的不同，可以将IDS分为基于网络的IDS(简称NIDS)和基于主机的IDS(简称HIDS)。NIDS和HIDS互为补充，两者的结合使用使得IDS有了更强的检测能力。
1）. 基于主机的入侵检测系统。
HIDS历史最久，最早用于审计用户的活动，比如用户登录、命令操作、应用程序使用资源情况等。HIDS主要使用主机的审计记录和日志文件作为输入，某些HIDS也会主动与主机系统进行交互以获得不存在于系统日志的信息。HIDS所收集的信息集中在系统调用和应用层审计上，试图从日志寻找滥用和入侵事件的线索。HIDS用于保护单台主机不受网络攻击行为的侵害，需要安装在保护的主机上。
2）. 基于网络的入侵检测系统。
NIDS是在网络中的某一点被动地监听网络上传输的原始流量，并通过协议分析、特征、统计分析等分析手段发现当前发生的攻击行为。NIDS通过对流量分析提取牲模式，再与已知攻击牲相匹配或与正常网络行为原形相比较来识别攻击事件。
3、入侵检测系统
1）. 入侵检测系统的特点：
入侵检测系统(Intrusion Detection System)是对防火墙有益的补充，它对网络和主机行为
进行检测，提供对内部攻击、外部攻击和误操作的实时监控，增强了网络的安全性。
在安全防范方面，入侵检测系统可以实现事前警告、事中防护和事后取证。入侵检测系统能够在入侵攻击行为对网络系统造成危害前，及时检测到入侵攻击的发生，并进行报警；入侵攻击发生时，入侵检测系统可以通过与防火墙联动等方式进行报警及动态防护；被入侵攻击后，入侵检测系统可以提供详细的攻击信息日志，便于取证分析。
相对于防火墙提供的静态防护而言，入侵检测系统侧重于提供动态实时检测防护，因此防火墙和入侵检测系统的结合，能够给网络带来更全面的防护。
2). 入侵检测系统的实现原理：
入侵检测系统的实现技术可以简单地分为两大类：基于特征的检测和基于异常的检测。
基于特征的检测技术主要包括模式匹配和协议分析两种主要检测方法。模式匹配就是将已知入侵事件悼念到网络入侵和系统误用知识库中，对入侵检测系统悼念的信息和知识库中的规则进行比较，以发现入侵行为。协议分析技术则对数据包进行协议解析后进行分析。这种技术需要首先捕捉数据包，然后对数据包进行解析，包括网络协议分析和命令解析，即使在高负载的调整网络上，也能逐个分析所有的数据包。
基于牲的检测技术只需收集相关的数据，和所维护的知识库规则比较就能进行判断，检测准确率和效率较高。但是，该技术需要不断进行知识库规则的升级以对付不断出现的新攻击手法，而且，它不能检测未知攻击手段。
3). 入侵检测系统的部署原则：
NIDS总的来说包括探测器和控制台两大部分。探测器是专用的硬件设备，负责网络数据流的捕获、分析检测和报警等功能。控制台是管理探测器的工具，它负责接收探测器的检测日志数据，并提供数据查询和报告生成等功能，一个控制台可以管理多个探测器。
HIDS安装在被保护的机器上，在主机系统的审计日志或操作中查找信息源进行智能分析和判断，例如操作系统日志、系统进程、文件访问和注册表访问等信息。由于HIDS安装在需要保护的主机系统上，这将影响应用系统的运行效率。HIDS对主机系统固有的日志与监视能力有很高的依赖性，它一般针对其所在的系统进行检测。
4/Snort简介及使用原理：
1). Snort是一款免费的NIDS，具有小巧灵便、易于配置、检测效率高等特性，常被称为轻量级的IDS。Snort具有实时数据流量分析和IP数据包日志分析能力，具有跨平台特征，能够进行协议分析和对内容的搜索或匹配。Snort能够检测不同的攻击行为，如缓冲区溢出、端口扫描和拒绝服务攻击等，并进行实时报警。
Snort可以根据用户事先定义的一些规则分析网络数据流，并根据检测结果采取一定的行动。Snort有3种工作模式，即嗅探器、数据包记录器和NIDS。嗅探器模式仅从网络上读取数据包并作为连续不断的数据流显示在终端上；数据包记录器模式把数据包记录到硬盘上，以备分析之用；NIDS模式功能强大，可以通过配置实现。
2). Snort的结构由四大软件模块组成：
(1)数据包嗅探模块。负责监听网络数据包，对网络进行分析。
(2)预处理模块。该模块用相应的插件来检查原始数据包，从中发现原始数据的"行为"。
(3)检测模块。该模块是Snort的核心模块。当数据包从预处理器送过来后，检测引擎依据预先设置的规则检查数据包，一旦发现数据包中的内容和某条规则相匹配，就通知报警模块。
(4)报警/日志模块。经检测引擎检查后的Snort数据需要以某种方式输出。如果检测引擎中的某条规则被匹配，则会触发一条报警。
3). Snort规则。Snort的每条规则逻辑上都可以分成规则头部和规则选项。规则头部包
括规则行为、协议、源或目的IP地址、子网掩码、源端口和目的端口；规则选项包含报警信息和异常包的信息（特征码），基于特征码决定是否采取规则规定的行动。对于每条规则来说，规则选项不是必需的，只是为了更加详细地定义应该收集或者报警的数据包。只有匹配所有选项的数据包，Snort都会执行其规则行为。如果许多选项组合在一起，它们之间是“逻辑与“的关系。
三、实验步骤
实验内容一：Windows平台下Snort的安装与配置
由于需要对网络底层进行操作，安装Snort前需要预先安装WinpCap（WIN32平台上网络分析和捕获数据包的链接库）。
1. 下载Windows平台下的Snort安装程序，选择安装目录为c:\Snort。进行到选择日志文件存放方式时，为简单起见，选择不需要数据库支持或者Snort默认的MySQL和ODBC 数据库支持的方式。(即选择"I do not plan to log to a database,or I am planning to log to one of the databases listed above.")
2. 单击“开始”菜单，选择“运行”命令，输入cmd并按Enter键，在命令行方式下输入如下命令c:\>cd c:\Snort\bin，然后输入c:\Snort\bin>snort -W。如果Snort安装成功，系统将显示如下图所示信息。
3. 从返回的结果可知主机上有哪个物理网卡正在工作及该网卡的详细信息。其中第五个是具有物理地址的网卡。输入snort -v –i3命令启用Snort。其中，-v表示使用Verbose模式，把信息包打印在屏幕上；-i3表示监听第五个网卡。如下图所示：
4. 为了进一步查看Snort的运行状况，可以人为制造一些ICMP网络流量。在局域网段中的另一台主机上使用Ping指令，探测运行Snort的主机。
5. 回到运行Snort的主机，发现Snort已经记录了这次探测的数据包，Snort在屏幕上输出了局域网中另一台主机到本主机的ICMP数据包头。
6.打开c:\Snort\etc\snort.conf(先用下载的snort.conf代替原来的snort.conf)，设置Snort 的内部和外部网络检测范围。将Snort.conf文件中的var HOME_NET any语句中的Any改为自己所在的子网地址，即将Snort监测的内部网络设置为本机所在的局域网。如本地IP为192.168.1.100，则将Any改为192.168.1.0/24。将var HOME_NET any语句中的HOME_NET
的值改为本地网络的标识，即192.168.1.0/24
7.配置网段内提供网络服务的IP地址，只需要把默认的$HOME_NET改成对应主机地址即可：var DNS_SERVERS $ HOME_NET; var SMTP_SERVERS $ HOME_NET; var HTTP_SERVERS $ HOME_NET; var SQL_SERVERS $ HOME_NET; var TELNET_SERVERS $ HOME_NET; var SNMP_SERVERS $ HOME_NET 如果不需要监视某种类型的服务，可用#号将上述语句其注释掉。
8.修改设置监测包含的规则。在配置文件末尾，定义了与规则相关的配置，格式如下：include $RULE_PA TH/local.rules; include $RULE_PATH/bad-traffic.rules; include $RULE_PATH/exploit.rules。其中变量$RULE_PA TH指明了规则文件存放的路径，可以在语句var RULE_PATH../rules中将变量RULE_PATH改为存放规则集的目录，如：c:\snort\rules。
9.在Snort.conf文件中，修改配置文件Classification.conf和Reference.conf的路径：include c:\Snort\etc\classification.conf; include c:\Snort\etc\reference.config。其中，Classification.conf 文件保存的是和规则的警报级别相关的配置，Reference.conf文件保存了提供更多警报相关信息的链接。
实验内容二：Windows平台下Snort的使用
1. Snort嗅探器模式。检测Snort安装是否成功时，用到的就是Snort嗅探器模式。输入命令如下：snort -v –i3使Snort只将IP和TCP/UDP/ICMP的包头信息输出到屏幕上。如果要看到应用层的数据，可以输入如下命令：snort -v -d –i3。如果需要输出更详细的信息，输入命令：snort -v -d -e –i3可以显示数据链路层的信息。
2. 数据包记录器模式。上面的命令只是在屏幕上输出，如果要记录在LOG文件上，需要预先建立一个Log目录。输入下面的命令启用数据包记录器模式：snort -dve –i3 -l c:\Snort\log -h 192.168.1.0/24 -K ascii。其中，-l选项指定了存放日志的文件夹；-h指定目标主机，这里检测对象是局域网段内的所有主机，如不指定-h，则默认检测本机；-K指定了记录的格式，默认是Tcpdump格式，此处使用ASCII码。
3. 网络IDS模式。Snort最重要的用途还是作为基于误用检测技术的NIDS。输入下面的命令启动IDS模式：snort –i3 -dev -l./log -h 192.168.1.0/24 -K ascii -c c:\Snort/etc/snort.conf。相比数据包记录器模式中使用的命令，该命令只增加了一个选项-c，用于告诉Snort使用Snort.conf中的规则集文件。Snort会对每个包和规则集进行匹配，如符合规则就采取规则所指定的动作。
4. 下面将通过对运行了Snort的目标主机进行有意攻击，来观察Snort检测入侵的能力。首先，向目标主机发送ICMP长数据包来观测Snort的反映，ICMP长数据包是有潜在危险的，一般会被视为入侵；然后，使用网络端口扫描工具Nmap对目标主机进行扫描，观察
Snort的检测情况。具体操作步骤如下：
(1)在安装好Snort的目标主机命令行方式下，输入上面第3步的命令，使Snort工作在IDS模式。在局域网的另一台主机上向目标主机发送数据包，输入下面的命令：ping -l 45678 192.168.1.2
(2)在目标主机中打开Log文件夹，此时可以发现在Log的根目录下自动生成了一个名为Alert的文件。打开文件并观察其内容，Snort警报中记录了刚才发送的ICMP长数据包，每条记录包括警报的类型和数据包的包头。发送的ICMP长数据包之所以出现在警报中，是因为它的特征和Snort预先定义的规则相符。警报如下图所示：
(3)在Snort的安装目录下打开Rules文件夹，打开Icmp.rules文件，可以发现和该攻击对应的规则如下图所示：
(4)执行端口扫描的检测。把Snort.conf文件中相应端口配置部分的内容修改为：preprocessor sfportscan:proto{all}\ memcap{10000000}\ sense_level{medium}\ logfile{portscan}。其中，proto指定了需要检测的协议类型，包括TCP、UDP、ICMP和IP，all表示检测所有的协议；sense_level指定检测的灵敏度，灵敏度高可以增加检测率，但有可能会同时增加误报率，Snort的默认选项是Low；logfile指定检测结果的输出文件名，该文件将创建在Log目录下。
(5)在局域网的另一台主机上运行Nmap，对目标主机进行SYN扫描，在命令行方式下输入如下命令：nmap -sS 192.168.1.100如图所示，扫描探测到了两个开放端口139和455。
(6)在目标主机上查看记录端口扫描检测结果的文件Portscan。可以看出，Snort准确识别并分析记录了端口扫描攻击相关的信息，如攻击者的IP地址，扫描的范围从21号端口到38037号端口，攻击者扫描到2个开放的端口：139和455。Portscan文件中记录的并不是单条的网络数据包记录，而是Snort的端口模块对数据包和其他特性综合分析的结果，如在单位时间内来自同一IP的警报信息或TCP数据包的统计特征等。
(7)打开Alarm文件。发现在Alarm文件里增加了与端口扫描相关的警告。Alarm文件中记录的是单个数据包和规则匹配的结果；在Rules文件夹中打开检测端口扫描的规则集，可以找到与端口扫描警报相对应的规则：alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"SCAN XMAS";flow:stateless; flags:SRAFPU,12;reference:arachnids,144;classtype:attempted-recon;sid:625;rev:7)
实验内容三：编写Snort规则
1. snort使用一种简单的，轻量级的规则描述语言，这种语言灵活而强大。在开发snort 规则时要雇几个简单的原则：
(1)大多数snort规则都写在一个单行上，或都在多行之间的行尾用/分隔。
(2)snort被分成两个逻辑部分：规则头和规则项。规则头包含规则的动作、协议、源和目标IP地址与网络掩码，以及源和目标端口信息；规则选项部分包含报警消息内容和要检查的包的部分。
(3)例如：alert tcp any any -> 192.168.1.0/24 111(content:"|00 01 86 a5|";msg:"mountd access";)。第一个括号前的部分是规则头(rule header)，包含的括号内的部分是规则选项(rule options)。规则选项部分中冒号前的单词称为选项关键字(option keywords)。注意，不是所有规则都必须包含规则选项部分，选项部分只是为了使对要悼念或报警，或丢弃的包的定义更加严格。组成一个规则的所有元素对于指定的要采取的行动都必须是真的。当多个元素放在一起时，可以认为它们组成一个逻辑与语句。同时，snort规则库文件中的不同规则可以认为组成一个大的逻辑或语句。
2. 编写一个规则，通过捕捉关键字Search记录打开Google网页的动作，并将符合规则的数据包输出到Alert文件中。
(1)在Snort的Rules文件夹下创建Myrule文件，在Myrule文件中输入如下内容：alert tcp $EXTERNAL_NET any -> any 80(content:"search";nocase;msg:"Google Search Query";)
1.在Snort.conf文件中添加新建的规则文件。在Snort.conf的规则区域
中（也可在文件末）添加下面的语句：include $RULE_PATH/myrule.rules
(3)以IDS模式启动Snort，打开浏览器，输入https://www.doczj.com/doc/6817451514.html,到google页面。到Log 文件夹下查看Alert文件，如下图所示，可以发现规则中的字符串已经被记录了下来，即Snort
成功地检测到载入Google网页的动作，所定义的规则起到了预想的作用。
3. 尝试定义几个更为实用的规则，并在使用中检验它们的效果。
(1)在Myrule中添加如下3条规则：alert icmp $EXTERNAL_NET any -> $HOME_NET any (dsize:0;itype:8;msg:"NMAP PING SCAN";)
alert tcp $EXTERNAL_NET any -> $HOME_NET any (flags:SF;msg:"NMAP SYN FIN SCAN";)
aler tcp $EXTERNAL_NET any -> $HOME_NET any (flags:A;ack:0;msg:"NMAP TCP
PING";)
(2)运行Snort，在局域网另一台主机上运行Nmap，对主机进行端口扫描。首先使用Nmap 的-sP选项进行ping扫描，然后使用-sS选项的SYN扫描，最后使用-sA选项进行ACK扫描。
(3)扫描完成后，回到主机查看Alert文件。
四、思考题
入侵检测的作用是什么？入侵检测系统与防火墙有什么区别？试分析两者在防止端口扫描方法上的异同。
1) 监视、分析用户及系统活动
2) 对异常行为模式进行统计分析，发行入侵行为规律
3) 检查系统配置的正确性和安全漏洞，并提示管理员修补漏洞
4) 能够实时对检测到的入侵行为进行响应
5) 评估系统关键资源和数据文件的完整性
6) 操作系统的审计跟踪管理，并识别用户违反安全策略的行为
总结：防火墙只是防御为主，通过防火墙的数据便不再进行任何操作，IDS则进行实时的检测，发现入侵行为即可做出反应，是对防火墙弱点的修补；防火墙可以允许内部的一些主机被外部访问，IDS则没有这些功能，只是监视和分析用户和系统活动。
1. IDS是继防火墙之后的又一道防线，防火墙是防御，IDS是主动检测，两者相结合有力的保证了内部系统的安全；
2. IDS实时检测可以及时发现一些防火墙没有发现的入侵行为，发行入侵行为的规
律，这样防火墙就可以将这些规律加入规则之中，提高防火墙的防护力度。
思考题二：
入侵检测的原理是什么？常用的入侵检测技术有哪两种？使用不同检测方法的入侵检测系统主要会在哪个模块上有差别？
根据入侵检测模型，入侵检测系统的原理可以分为以下两种： 1）异常检测原理
该原理根据系统或者用户的非正常行为和使用计算机资源的非正常情况来检测入侵行为。
异常检测原理根据假设攻击和正常的活动的很大的差异来识别攻击。首先收集一段正常操作的活动记录，然后建立代表用户、主机或网络连接的正常行为轮廓，再收集事件数据同时使用一些不同的方法来决定所检测到的事件活动是否正常。
2）误用检测原理误用检测，也称为基于知识或基于签名的入侵检测。误用检测IDS根据已知攻击的知识建立攻击特征库，通过用户或系统行为与特征库中各种攻击模式的比较确定是否发生入侵。常
误用检测技术的关键问题是：攻击签名的正确表示。误用检测是根据攻击签名来判断入侵的，如何用特定的模式语言来表示这种攻击行为，是该方法的关键所在。尤其攻击签名必须能够准确地表示入侵行为及其所有可能的变种，同时又不会把非入侵行为包含进来。由于大部分的入侵行为是利用系统的漏洞和应用
程序的缺陷进行攻击的，那么通过分析攻击过程的特征、条件、排列以及事件间的关系，就可具体描述入侵行为的迹象。
1）基于概率统计的检测
该方法是在异常入侵检测中最常用的技术，对用户行为建立模型并根据该模型，当发现出现可疑行为时进行跟踪，监视和记录该用户的行为。优越性在于理论成熟，缺点是匹配用
行为困难，易造成误报、错报或漏报；定义入侵阀值较难。
2）基于神经网络的检测该技术的基本思想是用一系列信息单元训练神经单元，在给定一定的输入后，即可预测输出。它是对基于概率统计的检测的改进，主要克服了传统的统计分析技术的一些问题。
3）基于专家系统所谓的专家系统是基于一套由专家经验事先定义的规则的推理系统。在具体实现中，其主要面临的问题是：全面性问题，即很难从各种入侵手段中抽象出全面的规则化知识；效率问题，即需要处理的数据量过大，且在大型系统上很难获得实时连续的审计数据。
4）基于模型推理的攻击检测技术
5）5）基于免疫的检测
思考题三：
Snort最为突出的优势在于它的灵活、高效的软件结构，它使用了多维的规则链表对规则进行管理。参考相关资料，分析Snort源码并总结其高层框架。
Snort主要是根据规则树对数据进行递归匹配。因此规则树的结构是否合理,在很大程度上影响着Snort规则匹配的速度。本文对Snort规则链表结构进行了分析,并针对Snort规则树过于简单这一不足之处,对其进行改进,在保持原有规则匹配方法的基础上,增加宽度优先搜索算法,从而减少规则匹配所需时间。
实验10：入侵检测系统 【实验题目】 入侵检测系统 【实验目的与要求】 （1）理解入侵检测系统的工作原理； （2）掌握开源入侵检测系统（软件类）的发展现状；安装调研一种入侵检测系统如Snort 进行试用； （3）调研目前主流厂家的入侵检测系统和入侵防护系统（硬件类）的发展状况（厂商、产品型号和报价等）； 【实验需求】 （1）入侵检测系统的工作原理: 数据收集：收集的数据包括主机日志、防火墙日志、数据库日志、应用程序数据以及网络数据包等； 数据处理：由于之前收集到的数据过于庞大和繁杂，需要对其进行相应的处理（去除冗余、噪声，并且进行数据标准化及格式化处理）； 数据分析：采用统计、智能算法能方法分析数据是否正常，显示是否存在入侵；行为 响应处理：当发现入侵行为时，采取预案措施进行防护（如切断网络，记录日志）、并保留入侵证据以作他日调查所用，同时向管理员报警。 （2）开源入侵检测系统的发展现状:从总体上讲，目前除了完善常规的、传统的技术（模式识别和完整性检测）外，入侵检测系统应重点加强与统计分析相关的研究。许多学者在研究新的检测方法，如采用自动代理的主动防御方法，将免疫学原理应用到入侵检测的方法等。其主要发展方向可以概括为： （1）分布式入侵检测与CIDF 传统的入侵检测系统一般局限于单一的主机或网络架构，对异构系统及大规模网络的检测明显不足，同时不同的入侵检测系统之间不能协同工作。为此，需要分布式入侵检测技术与CIDF。 （2）应用层入侵检测 许多入侵的语义只有在应用层才能理解，而目前的入侵检测系统仅能检测Web之类的通用协议，不能处理如Lotus Notes数据库系统等其他的应用系统。许多基于客户/服务器结构、中间件技术及对象技术的大型应用，需要应用层的入侵检测保护。
第八章入侵检测系统 第一节引言 通过电子手段对一个组织信息库的恶意攻击称为信息战(information warfare)。攻击的目的可能干扰组织的正常活动，甚至企图对组织的信息库造成严重的破坏。对信息战的各种抵抗措施都可归结为三类：保护、检测、响应。 保护 (入侵的防范)指保护硬件、软件、数据抵御各种攻击的技术。目前各种网络安全设施如防火墙及VPN，各种加密技术，身份认证技术，易攻击性扫描等都属于保护的范围之内，它们是计算机系统的第一道防线。 检测 (入侵的检测)研究如何高效正确地检测网络攻击。只有入侵防范不足以保护计算机的安全，任何系统及协议都不可避免地存在缺陷，可能是协议本身也可能是协议的实现，还有一些技术之外的社会关系问题，都能威胁信息安全。因此即使采用这些保护措施，入侵者仍可能利用相应缺陷攻入系统，这意味着入侵检测具有其他安全措施所不能代替的作用。 响应 (入侵的响应)是入侵检测之后的处理工作，主要包括损失评估，根除入侵者留下的后门，数据恢复，收集入侵者留下的证据等。这三种安全措施构成完整的信息战防御系统。 入侵检测（Intrusion Detection，ID）是本章讨论的主题之一，它通过监测计算机系统的某些信息，加以分析，检测入侵行为，并做出反应。入侵检测系统所检测的系统信息包括系统记录，网络流量，应用程序日志等。入侵（Intrusion）定义为未经授权的计算机使用者以及不正当使用(misuse)计算机的合法用户(内部威胁)，危害或试图危害资源的完整性、保密性、可用性的行为。入侵检测系统（Intrusion Detection System，IDS）是实现入侵检测功能的硬件与软件。入侵检测基于这样一个假设，即：入侵行为与正常行为有显著的不同，因而是可以检测的。入侵检测的研究开始于20世纪80年代，进入90年代入侵检测成为研究与应用的热点，其间出现了许多研究原型与商业产品。 入侵检测系统在功能上是入侵防范系统的补充，而并不是入侵防范系统的替代。相反，它与这些系统共同工作，检测出已经躲过这些系统控制的攻击行为。入侵检测系统是计算机系统安全、网络安全的第二道防线。 一个理想的入侵检测系统具有如下特性： ?能以最小的人为干预持续运行。 ?能够从系统崩溃中恢复和重置。 ?能抵抗攻击。IDS必须能监测自身和检测自己是否已经被攻击者所改变。
实验：入侵检测系统（Snort）的安装与配置 一、实验目的 学会WINDOWS下SNORT的安装与配置 二、实验环境 WinXP虚拟机 三、实验步骤与结果 一．在“我的电脑”中C盘中建立文件夹“zhangxiaohong” 二．安装WinPcap，运行WinPcap_4_1_2.zip，默认安装。 三．安装mysql，运行mysql-5.0.22-win32.zip，选择自定义安装选择安装路径 C:\zhangxiaohong\mysql 下，安装时注意：端口设置为3306（以后要用到），密码本实验设置成123 四．安装apache 1.运行apache_ 2.2.4-win32-x86-no_ssl.zip，安装到c:\zhangxiaohong\Apache 2.安装Apache，配置成功一个普通网站服务器 3.出现Apache HTTP Server 2.0.55的安装向导界面，点“Next”继续 4.确认同意软件安装使用许可条例，选择“I accept the terms in the license agreement”，点“Next”继续 5.将Apache安装到Windows上的使用须知，请阅读完毕后，按“Next”继续 6.选择安装类型，Typical为默认安装，Custom为用户自定义安装，我们这里选 择Custom，有更多可选项。按“Next”继续 7.出现选择安装选项界面，如图所示，左键点选“Apache HTTP Server 2.0.55”，
选择“This feature, and all subfeatures, will be installed on local hard drive.” 8.即“此部分，及下属子部分内容，全部安装在本地硬盘上”。点选 “Change...”，手动指定安装目录。 9.我这里选择安装在“C:\zhangxiaohong\Apache”，各位自行选取了，一般建议 不要安装在操作系统所在盘，免得操作系统坏了之后，还原操作把Apache配置文件 也清除了。选“OK”继续。 10.返回刚才的界面，选“Next”继续。 11.好了现在我们来测试一下按默认配置运行的网站界面，在IE地址栏打 “.0.1”，点“转到”，就可以看到如下页面，表示Apache服务器已安装成功。 12. 五．安装和配置PHP53、安装winpcap 1.解压php-5. 2.5-Win32到c:\zhangxiaohong\php 2.添加gd图形库支持 复制c:\zhangxiaohong\php\php5ts.dll和c: \zhangxiaohong\php\libmysql.dll文件到 C:\Windows\system32 复制c: \zhangxiaohong\php\php.ini-dist到C:\Windows文件夹并重命名为php.ini， 修改php.ini，分别去掉“extension=php_gd2.dll”和“extension=php_mysql.dll”前的分号， 3.并指定extension_dir="c:\zhangxiaohong\php\ext"， 4.同时复制c:\zhangxiaohong\php\ext下的php_gd2.dll与php_mysql.dll到C:\Windows\system32 在C:\zhangxiaohong\apache\conf\httpd.conf中添加 LoadModule php5_module c:/zhangxiaohong/php/php5apache2.dll AddType application/x-httpd-php .php AddType application/x-httpd-php-source .phps AddType application/x-httpd-php .html AddType application/x-httpd-php .htm 5.重启Apache服务 在C:\zhangxiaohong\apache\htdocs目录下新建webinf.php（文件内容为：）并使用访问测试是否能够显示当前Apache服务器的信息，如果能够显示表明Apache和php工作基本正常 六．安装snort 1.运行Snort_2_9_0_5_Installer.exe 安装在C:\zhangxiaohong\Snort下即可， 运行C:\zhangxiaohong\Snort\bin\snort.exe或者在DOS中找到该位置， 如果安装Snort成功会出现一个可爱的小猪 2.并按照以下修改C:\zhangxiaohong\Snort\etc\snort.conf文件
实验七入侵检测实验 一、实验目的 通过本实验掌握入侵检测系统（IDS）的基本原理和应用，掌握Windows 系统进行日常安全检测的基本方法和操作技能。 二、实验要求 1、实验前学生应具备以下知识： ?了解常见网络攻击技术的特点。 ?了解Windows系统用于安全审计的系统工具。 ?了解入侵检测系统（IDS）的基本概念。 2、实验内容可根据实验室的具体情况和课时安排的变化进行适当的调整实验过程中，部分实验内容需要与相邻的同学配合完成。此外，学生需要将实验的结果记录下来，实验内容中的思考题以书面形式解答并附在实验报告的后面。 3、需要注意的是，学生在实验过程中要严格按实验指导书的操作步骤和要求操作，且小组成员应紧密配合，以保证实验过程能够顺利完成。 三、实验仪器设备和材料清单 实验设备： 1．WindowsGP，Windows20GG服务器；或VMWare，Windows20GG/GP虚拟机。 2．TCPView、360安全卫士。 3．Snort。 4．黑客工具包。 四、实验内容
本次实验的主要项目包括以下几个方面： 1、利用TCPView监控网络连接和会话。 2、利用Windows系统工具监控文件共享、系统进程和服务。 3、配置Windows系统审核策略，监控敏感文件，攻击模拟后查看系统安全日志。 4、攻击模拟后查看Web、FTP等服务的访问日志。 5、安装、配置Snort监控所在网络的通信。 五、实验步骤 参考配置和步骤如下： 1、利用TCPView监控网络连接和会话 运行工具软件TCPView，运行浏览器等网络软件，如下图，查看本机的网络连接和会话。 2、利用360安全卫士进行安全检查 360安全卫士是目前最为流行的桌面安全工具，在其“高级工具”中集成了多个检测工具，可以帮助我们发现恶意程序和黑客的入侵，并作出相应的修补。 类似TCPView的工具也可以在360安全卫士的高级工具中找到。 3、利用Windows系统工具监控文件共享、系统进程和服务 运行“计算机管理”管理工具，打开“共享文件夹”，查看已经建立的会话和打开的文件。
网络安全实验报告 姓名：杨瑞春 班级：自动化86 学号：08045009
实验一：网络命令操作与网络协议分析 一．实验目的： 1.熟悉网络基本命令的操作与功能。 2.熟练使用网络协议分析软件ethereal分析应用协议。 二．实验步骤： 1. ping tracert netstat ipconfig telnet netcat Arp route nslookup Ssh 2.协议分析软件：ethereal的主要功能：设置流量过滤条件，分析网络数据包， 流重组功能，协议分析。 三．实验任务： 1．跟踪某一网站如google的路由路径 2．查看本机的MAC地址，ip地址 输入ipconfig /all 找见本地连接. Description . . .. . : SiS 900-Based PCI Fast Ethernet Adapte Physical Address.. . : 00-13-8F-07-3A-57 DHCP Enabled. . .. . : No IP Address. . . .. . : 192.168.1.5 Subnet Mask . . .. . : 255.255.255.0 Default Gateway .. . : 192.168.1.1 DNS Servers . . .. . : 61.128.128.67 192.168.1.1
Default Gateway .. . : 192.168.1.1 这项是网关.也就是路由器IP Physical Address.. . : 00-13-8F-07-3A-57 这项就是MAC地址了.
第9章入侵检测系统 1. 单项选择题 1)B 2)D 3)D 4)C 5)A 6)D 2、简答题 （1）什么叫入侵检测，入侵检测系统有哪些功能？ 入侵检测系统（简称“IDS”）就是依照一定的安全策略，对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或者攻击结果，以保证网络系统资源的机密性、完整性和可用性。 入侵检测系统功能主要有： 识别黑客常用入侵与攻击手段 监控网络异常通信 鉴别对系统漏洞及后门的利用 完善网络安全管理 （2）根据检测对象的不同，入侵检测系统可分哪几种？ 根据检测对象的不同，入侵检测系统可分为基于主机的入侵检测基于网络的入侵检测、混合型三种。主机型入侵检测系统就是以系统日志、应用程序日志等作为数据源。主机型入侵检测系统保护的一般是所在的系统。网络型入侵检测系统的数据源是网络上的数据包。一般网络型入侵检测系统担负着保护整个网段的任务。混合型是基于主机和基于网络的入侵检测系统的结合，它为前两种方案提供了互补，还提供了入侵检测的集中管理，采用这种技术能实现对入侵行为的全方位检测。 （3）常用的入侵检测系统的技术有哪几种？其原理分别是什么？ 常用的入侵检测系统的技术有两种，一种基于误用检测（Anomal Detection），另一种基于异常检测（Misuse Detection）。 对于基于误用的检测技术来说，首先要定义违背安全策略事件的特征，检测主要判别这
类特征是否在所收集到的数据中出现，如果检测到该行为在入侵特征库中，说明是入侵行为，此方法非常类似杀毒软件。基于误用的检测技术对于已知的攻击，它可以详细、准确的报告出攻击类型，但是对未知攻击却效果有限，而且知识库必须不断更新。 基于异常的检测技术则是先定义一组系统正常情况的数值，如CPU利用率、内存利用率、文件校验和等（这类数据可以人为定义，也可以通过观察系统、并用统计的办法得出），然后将系统运行时的数值与所定义的“正常”情况比较，得出是否有被攻击的迹象。这种检测方式的核心在于如何定义所谓的正常情况。异常检测只能识别出那些与正常过程有较大偏差的行为，无法准确判别出攻击的手法，但它可以（至少在理论上可以）判别更广范、甚至未发觉的攻击。 （4）入侵检测系统弥补了防火墙的哪些不足？ 网络防火墙是指的是隔离在本地网络与外界网络之间的一道防御系统。 防火墙也存在以下不足之处： 防火墙可以阻断攻击，但不能消灭攻击源。入侵者可以寻找防火墙背后可能敞开的后门而绕过防火墙； 防火墙不能抵抗最新的未设置策略的攻击漏洞。 防火墙的并发连接数限制容易导致拥塞或者溢出。而当防火墙溢出 的时候，整个防线就如同虚设，原本被禁止的连接也能从容通过了； 防火墙对待内部主动发起连接的攻击一般无法阻止； 防火墙本身也会出现问题和受到攻击； 防火墙不处理病毒。普通防火墙虽然扫描通过他的信息，但一般只扫描源地址、目的地址端口号，不扫描数据的确切内容，对于病毒来说，防火墙不能防范。 防火墙是一种静态的安全技术, 需要人工来实施和维护, 不能主动跟踪入侵者。 综合以上可以看出，防火墙是网络安全的重要一环，但不代表设置了防火墙就能一定保证网络的安全。入侵攻击已经见怪不怪，对付这些入侵者的攻击，可以通过身份鉴别技术，使用严格的访问控制技术，还可以对数据进行加密保护等，但这并不完全可行。所以静态安全措施并不足以保护安全对象。因此，一种动态的方法是必要的。比如行为跟踪、入侵检测技术。但是，完全防止入侵目前看是不现实的。人们可以尽力检测出这些入侵，以便采取措施或者以后修补。 （5）简述基于主机的入侵检测系统的优点。 基于主机的入侵检测系统优点： 能够监视特定的系统活动，可以精确的根据自己的需要定制规则。 不需要额外的硬件，HIDS驻留在现有的网络基础设施上，其包括文件服务器、Web服务器和其它的共享资源等。减少了以后维护和管理硬件设备的负担。 适用于被加密的和交换的环境。可以克服NIDS在交换和加密环境中所面临的一些困难。 缺点： 依赖于特定的操作系统平台，对不同的平台系统而言，它是无法移植的，因此必须针对各不同主机安裝各种HIDS。 在所保护主机上运行，将影响到宿主机的运行性能，特别是当宿主机为服务器的情况；通常无法对网络环境下发生的大量攻击行为，做出及时的反应。
入侵检测技术 一、实验目的 通过实验深入理解入侵检测系统的原理和工作方式，熟悉入侵检测系统的配置和使用。实验具体要求如下： 1.理解入侵检测的作用和原理 2.理解误用检测和异常检测的区别 3.掌握Snort的安装、配置和使用等实用技术 二、实验原理 1、入侵检测概念及其功能 入侵检测是指对入侵行为的发现、报警和响应，它通过对计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。入侵检测系统(intrusion detection system,IDS)是完成入侵检测功能的软件和硬件的集合。 入侵检测的功能主要体现在以下几个方面： 1）. 监视并分析用户和系统的活动。 2）. 核查系统配置和漏洞。 3）. 识别已知的攻击行为并报警。 4）. 统计分析异常行为。 5）. 评估系统关键资源和数据文件的完整性。 6）. 操作系统的审计跟踪管理，并识别违反安全策略的用户行为。 2、入侵检测的分类 根据IDS检测对象和工作方式的不同，可以将IDS分为基于网络的IDS(简称NIDS)和基于主机的IDS(简称HIDS)。NIDS和HIDS互为补充，两者的结合使用使得IDS有了更强的检测能力。 1）. 基于主机的入侵检测系统。 HIDS历史最久，最早用于审计用户的活动，比如用户登录、命令操作、应用程序使用资源情况等。HIDS主要使用主机的审计记录和日志文件作为输入，某些HIDS也会主动与主机系统进行交互以获得不存在于系统日志的信息。HIDS所收集的信息集中在系统调用和应用层审计上，试图从日志寻找滥用和入侵事件的线索。HIDS用于保护单台主机不受网络攻击行为的侵害，需要安装在保护的主机上。 2）. 基于网络的入侵检测系统。 NIDS是在网络中的某一点被动地监听网络上传输的原始流量，并通过协议分析、特征、统计分析等分析手段发现当前发生的攻击行为。NIDS通过对流量分析提取牲模式，再与已知攻击牲相匹配或与正常网络行为原形相比较来识别攻击事件。 3、入侵检测系统 1）. 入侵检测系统的特点： 入侵检测系统(Intrusion Detection System)是对防火墙有益的补充，它对网络和主机行为
遵义师范学院计算机与信息科学学院 实验报告 （2013—2014学年第1 学期） 课程名称：网络安全实验 班级： 学号： 姓名： 任课教师： 计算机与信息科学学院
实验报告
闸门，在不影响网络性能的情况下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护。这些都通过它执行以下任务来实现： ·监视、分析用户及系统活动 · 系统构造和弱点的审计 · 识别反映已知进攻的活动模式并向相关人士报警 · 异常行为模式的统计分析 · 评估重要系统和数据文件的完整性 ·操作系统的审计跟踪管理，并识别用户违反安全策略的行为。 对一个成功的入侵检测系统来讲，它不但可使系统管理员时刻了解网络系统（包括程序、文件和硬件设备等）的任何变更，还能给网络安全策略的制订提供指南。更为重要的一点是，它应该管理、配置简单，从而使非专业人员非常容易地获得网络安全。而且，入侵检测的规模还应根据网络威胁、系统构造和安全需求的改变而改变。入侵检测系统在发现入侵后，会及时作出响应，包括切断网络连接、记录事件和报警等。 入侵检测系统所采用的技术可分为特征检测与异常检测两种: 特征检测(Signature-based detection) 又称Misuse detection ，这一检测假设入侵者活动可以用一种模式来表示，系统的目标是检测主体活动是否符合这些模式。它可以将已有的入侵方法检查出来，但对新的入侵方法无能为力。其难点在于如何设计模式既能够表达“入侵”现象又不会将正常的活动包含进来。 异常检测(Anomaly detection)的假设是入侵者活动异常于正常主体的活动。根据这一理念建立主体正常活动的“活动简档”，将当前主体的活动状况与“活动简档”相比较，当违反其统计规律时，认为该活动可能是“入侵”行为。异常检测的难题在于如何建立“活动简档”以及如何设计统计算法，从而不把正常的操作作为“入侵”或忽略真正的“入侵”行为 Snort入侵检测系统： Snort简介：在1998年，Martin Roesch先生用C语言开发了开放源代码(Open Source)的入侵检测系统Snort.直至今天，Snort已发展成为一个多平台 (Multi-Platform),实时(Real-Time)流量分析，网络IP数据包(Pocket)记录等特性的强大的网络入侵检测/防御系统(Network Intrusion Detection/Prevention System),即NIDS/NIPS.Snort符合通用公共许可(GPL——GUN General Pubic License),在网上可以通过免费下载获得Snort,并且只需要几分钟就可以安装并开始使用它。snort基于libpcap。 Snort有三种工作模式：嗅探器、数据包记录器、网络入侵检测系统。嗅探器模式仅仅是从网络上读取数据包并作为连续不断的流显示在终端上。数据包记录器模式把数据包记录到硬盘上。网络入侵检测模式是最复杂的，而且是可配置的。我们可以让snort 分析网络数据流以匹配用户定义的一些规则，并根据检测结果采取一定的动作。 Snort原理：Snort能够对网络上的数据包进行抓包分析，但区别于其它嗅探器的是，它能根据所定义的规则进行响应及处理。Snort 通过对获取的数据包，进行各规则
入侵检测概念、过程分析和布署 入侵检测概念、过程分析和布署 1、入侵检测的基本概念入侵检测是指“通过对行为、安全日志或审计数据或其它网络上可以获得的信息进行操作，检测到对系统的闯入或闯入的企图”（参见国标GB/T18336）。入侵检测是检测和响应计算机误用的学科，其作用包括威慑、检测、响应、损失情况评估、攻击预测和起诉支持。入侵检测技术是为保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未授权或异常现象的技术，是一种用于检测计算机网络中违反安全策略行?募际酢＝?腥肭旨觳獾娜砑?胗布?淖楹媳闶侨肭旨觳庀低常↖ntrusion Detection System，简称IDS）。 2、入侵检测系统的发展历史 1980年JamesP.Anderson在给一个保密客户写的一份题为《计算机安全威胁监控与监视》的技术报告中指出，审计记录可以用于识别计算机误用，他给威胁进行了分类，第一次详细阐述了入侵检测的概念。1984年到1986年乔治敦大学的DorothyDenning和SRI公司计算机科学实验室的PeterNeumann研究出了一个实时入侵检测系统模型- IDES（Intrusion Detection Expert Systems入侵检测专家系统），是第一个在一个应用中运用了统计和基于规则两种技术的系统，是入侵检测研究中最有影响的一个系统。1989年，加州大学戴维斯分校的Todd Heberlein写了一篇论文《A Network SecurityMonitor》，该监控器用于捕获TCP/IP分组，第一次直接将网络流作为审计数据来源，因而可以在不将审计数据转换成统一格式的情况下监控异种主机，网络入侵检测从此诞生。 3、系统模型为解决入侵检测系统之间的互操作性，国际上的一些研究组织开展了标准化工作，目前对IDS进行标准化工作的有两个组织：IETF的Intrusion Detection Working Group（IDWG）和Common Intrusion Detection Framework（CIDF）。CIDF早期由美国国防部高级研究计划局赞助研究，现在由CIDF工作组负责，是一个开放组织。 CIDF阐述了一个入侵检测系统（IDS）的通用模型。它将一个入侵检测系统分为以下组件：事件产生器（Event generators），用E盒表示；事件分析器（Event analyzers），用A盒表示；响应单元（Responseunits），用R盒表示；事件数据库（Event databases），用D盒表示。
入侵检测系统安装和使 用 Document serial number【KK89K-LLS98YT-SS8CB-SSUT-SST108】
入侵检测系统安装和使用 【实验目的】 通过安装并运行一个snort系统，了解入侵检测系统的作用和功能 【实验内容】 安装并配置appahe，安装并配置MySQL，安装并配置snort；服务器端安装配置php脚本，通过IE浏览器访问IDS 【实验环境】 硬件PC机一台。 系统配置：操作系统windows10。 【实验步骤】 1、安装appache服务器 启动appache服务器 测试本机的80端口是否被占用， 2、安装配置snort 查看Snort版本 安装最新版本程序 2、安装MySql配置mysql 运行snort 1、网络入侵检测snort的原理 Snort能够对网络上的数据包进行抓包分析，但区别于其它嗅探器的是，它能根据所定义的规则进行响应及处理。Snort通过对获取的数据包，进行各规则的分析后，根据规则链，可采取Activation（报警并启动另外一个动态规则链）、Dynamic（由其它的规则包调用）、Alert（报警），Pass（忽略），Log（不报警但记录网络流量）五种响应的机制。 Snort有数据包嗅探，数据包分析，数据包检测，响应处理等多种功能，每个模块实现不同的功能，各模块都是用插件的方式和Snort相结合，功能扩展方便。例如，预处理插件的功能就是在规则匹配误用检测之前运行，完成TIP碎片重组，http解码，telnet解码等功能，处理插件完成检查协议各字段，关闭连接，攻击响应等功能，输出插件将得理后的各种情况以日志或警告的方式输出。
本文由heisjay贡献 pdf文档可能在WAP端浏览体验不佳。建议您优先选择TXT，或下载源文件到本机查看。戚 技术 人侵检测系统的发展厉史 华中科技大学 摘 DIS 涂保东 要:从大量史料中整理出入侵检测系统(}n七ru]s的历史进程 : , 。。 eciDteto 。 n ys s et m , IDS )研究与开发的历史 , 为人们了解 把握
目前研究与开发的热点提供参考 }Ds 关键词 入侵检测系统 发展历史 网络安全 很早以来人们就认识到用户的行为进行适当监控络恶意的和错误的操作 应对网以阻止 etm Dl(田 入侵检测专家系统) nnte「e 。 ’‘ 被 Dete et!on 网od e l “ 正式发表 。 De
旧g 用在早期的{ t A网(AR尸)上监控 保障网络数据 re o 用户的验证信息 这是第一个基于规 , 在该文中提出了入侵检测系统的抽象模型模型基于这样一个假设入侵者: 与运行的安全 。 入侵检测思想在二十 te tn多年前就已萌穿随着I的蓬勃发展近几年来旧S得到了较深入的研则的专家系统模型采用与系统平台和应用环境无关的设计针对已知的, 使用系统的模式与正常用户的使用模 式不同 , 因此可以通过监控系统的跟 系统漏洞和恶意行为进行检测 为构
踪记录来识别入侵者的异常使用模式 从而检测出入侵者违反系统安全性的o情形Den旧g的模型是许多旧S原型 。 究和广泛的应用 1980 年 4 月Jam g es P A n des 「。on 发 ‘’ 建入侵检测系统提供了一个通用的框品同P架随后S日完成了与sA四AR的合为其提交了第一款实用的旧S产 1985 表著名的研究报告 rT卜eat Comp an ute「 eeur、t丫
实验五：入侵检测技术 一、实验目的 通过实验深入理解入侵检测系统的原理和工作方式，熟悉入侵检测系统的配置和使用。实验具体要求如下： 1.理解入侵检测的作用和原理 2.理解误用检测和异常检测的区别 3.掌握Snort的安装、配置和使用等实用技术 二、实验原理 1、入侵检测概念及其功能 入侵检测是指对入侵行为的发现、报警和响应，它通过对计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。入侵检测系统(intrusion detection system,IDS)是完成入侵检测功能的软件和硬件的集合。 入侵检测的功能主要体现在以下几个方面： 1）. 监视并分析用户和系统的活动。 2）. 核查系统配置和漏洞。 3）. 识别已知的攻击行为并报警。 4）. 统计分析异常行为。 5）. 评估系统关键资源和数据文件的完整性。 6）. 操作系统的审计跟踪管理，并识别违反安全策略的用户行为。 2、入侵检测的分类 根据IDS检测对象和工作方式的不同，可以将IDS分为基于网络的IDS(简称NIDS)和基于主机的IDS(简称HIDS)。NIDS和HIDS互为补充，两者的结合使用使得IDS有了更强的检测能力。 1）. 基于主机的入侵检测系统。 HIDS历史最久，最早用于审计用户的活动，比如用户登录、命令操作、应用程序使用资源情况等。HIDS主要使用主机的审计记录和日志文件作为输入，某些HIDS也会主动与主机系统进行交互以获得不存在于系统日志的信息。HIDS所收集的信息集中在系统调用和应用层审计上，试图从日志寻找滥用和入侵事件的线索。HIDS用于保护单台主机不受网络攻击行为的侵害，需要安装在保护的主机上。 2）. 基于网络的入侵检测系统。 NIDS是在网络中的某一点被动地监听网络上传输的原始流量，并通过协议分析、特征、统计分析等分析手段发现当前发生的攻击行为。NIDS通过对流量分析提取牲模式，再与已知攻击牲相匹配或与正常网络行为原形相比较来识别攻击事件。 3、入侵检测系统 1）. 入侵检测系统的特点： 入侵检测系统(Intrusion Detection System)是对防火墙有益的补充，它对网络和主机行为
入侵检测系统 1. 引言 1.1 背景 近年来，随着信息和网络技术的高速发展以及其它的一些利益的驱动，计算机和网络基础设施，特别是各种官方机构网站成为黑客攻击的目标，近年来由于对电子商务的热切需求，更加激化了各种入侵事件增长的趋势。作为网络安全防护工具“防火墙”的一种重要的补充措施，入侵检测系统(Intrusion Detection System，简称 IDS)得到了迅猛的发展。 依赖防火墙建立网络的组织往往是“外紧内松”，无法阻止内部人员所做的攻击,对信息流的控制缺乏灵活性从外面看似非常安全，但内部缺乏必要的安全措施。据统计，全球80%以上的入侵来自于内部。由于性能的限制，防火墙通常不能提供实时的入侵检测能力，对于企业内部人员所做的攻击，防火墙形同虚设。 入侵检测是对防火墙及其有益的补充，入侵检测系统能使在入侵攻击对系统发生危害前，检测到入侵攻击，并利用报警与防护系统驱逐入侵攻击。在入侵攻击过程中，能减少入侵攻击所造成的损失。在被入侵攻击后，收集入侵攻击的相关信息，作为防范系统的知识，添加入知识库内，增强系统的防范能力，避免系统再次受到入侵。入侵检测被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监听，从而提供对内部攻击、外部攻击和误操作的实时保护,大大提高了网络的安全性。 1.2 背国内外研究现状 入侵检测技术国外的起步较早，有比较完善的技术和相关产品。如开放源代码的snort，虽然它已经跟不上发展的脚步，但它也是各种商业IDS的参照系；NFR公司的NID等，都已相当的完善。虽然国内起步晚，但是也有相当的商业产品：天阗IDS、绿盟冰之眼等不错的产品，不过国外有相当完善的技术基础，国内在这方面相对较弱。
入侵检测实验 （一）实验人 04软件工（程信息技术）04381084 姚瑞鹏 04软件工（程信息技术）04381083 姚斌 04软件工（程信息技术）04381086 钟俊方 04软件工（程信息技术）04381090 郭睿 （二）实验目的 1.理解入侵检测的作用和检测原理 2.理解误用检测和异常检测的区别 3.掌握Snort的安装、配置和使用等实用的技术 （三）实验设备与环境 2台安装Windows XP的PC机，在其中一台主机上安装Windows平台下的Snort2.4.5软件，一台Windows平台下的安装Nmap软件，通过Switch相连。 实验环境的网络拓扑如下图所示。
（四）实验内容与步骤 平台下Snort的安装与配置 由于需要对网络底层进行操作，安装Snort需要预先安装WinpCap（WIN32平台上网络分析和捕获数据包的链接库），如图所示： 1）安装Snort，双击安装程序进行安装，选择安装目录为D:\Snort。
2）进行到选择日志文件存放方式时，为简单起见，选择不需要数据库支持或者Snort 默认的MySQL和ODBC数据库支持的方式，如图所示： 3）单击“开始”按钮，选择“运行”，输入cmd，在命令行方式下输入下面的命令： C:\>cd D:\Snort\bin D:\ Snort\bin>snort –W 如果Snort安装成功，系统将显示出如图所示的信息。
4）从返回的结果可知主机上有哪个物理网卡正在工作及该网卡的详细信息，上图显示的两张物理地址的网卡。这里我们实用第2张网卡监听。输入snort –v –i2命令，-v表示使用Verbose模式，把信息包打印在屏幕上，-i2表示监听第二个网卡。 5）我们在另一台主机上安装Nmap软件，如图所示：
遵义师范学院计算机与信息科学学院 告验报实 ）学期2013—2014学年第1 （ 网络安全实验课程名称： 班级： 号：学 姓名： 任课教师：
计算机与信息科学学院．实验报告
1 闸门，在不影响网络性能的情况下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护。这些都通过它执行以下任务来实现：监视、分析用户及系统活动··系统构造和弱点的审计·识别反映已知进攻的活动模式并向相关人士报警·异常行为模式的统计分析·评估重要系统和数据文件的完整性·操作系统的审计跟踪管理，并识别用户违反安全策略的行为。对一个成功的入侵检测系统来讲，它不但可使系统管理员时刻了解网络系统（包括程序、文件和硬件设备等）的任何变更，还能给网络安全策略的制订提供指南。更为重要的一点是，它应该管理、配置简单，从而使非专业人员非常容易地获得网络安全。而且，入侵检测的规模还应根据网络威胁、系统构造和安全需求的改变而改变。入侵检测系统在发现入侵后，会及时作出响应，包括切断网络连接、记录事件和报警等。: 两种特征检测与异常检测入侵检测系统所采用的技术可分为，这一检测假设入侵Misuse detection 特征检测(Signature-based detection) 又称者活动可以用一种模式来表示，系统的目标是检测主体活动是否符合这些模式。它可以将已有的入侵方法检查出来，但对新的入侵方法无能为力。其难点在于如何设计模式既能够表达“入侵”现象又不会将正常的活动包含进来。的假设是入侵者活动异常于正常主体的活动。根据这一(Anomaly detection)异常检测理念建立主体正常活动的“活动简档”，将当前主体的活动状况与“活动简档”相比较，当违反其统计规律时，认为该活动可能是“入侵”行为。异常检测的难题在于如何从而不把正常的操作作为“入侵”或忽略真建立“活动简档”以及如何设计统计算法，
入侵检测系统实验 学习Windows系统下配置和使用入侵检测系统软件Snort 一、实验目的 .1、.通过实验深入理解入侵检测系统的原理和工作方式。 .2、.熟悉入侵检测工具snort在Windows操作系统中的安装和配置方法。 二、实验环境 ..实验室所有机器安装了Windows 2000操作系统，并并附带Apache、php、mysql、snort、adodb、acid、窘迫grapg、winpcap等软件的安装包。 三、实验原理 1、..入侵检测系统简介 ..入侵检测系统通过对计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。入侵检测被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护。2、..入侵检测系统的分类 ..入侵检测系统可分为主机型和网络型 ..主机型入侵检测系统往往以系统日志、应用程序日志等作为数据源，当然也可以通过其他手段（如监督系统调用）从所在的主机收集信息进行分析。主机型入侵检测系统保护的一般是所在的系统。 ..网络型入侵检测系统的数据源则是网络上的数据包。往往将一台机子的网卡设于混杂模式（promiscmode）,监听所有本网段内的数据包并进行判断。一般网络型入侵检测系统担负着保护整个网段的任务。 3、..入侵检测的实现技术 ..可分为两类：一种基于标志（signature-based），另一种基于异常情况(anomaly-based)。 ..对于基于标识的检测技术来说，首先要定义违背安全策略的事件的特征，如网
实验八入侵检测系统snort的使用 【实验目的】 1) 理解入侵检测的作用和检测原理。 2) 掌握Snort的安装、配置和使用等实用技术。 【实验环境】 Windows系统、snort软件、nmap软件 【实验重点及难点】 重点：入侵检测的工作原理。 难点：snort的配置文件的修改及规则的书写。 【Snort简介】 Snort是一套开放源代码的网络入侵预防软件与网络入侵检测软件。Snort使用了以侦测签章（signature-based）与通讯协定的侦测方法。截至目前为止，Snort的被下载次数已达到数百万次。Snort被认为是全世界最广泛使用的入侵预防与侦测软件。 【实验步骤】 1、从ftp上下载所需要的软包，winpcap，snort，nmap。安装软件前请阅读readme文件。 2、注意安装提示的每一项，在选择日志文件存放方式时，请选择“不需要数据库支持或者 snort默认的MySQL和ODBC数据库支持的方式”选项。 3、将snort.exe加入path变量中（该步骤可选，否则要切换到安装路径下执行命令）。 4、执行snort.exe，看能否成功执行，并利用“-W”选项查看可用网卡。如下： 上例中共有两个网卡，其中第二个是可用网卡，注意识别你自己机器上的网卡！ 注：snort的运行模式主要有3种：嗅探器模式（同sniffer）、数据包记录器模式和网络入侵检测模式。 5、嗅探器模式 嗅探器模式就是snort从网络上读出数据包然后显示在你的控制台上。可用如下命令启动该模式： snort –v –i2 //-i2 指明使用第二个网卡，该命令将IP和TCP/UDP/ICMP的包头信息显示在屏幕上。如果需要看到应用层的数据，使用以下命名： snort –v –d –i2 更多详细内容请参考https://www.doczj.com/doc/6817451514.html,/network/snort/Snortman.htm。 6、数据包记录器模式
第9章入侵检测系统1. 单项选择题 1) B 2) D 3) D 4) C 5) A 6) D 2、简答题 （1）什么叫入侵检测，入侵检测系统有哪些功能？ 入侵检测系统（简称“IDS”）就是依照一定的，对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或者攻击结果，以保证网络系统资源的机密性、完整性和可用性。 入侵检测系统功能主要有： ●识别黑客常用入侵与攻击手段 ●监控网络异常通信 ●鉴别对系统漏洞及后门的利用 ●完善网络安全管理 （2）根据检测对象的不同，入侵检测系统可分哪几种？ 根据检测对象的不同，入侵检测系统可分为基于主机的入侵检测基于网络的入侵检测、混合型三种。主机型入侵检测系统就是以系统日志、应用程序日志等作为数据源。主机型入侵检测系统保护的一般是所在的系统。网络型入侵检测系统的数据源是网络上的数据包。一般网络型入侵检测系统担负着保护整个网段的任务。混合型是基于主机和基于网络的入侵检测系统的结合，它为前两种方案提供了互补，还提供了入侵检测的集中管理，采用这种技术能实现对入侵行为的全方位检测。 （3）常用的入侵检测系统的技术有哪几种？其原理分别是什么？ 常用的入侵检测系统的技术有两种，一种基于误用检测（Anomal Detection），另一种基于异常检测（Misuse Detection）。 对于基于误用的检测技术来说，首先要定义违背安全策略事件的特征，检测主要判别这类特征是否在所收集到的数据中出现，如果检测到该行为在入侵特征库中，说明是入侵行为，此方法非常类似杀毒软件。基于误用的检测技术对于已知的攻击，它可以详细、准确的报告出攻击类型，但是对未知攻击却效果有限，而且知识库必须不断更新。 基于异常的检测技术则是先定义一组系统正常情况的数值，如CPU利用率、内存利用率、文件校验和等（这类数据可以人为定义，也可以通过观察系统、并用统计的办法得出），然后将系统运行时的数值与所定义的“正常”情况比较，得出是否有被攻击的迹象。这种检测方式的核心在于如何定义所谓的正常情况。
实验四：入侵检测系统的构建 一、实验目的 了解现有入侵检测系统的产品情况；掌握开源入侵检测系统（snort）的安 装、配置和使用方法。 二、实验内容 1）在 WINDOW平台上安装最新版本的 SNORT； 2）熟悉并了解 SNORT 的配置方法； 3）熟悉并了解 SNORT 的三种不同工作模式。 4）熟悉并了解 SNORT 的入侵检测用规则的语法及规则编写方法； 5）编写检测规则,实现网络入侵行为的检测功能,并对其优缺点进行评估。 三、实验准备 1．SNORT 入侵检测系统的特性 开源特性： SNORT 是基于GPL 的跨多平台、轻量级、网络入侵检测软件。功能强大，代码简洁、短小， 并采用C语言实现。在遵循GPL的条件 下，任何人都可以使用该软件或者基于该软件进行二次开发。该系统是 目前最活跃的开源项目之一。 模块化结构： SNORT 的结构分为解码器、检测引擎和报警与日志等三个部分。各部分均可以采用相应的模块进行扩展。解码器部分可以支持的模块是各 种预处理器模块，以实现对各种协议的网络数据包进行不同层次的解 码；规则引擎可以通过规则的扩充与修改实现不同入侵行为的检测；报 警与日志部分则支持多种报警与日志输出模式，并可以借助各种输出插 件进行功能的扩展或调整。
基于规则的入侵检测技术： SNORT 是一种基于规则匹配的网络入侵检测器。在检测时，SNORT 会对规则文件中的规则进行解析，并在内存中建立规则树。检测时，每读入一个数据包，首先对包进行解码处理。然后，将解码后的数据包与规则树进行匹配工作。若找到相关的匹配规则，将触发该规则指定的报警或日志动作。 规则描述了入侵行为的特征；因此，SNORT是一种误用入侵检测技术。但借助相关的插件，例如 SPADE，SNORT 也可实现一定程度的异常入侵检测功能。 2．SNORT 的三种工作模式 SNORT 支持三种工作模式，分别为嗅探器工作模式、数据包记录模式 和网络入侵检测工作模式： 2.1 嗅探器工作模式： snort -vde. 该模式下，SNORT 将对网络数据包进行解码工作，并按照命令选项开指定的信息粒度，将数据包信息输出至用户终端供用户查看、分析。 2.2 网络数据包记录模式：snort –vde –l path/log。 该模式与嗅探器工作模式相比，SNORT 会将数据包信息记录至日志文件。日志文件的目录路径由 path/log 指定。 2.3 网络入侵检测工作模式：snort –vde –c path/snort.conf 该模式为SNORT 最重要最复杂的工作模式。在该模式下，STIDE将按照 SNORT.CONF文件的配置信息，完成网络入侵检测的功能。 3．SNORT 入侵检测规则语法及规则编写方法 SNORT 入侵检测规则的目的是描述入侵行为的特征。SNORT 规则语法 简单，实用。通常，一种规则分为规则头和规则选项等两部分： 规则头 Alert tcp !192.168.1.0/24 any -> 192.168.1.0/24 111 ( content: “｜00 01 86 a5|”; msg: “external mounted access”;) 规则选项 规则头通常包括：规则匹配时的触发动作、所检测数据包的协议、源和