当前位置：文档之家 › 入侵检测技术 第3章

入侵检测技术 第3章

  • 格式：ppt
  • 大小：276.00 KB
  • 文档页数：45

下载文档原格式

  / 45

合集下载

网御入侵检测系统V3.2用户安装手册(TD3000系列)

网御入侵检测系统V3.2用户安装手册(TD3000系列)

内存 硬盘 网卡 其他设备
最低配置：2G 内存，推荐配置：4G 内存 最低 120GB 数据库专用磁盘空间 至少一块网卡，无特殊要求 光驱、键盘、鼠标、显示器

Web 浏览器，具体硬件要求
3
网御入侵检测系统用户安装手册
硬件形式 浏览器类型 处理器 内存 硬盘 网卡 其他设备
PC IE6.0/IE7.0/IE8.0/Firfox （默认允许运行 ActiveX） N/A 内存 2G 以上，建议 4G。 N/A 至少一块网卡，无特殊要求 键盘、鼠标、显示器
北京网御星云信息技术有限公司 北京市海淀区东北旺西路 8 号中关村软件园 21 号楼 售后服务热线：400 810 7766 电子邮箱：shfw@
1
网御入侵检测系统用户安装手册
目
录
第 1 章 简述 ...................................................... 1 第 2 章 安装准备 .................................................. 2
2.1.1 硬件要求

控制中心：安装在一台 PC 之上的硬件要求
硬件形式 操作系统
PC Windows 2003（支持 32 位与 64 位）/ Windows Server Standard 2008（支持 32 位与 64 位）
处理器
最低配置： Pentium （R） Dual-Core CPUE5200 @ 2.5GHz 2.50GHz 推荐配置：四核 CPU
第 3 章 开箱检查 .................................................. 7 第 4 章 软件安装 .................................................. 8

信息安全概论复习提纲

信息安全概论复习提纲

信息平安概论复习提纲第1章绪论1、信息平安的六个属性机密性、完整性、可用性、非否认性、真实性、可控性〔前三者为经典CIA模型〕机密性：能够确保敏感或机密数据的传输和存储不遭受未授权的浏览，甚至可以做到不暴露保密通信的事实。

完整性：能够保障被传输、接受或存储的数据是完整的和未被篡改的，在被篡改的情况下能够发现篡改的事实或者篡改的设置。

可用性：即在突发事件下，依然能够保障数据和效劳的正常使用。

非否认性：能够保证信息系统的操作者或信息的处理者不能否认其行为或者处理结果，这可以防止参与某次操作或通信的一方事后否认该事件曾发生过。

真实性：真实性也称可认证性，能够确保实体身份或信息、信息来源的真实性。

可控性：能够保证掌握和控制信息与信息系统的根本情况，可对信息和信息系统的使用实施可靠的授权、审计、责任认定、传播源追踪和监管等控制。

2、从多个角度看待信息平安问题个人：隐私保护、公害事件企事业单位：知识产权保护、工作效率保障、不正当竞争军队、军工、涉密单位：失泄密、平安保密的技术强化运营商：网络运行质量、网络带宽占用〔P2P流量控制〕、大规模平安事件〔DDOS、大规模木马病毒传播〕、新商业模式冲击〔非法VOIP、带宽私接〕地方政府机关：敏感信息泄露、失泄密、网站篡改、与地方相关的网络舆情职能机关：案件侦破、网上反恐、情报收集、社会化管理国家层面：根底网络和重要信息系统的可用性、网上舆情监控与引导、失泄密问题、稳固政权、军事对抗、外交对抗、国际斗争3、威胁、脆弱点和控制（1）信息平安威胁(threat)：指某人、物、事件、方法或概念等因素对某信息资源或系统的平安使用可能造成的危害。

包括信息泄露、篡改、重放、假冒、否认、非授权使用、网络与系统攻击、恶意代码、灾害故障与人为破坏。

其他分类：暴露、欺骗、打搅、占用；被动攻击、主动攻击；截取、中断、篡改、伪造。

（2）脆弱点〔Vulnerability〕，即缺陷。

（3）控制〔control〕，一些动作、装置、程序或技术，消除或减少脆弱点。

课程大纲-入侵检测与防范技术

课程大纲-入侵检测与防范技术

入侵检测技术Intrusion Detection Technology课程编号：学分： 2学时： 30 （其中：讲课学时：30 实验学时：上机学时：0）先修课程：计算机网络，TCP/IP，Internet安全适用专业：信息安全教材：自编讲义开课学院：计算机科学与通信工程学院一、课程的性质与任务课程的性质：相比于静态安全技术，如防火墙技术、数据加密技术、访问控制技术等，起源于传统的系统审计技术基础上的入侵检测技术是一种全新的主动安全技术。

入侵检测的目的是检测计算机网络系统中用户违反安全策略的行为事件，其主要功能包括：（1）提供事件记录流的信息源；（2）发现入侵迹象的分析引擎；（3）基于分析引擎结果的响应。

误用检测和异常检测是入侵检测常用的方法，前者使用模式匹配技术，检测与已知攻击相匹配的活动模式或与安全策略相冲突的事件，后者则使用统计技术检测不经常发生的事件。

随着网络应用的不断深入，网络安全问题的日显重要，入侵检测系统的事件检测、攻击识别以及自动反应与响应能力等已使其成为现代网络安全技术的重要组成部分。

课程的基本任务：1．了解入侵检测技术的基本概念、发展现状及最新动态；2．掌握入侵检测的原理及系统构成；3．掌握入侵检测的常用方法与技术；4．了解提高入侵检测率对不同用户的要求。

二、课程的基本内容及要求第一章入侵检测技术概述1．基本内容（1）入侵检测的概念（2）入侵检测技术产生的原因（3）入侵检测技术的功能、发展历史及分类（4）入侵检测技术的基本构成和体系结构2．基本要求（1）掌握入侵检测的基本概念（2）掌握入侵检测系统的基本构成（2）了解入侵检测技术的作用和发展历史第二章入侵的方法与手段1．基本内容（1）计算机网络的主要漏洞（2）缓冲区溢出攻击（3）拒绝服务攻击（4）攻击分类2．基本要求（1）掌握缓冲区溢出攻击和拒绝服务攻击的原理（2）了解计算机网络的主要漏洞和攻击分类第三章入侵检测的信息源1．基本内容（1）信息源在入侵系统中的重要地位（2）基于主机的信息源（3）基于网络的信息源（4）基于网络的信息源的获取2．基本要求（1）掌握入侵检测的信息源获取的基本途径（2）了解信息源的作用第四章入侵检测方法1．基本内容（1）入侵检测的基本原理和主要方法（2）基于数据挖掘技术的入侵检测模型（3）基于数据融合技术的入侵检测模型2．基本要求（1）掌握入侵检测的基本原理（2）掌握异常检测与滥用检测常用的检测技术与相应的模型建立（3）掌握基于数据挖掘技术和数据融合技术的入侵检测模型的建立第五章典型的入侵检测系统介绍1．基本内容（1）入侵检测系统原型产品介绍（2）入侵检测系统商业产品介绍（3）免费入侵检测系统产品介绍（4）入侵检测系统产品的选择2．基本要求（1）了解各种入侵检测系统产品第六章入侵检测系统的弱点和局限1．基本内容（1）入侵检测系统的脆弱性分析（2）入侵检测系统体系结构的局限性2．基本要求（1）掌握网络系统脆弱性分析的基本方法（2）了解入侵检测系统的局限性第七章入侵检测系统的评价1．基本内容（1）入侵检测系统的评价标准（2）对入侵检测系统的测试与评估2．基本要求（1）掌握入侵检测系统的评价标准（2）掌握入侵检测系统测试与评估方法第八章入侵检测系统的发展方向1．基本内容（1）未来的信息社会（2）未来的技术趋势（3）未来的安全趋势2．基本要求了解未来信息社会发展对入侵检测技术带来的新的挑战四、大纲说明1、采用多媒体教学；2、为学生提供丰富的参考资料；五、参考书目参考资料主要来源于与入侵检测技术相关的国际学术期刊的学术论文和有关公司的技术报告制定人：韩牟审定人：批准人：日期：2013年5月10日课程简介课程编码：课程名称：入侵检测技术英文名称：Intrusion Detection Technology学分： 2学时： 3 0（其中：讲课学时2 6 实验学时： 0 上机学时：4 ）课程内容：相比于静态安全技术，如防火墙技术、数据加密技术、访问控制技术等，起源于传统的系统审计技术基础上的入侵检测技术是一种全新的主动安全技术。

网络安全防范及快速响应计划

网络安全防范及快速响应计划

网络安全防范及快速响应计划第1章网络安全防范基础 (3)1.1 网络安全概述 (3)1.2 防范策略与措施 (3)1.3 安全意识培训 (3)1.4 常见网络安全威胁 (4)第2章组织安全策略制定 (4)2.1 安全政策与法规 (4)2.2 风险评估与安全需求分析 (5)2.3 安全策略制定与实施 (5)2.4 安全策略的持续改进 (6)第3章网络边界安全防范 (6)3.1 防火墙技术与应用 (6)3.1.1 防火墙技术原理 (6)3.1.2 防火墙部署策略 (6)3.1.3 防火墙配置与管理 (6)3.2 入侵检测与防御系统 (6)3.2.1 入侵检测技术 (7)3.2.2 入侵防御技术 (7)3.2.3 IDS/IPS部署与管理 (7)3.3 虚拟专用网（VPN）技术 (7)3.3.1 VPN技术原理 (7)3.3.2 VPN应用场景 (7)3.3.3 VPN设备选型与管理 (8)3.4 边界安全设备的管理与维护 (8)3.4.1 设备配置管理 (8)3.4.2 设备状态监控 (8)3.4.3 设备维护与保养 (8)第4章内部网络防护 (8)4.1 网络架构优化 (8)4.1.1 网络分区 (8)4.1.2 网络设备选型与部署 (9)4.1.3 网络冗余与负载均衡 (9)4.2 访问控制与身份认证 (9)4.2.1 访问控制策略 (9)4.2.2 身份认证机制 (9)4.3 安全审计与监控 (9)4.3.1 安全审计 (9)4.3.2 网络监控 (9)4.4 数据加密与防护 (9)4.4.1 数据加密 (9)4.4.2 数据防护 (10)第5章应用层安全防范 (10)5.1 应用层攻击手段与防范策略 (10)5.1.1 应用层攻击手段 (10)5.1.2 防范策略 (10)5.2 Web安全防护 (11)5.3 邮件安全 (11)5.4 数据库安全 (11)第6章移动与云计算安全 (11)6.1 移动设备安全 (11)6.1.1 设备管理 (12)6.1.2 数据保护 (12)6.1.3 应用安全 (12)6.2 移动应用安全 (12)6.2.1 开发安全 (12)6.2.2 应用审核 (12)6.2.3 应用加固 (12)6.3 云计算安全挑战与应对 (13)6.3.1 数据安全 (13)6.3.2 安全合规 (13)6.3.3 安全防护 (13)6.4 云安全服务与解决方案 (13)6.4.1 云安全防护服务 (13)6.4.2 云安全解决方案 (13)第7章恶意代码防范 (14)7.1 恶意代码概述 (14)7.2 防病毒软件与防护策略 (14)7.3 特洛伊木马防范 (14)7.4 勒索软件防范与应对 (15)第8章网络安全事件响应 (15)8.1 安全事件分类与识别 (15)8.2 事件响应流程与策略 (15)8.3 事件调查与分析 (16)8.4 应急响应与恢复 (16)第9章安全合规与审计 (16)9.1 安全合规概述 (17)9.2 安全审计标准与法规 (17)9.3 安全合规性评估与审计 (17)9.4 合规性改进与持续监督 (17)第10章安全培训与意识提升 (18)10.1 安全培训计划与目标 (18)10.1.1 培训计划目标 (18)10.1.2 培训计划要素 (18)10.2 安全培训内容与方法 (18)10.2.1 培训内容 (18)10.2.2 培训方法 (19)10.3 员工安全意识提升策略 (19)10.3.1 建立安全文化 (19)10.3.2 安全意识培训 (19)10.3.3 安全意识评估 (19)10.4 安全培训效果评估与改进 (19)10.4.1 评估方法 (19)10.4.2 改进措施 (19)第1章网络安全防范基础1.1 网络安全概述网络安全是保护计算机网络及其组成部分免受意外或恶意行为侵害的过程。

电子商务安全技术实用教程第3章

电子商务安全技术实用教程第3章

防火墙应用的局限性

（1）不能防范不经过防火墙的攻击 （2）不能解决来自内部网络的攻击和安全问题
（3）不能防止受病毒感染的文件的传输
（4）不能防止数据驱动式的攻击 （5）不能防止系统安全体系不完善的攻击
3.防火墙的安全策略
（1）一切未被允许的都是禁止的（限制政策）

防火墙只允许用户访问开放的服务, 其它未开放的服务都是 禁止的。这种策略比较安全，因为允许访问的服务都是经过 筛选的, 但限制了用户使用的便利性。 防火墙允许用户访问一切未被禁止的服务, 除非某项服务被 明确地禁止。这种策略比较灵活, 可为用户提供更多的服务, 但安全性要差一些。

2. 网络安全的特征


（1）保密性：也称机密性，是强调有用信息只被授权对象使用的 安全特征。
（2）完整性：是指信息在传输、交换、存储和处理过程中，保持 信息不被破坏或修改、不丢失和信息未经授权不能改变的特性。 （3）可用性：也称有效性，指信息资源可被授权实体按要求访问、 正常使用或在非正常情况下能恢复使用的特性。 （4）可控性：是指信息系统对信息内容和传输具有控制能力的特 性，指网络系统中的信息在一定传输范围和存放空间内可控程度。 （5）可审查性：又称拒绝否认性、抗抵赖性或不可否认性，指网 络通信双方在信息交互过程中，确信参与者本身和所提供的信息 真实同一性。
（2）一切未被禁止的都是允许的（宽松政策）

3.2.2 防火墙的分类与技术
1．防火墙的分类

（1）软件防火墙与硬件防火墙

（2）主机防火墙与网络防火墙
（1）包过滤技术 （2）代理服务技术 （3）状态检测技术
2.防火墙的技术


（4）NAT技术

第3章 入侵检测系统

第3章 入侵检测系统

活动简档
保存主体正常活动的有关信息,具体实现依赖 于检测方法 随机变量:
1. 事件计数器(Event Counter):简单地记录特定事件的发 (Event Counter): 生次数 2. 间隔计时器(Interv计量器(Resource Measure):记录某个时间内特定 动作所消耗的资源量
代理
代理应该安装在像数据库、Web服务器、DNS 服务器和文件服务器等重要的资源上 适合放置代理资源的列表
1 1、账号、人力资源和研发数据库 2、局域网和广域网的骨干，包括路由器和交换机 3、临时工作人员的主机 4、SMTP，HTTP和FTP服务器 5、Modem池服务器和交换机、路由器、集线器 6、文件服务器 7、新的网络连接设备
管理式入侵检测模型
基于SNMP的IDS模型,简称SNMP-IDSM
攻击者采取的步骤
使用端口扫描、操作系统检测或者其他黑客工 具收集目标有关信息 寻找系统漏洞并利用这些漏洞 攻击成功，清除日志记录或隐藏自己 安装后门 使用已攻破的系统作为跳板入侵其他主机
SNMP-IDSM的五元组
<WHERE, WHEN, WHO, WHAT, HOW> WHERE：描述产生攻击的位置 WHEN：事件的时间戳 WHO：表明IDS观察到的事件 WHAT：记录详细信息，如协议类型、协议说明 数据等 HOW：用来连接原始事件和抽象事件
异常记录
用以表示异常事件的发生情况 格式为: <Event, Time-stamp, Profile>,含义: 1. Event: 指明导致异常的事件,如审计数据 2. Time-stamp: 产生异常事件的时间戳 3. Profile: 检测到异常事件的活动简档
活动规则

入侵检测习题答案

入侵检测习题答案第一章习题答案１.1 从物理安全和逻辑安全两个方面描述计算机安全的内容.答：计算机安全的内容包括物理安全和逻辑安全两方面。

物理安全指系统设备及相关设施受到物理保护，免于破坏、丢失等。

逻辑安全指计算机中信息和数据的安全，它存在于信息系统中从信息的产生、信息的传输、信息的存贮直至信息的应用这一全部过程，主要包括软件的安全、数据的安全和运行的安全。

软件的安全是保护各种软件及其文档不被任意篡改、失效和非法复制，数据安全是保护所存贮的数据资源不被非法使用和修改，运行安全是保护信息系统能连续正确地运行。

1.2 安全的计算机系统的特征有几个，它们分别是什么？答：安全的计算机信息系统是指可以信赖的按照期望的方式运行的系统，它必须能够保护整个系统使其免受任何形式的入侵。

它一般应该具有以下几个特征：太高，那么用户的合法行为就会经常性地被打断或者被禁止。

这样，不仅使得系统的可用性降低，而且也会使合法用户对系统失去信心。

1.3 描述并解释Anderson在１９７２年提出的计算机安全模型．答：Anderson在1972年提出了计算机安全模型，如图1.1所示。

图1.1 计算机安全模型其各个模块的功能如下:安全参考监视器控制主体能否访问对象。

授权数据库并不是安全参考监视器的一部分，但是安全参考监视器要完成控制功能需要授权数据库的帮助。

识别与认证系统识别主体和对象。

审计系统用来记录系统的活动信息。

该模型的实现采用访问控制机制来保证系统安全。

访问控制机制识别与认证主体身份，根据授权数据库的记录决定是否可以允许主体访问对象。

1.4 描述并解释P2DR模型.P2DR模型(Policy——策略，Protection—防护，Detection——检测，Response——响应)是一种动态的、安全性高的网络安全模型，如图1.3所示。

图1.3 P2DR模型它的基本思想是：以安全策略为核心，通过一致的检查、流量统计、异常分析、模式匹配以及应用、目标、主机、网络入侵检查等方法进行安全漏洞检测，检测使系统从静态防护转化为动态防护，为系统快速响应提供了依据，当发现系统有异常时，根据系统安全策略快速作出响应，从而达到了保护系统安全的目的。

入侵检测技术-课后答案

. ..页脚第1章入侵检测概述思考题：（1）分布式入侵检测系统（DIDS）是如何把基于主机的入侵检测方法和基于网络的入侵检测方法集成在一起的？答：分布式入侵检测系统是将主机入侵检测和网络入侵检测的能力集成的第一次尝试，以便于一个集中式的安全管理小组能够跟踪安全侵犯和网络间的入侵。

DIDS的最初概念是采用集中式控制技术，向DIDS中心控制器发报告。

DIDS解决了这样几个问题。

在大型网络互联中的一个棘手问题是在网络环境下跟踪网络用户和文件。

DIDS允许用户在该环境过自动跨越被监视的网络跟踪和得到用户身份的相关信息来处理这个问题。

DIDS是第一个具有这个能力的入侵检测系统。

DIDS解决的另一个问题是如何从发生在系统不同的抽象层次的事件中发现相关数据或事件。

这类信息要求要理解它们对整个网络的影响，DIDS用一个6层入侵检测模型提取数据相关性，每层代表了对数据的一次变换结果。

（2）入侵检测作用体现在哪些方面？答：一般来说，入侵检测系统的作用体现在以下几个方面：●监控、分析用户和系统的活动；●审计系统的配置和弱点；●评估关键系统和数据文件的完整性；●识别攻击的活动模式；●对异常活动进行统计分析；●对操作系统进行审计跟踪管理，识别违反政策的用户活动。

（3）为什么说研究入侵检测非常必要？答：计算机网络安全应提供性、完整性以及抵抗拒绝服务的能力，但是由于连网用户的增加，网上电子商务开辟的广阔前景，越来越多的系统受到入侵者的攻击。

为了对付这些攻击企图，可以要求所有的用户确认并验证自己的身份，并使用严格的访问控制机制，还可以用各种密码学方法对数据提供保护，但是这并不完全可行。

另一种对付破坏系统企图的理想方法是建立一个完全安全的系统。

但这样的话，就要求所有的用户能识别和认证自己，还要采用各种各样的加密技术和强访问控制策略来保护数据。

而从实际上看，这根本是不可能的。

因此，一个实用的方法是建立比较容易实现的安全系统，同时按照一定的安全策略建立相应的安全辅助系统。

入侵检测技术

3．入侵检测系统的需求特性 1）可靠性： 2）适应性：检测系统必须能随时追踪系统环境的改变。 3）有效性：能检测系统的报告错误或漏报控制在一定的范围内。 4）安全性：检测系统必须难于被欺骗，能够保护自身的安全。 5）容错性：检测系统的容错要求即使在系统崩溃的情况下，检测 系统仍能保留下来。
1.2 入侵检测系统的组成
用专家系统对入侵进行检测，经常是针对有特征的 入侵行为。规则，即是知识，不同的系统与设置具 有不同的规则，且规则之间往往无通用性。专家系 统的建立依赖于知识库的完备性，知识库的完备性 以取决于审计记录的完备性与实时性。入侵的特征 抽取与表达，是入侵检测专家系统的关键。在系统 实现中，将有关入侵的知识转化为if-then结构，条 件部分为入侵特征，then部分是系统防范措施。运 用专家系统防范有特征入侵行为的有效性完全取决 于专家系统知识库的完备性。
由于嗅探技术的限制，网络节点入侵检测仅仅能分析目 的地址是主机地址的包，但是由于网络节点入侵检测的 特性，当网络使用的是一个高速通信网络、加密网络或 者使用了交换式设备，网络节点入侵检测仍然能对所有 的子网进行检测。网络节点入侵检测的优势在于，能有 效的抵御针对特定主机的基于包的攻击。
1.3 常用的入侵检测方法 入侵检测系统常用的检测方法有特征测、统 计检测与专家系统。据公安部计算机信息系 统安全产品质量监督检验中心的报告，国内 送检的入侵检测产品中95%是属于使用入侵 模式匹配的特征检测产品，其他5%是采用 概率统计的统计检测产品与基于日志的专家 知识库型产品。
1．什么是入侵检测 入侵检测系统（IDS，Intrusion detection system）是为保证计算机系统的安全而设计与 配置的一种能够及时发现并报告系统中未授权 或异常现象的系统，是一种用于检测计算机网 络中违反安全策略行为的系统。入侵和滥用都 是违反安全策略的行为。

第3章 入侵检测系统模型


3.2 信息收集
• 3.2.2 信息源的获取 • 入侵检测利用的信息源一般来自以下四个方面： • 1. 系统和网络日志文件 黑客经常在系统日志文件中留下他们的踪迹，因此，充分利 用系统和网络日志文件信息是检测入侵的必要条件。日志中包 含发生在系统和网络上的不寻常和不期望活动的证据，这些证 据可以指出有人正在入侵或已成功入侵了系统。通过查看日志 文件，能够发现成功的入侵或入侵企图，并很快地启动相应的 应急响应程序。日志文件中记录了各种行为类型，每种类型又 包含不同的信息，例如记录“用户活动”类型的日志，就包含 登录、用户ID改变、用户对文件的访问、授权和认证信息等内 容。很显然地，对用户活动来讲，不正常的或不期望的行为就 是重复登录失败、登录到不期望的位置以及非授权的企图访问 重要文件等等。
3.1 入侵检测系统模型概述
• 图：
3.2 信息收集
入侵检测的第一步是信息收集，内容包括系统、网络、 数据及用户活动的状态和行为。而且，需要在计算机网络 系统中的若干不同关键点（不同网段和不同主机）收集信 息，这除了尽可能扩大检测范围的因素外，还有一个重要 的因素就是从一个源来的信息有可能看不出疑点，但从几 个源来的信息的不一致性却是可疑行为或入侵的最好标识。
3.1 入侵检测系统模型概述
美中不足的是， IDS 普遍存在误报问题，导致入侵检 测的实用性大打折扣，采用智能处理模块解决这个问题， 智能处理模块包括下面功能: • 1. 全面集成入侵检测技术，将多个代理传送到管理器的数 据整合起来，经过智能处理，将小比例的多个事件整合形 成一个放大的全面事件图。 • 2. 对于一个特定的漏洞和攻击方法， IDS 先分析系统是 否会因为这个缺陷而被入侵，然后再考虑与入侵检测的关 联(报警)。
3.2 信息收集
  1. 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
  2. 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
  3. 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

2. Windows 2000 Windows 2000以事件日志机制形式提供数据源， 使用事件查看器进行查看和管理。可以根据事件的日 志记录来识别和跟踪安全性事件、资源使用情况，以 及系统和应用程序中发生的错误等。 Windows 2000事件日志机制收集3种类型的系统事 件： 应用程序日志、安全日志和系统日志，如图3-3 所示。右击某个记录，在“属性”中可以看到关于此 记录的详细说明。记录本身又分为几种情况： “错 误”是指比较严重的问题，通常是出现了数据丢失或 功能丢失；“警告”则表明情况暂时不严重，但可能 会在将来引起错误，比如磁盘空间太小等；“信息” 是记录运行成功的事件。
第3章 入侵检测技术的分类 章
3.1 入侵检测的信息源 3.2 分类方法 3.3 具体的入侵检测系 统
3.1 入侵检测的信息源
对于入侵检测系统而言，输入数据的选择是首先需 要解决的问题： ⑴ 入侵检测的输出结果，首先取决于所能获得的 输入数据的数量和质量。 ⑵ 具体采用的入侵检测技术类型，也常常因为所 选择的输入数据的类型不同而各不相同。
图3-3 ws 2000事件查看器
① 应用程序日志记载应用程序运行方面的错误。 ② 安全日志记录与安全性相关的事件，例如与资 源使用有关的事件，还包括合法和非法的登录企图。 管理员可以指定将哪些事件记录在安全日志中。安全 性事件根据审计策略被记录在安全性日志中。注意， Windows 2000的默认安装是不打开任何安全日志审 核的，需要在“本地安全设置”→“本地策 略”→“审核策略”中打开相应的审核，如图3-4所 示。 ③ 系统日志包括由Windows 2000系统组件记录的 事件，系统事件由Windows 2000自动配置，并记录 在系统日志中。 所有用户都能够查看应用程序日志和系统日志，但 安全性日志只能由系统管理员访问。
当前根目录、工作目录及其绝对路径
请求（系统调用）返回值
图3-1 BSM审计记录格式
Header Token token ID record size event type * time of queue * Process Token token ID audit ID * user ID * feal user ID real group ID* process ID*
syslog可以记录系统事件，可以写消息到一个文件 或设备，或是直接给用户发送一个信息。它能记录本 地日志或通过网络记录另一个主机上的日志。syslog 设备包括两个重要元素： /etc/syslogd（守护程序） 和/etc/syslog.conf 配置文件。 syslogd可以处理的消息类型在 /usr/include/sys/syslog.h中进行定义。一个消息可以 分成两个部分： “设备”和“优先级”。“设备” 标识发出消息的子系统，这是内核定义的所有的设备， 如表3-2所示。 下面是在内核头文件中定义的所有消息优先级。 “优先级”表示消息的重要性，其范围从7（最低） 到0（最高）。
1. Sun Solaris BSM Sun公司的Solaris操作系统是目前流行的服务器 UNIX操作系统，其中包含的BSM安全模块使得 Solaris系统满足TCSEC标准的C2级审计功能要求。 BSM安全审计子系统的主要概念包括审计日志、审 计文件、审计记录和审计令牌等，其中审计日志由一 个或多个审计文件组成，每个审计文件包含多个审计 记录，而每个审计记录则由一组审计令牌（audit token）构成。 图3-1所示为BSM审计记录的格式。 每个审计令牌包括若干字段，如图3-2所示。
Path Token token ID size of root current root size of dir current dir size of path path argument * Attribute Token token ID vnode mode * vnode uid * vnode gid * vnode fsid * vnode nodeid * vnode rdev *
右击每条日志，选择属性，可以看见对此日志条目 的具体描述。描述信息清晰地说明了此事件相关的情 况，如图3-5所示。 利用事件查看器可以根据特定需求快速地查看和筛 选事件日志。事件查看器还可以管理事件日志。 通过查看和分析事件日志，可以检测出需要系统管 理员加以重点考虑的事件。根据对这些事件日志的分 析，可能需要解决相关的安全问题、系统问题，或者 对资源进行重新分配等。另外，可能还需要就审核策 略、监视设置值、安全性设置值、应用程序配置，以 及系统配置问题等提供改进建议。
Header* Process* ［Argumnet］* ［Attribute］* ［Data］ ［In_addr］ ［Ip］ ［Ipc_perm］ ［Ipc］ ［Iport］ ［Path］* ［Text］ ［Groups］ ［Opaque］ ［Return］* ［Trailer］
首令牌字段 审计进程信息 系统调用参数信息 属性信息
③ 时间： 事件产生的详细时间，精确到秒。 ④ 来源： 事件的生成者，有很多种类的来源。例 如disk、Srv、SNMP、Windows File Protection等， 这其中有来自操作系统内部程序的，也有来自应用程 序的。 ⑤ 分类： 对事件的分类，如系统事件、特权使用、 登录/注销、Firing Agent等。 ⑥ 事件： 事件ID。Windows 2000用不同的ID来表 明惟一的事件。 ⑦ 用户： 用户名称。包括N/A、SYSTEM、 Administrator等。 ⑧ 计算机： 计算机名称。可以是本地计算机，也 可以是远程计算机。
utmp、wtmp和lastlog是二进制文件，不能用普通 文本查看器查看，只能通过系统命令来查看，主要包 括用户名、终端、登录ip、CPU使用时间、正在运行 的进程、登录时间和退出时间等内容。 UNIX可以跟踪每个用户运行的每条命令。该功能 （称为进程日志）对于跟踪系统问题十分有用。它还 对跟踪特定入侵者（或恶意用户）的活动很有帮助， 但它的缺点是不能记录命令的参数。进程日志文件的 名称和位置在不同UNIX 版本中有所不同。 与连接日志不同，进程日志默认时并不激活，它必 须显式地启动。 lastcomm命令报告以前执行的命令。sa命令报告、 清理并维护进程日志文件。
3.1.1 操作系统的审计记录
在入侵检测技术的发展历史中，最早采用的用于入 侵检测任务的输入数据源就是操作系统的审计记录。 操作系统的审计记录是由操作系统软件内部的专门审 计子系统所产生的，其目的是记录当前系统的活动信 息，并将这些信息按照时间顺序组织成为一个或多个 审计文件。 不同的系统在审计事件的选择、审计记录的选择和 内容组织等诸多方面都存在着兼容性的问题。另外一 个存在的问题是，操作系统审计机制的设计和开发的 初始目标，并不是为了满足后来才出现的入侵检测技 术的需求目的。
LOG_EMERG 0 /* system is unusable */ LOG_ALERT 1 /* action must be taken immediately */ LOG_CRIT 2 /* critical conditions */ LOG_ERR 3 /* error conditions */ LOG_WARNING 4 /* warning conditions */ LOG_NOTICE 5 /* normal but significant condition */ LOG_INFO 6 /* informational */ LOG_DEBUG 7 /* debug-level messages */
图3-5 事件属性信息
3.1.2 系统日志
系统使用日志机制记录下主机上发生的事情，无论 是对日常管理维护，还是对追踪入侵者的痕迹都非常 关键。日志可分为操作系统日志和应用程序日志两部 分。操作系统日志从不同的方面记录了系统中发生的 事情，对于入侵检测而言具备重要的价值。 系统日志的安全性与操作系统的审计记录比较而言， 要差一些，其原因如下： ⑴ 产生系统日志的软件通常是在内核外运行的应 用程序，因而这些软件容易受到恶意的修改或攻击。 ⑵ 系统日志通常是存储在普通的不受保护的文件 目录里，容易受到恶意的篡改和删除等操作。
操作系统审计记录被认为是基于主机入侵检测技术 的首选数据源： ⑴ 操作系统的审计系统在设计时，就考虑了审计 记录的结构化组织工作以及对审计记录内容的保护机 制，因此操作系统审计记录的安全性得到了较好的保 护。 ⑵ 操作系统审计记录提供了在系统内核级的事件 发生情况，反映的是系统底层的活动情况并提供了相 关的详尽信息，为发现潜在的异常行为特征奠定了良 好的基础。 下面分别介绍两种流行的操作系统Sun Solaris和 Windows 2000的审计系统机制及审计记录格式。
图3-2 BSM审计令牌格式
每个BSM审计记录都揭示了一次审计事件（audit event）的发生。BSM审计机制中定义了若干审计事 件类型，而通常的入侵检测系统仅使用了其中部分事 件类型，其他则丢弃。不同的审计事件类型所生成的 审计记录，都会包含不同的审计令牌组合。一般而言， Header、Process、Return和Trailer令牌字段是固定 字段。 BSM审计记录以二进制的形式进行存储，其字段结 构和数据结构大小都实现了预先定义，从而提供了在 不同平台系统间进行移植的兼容性。
图3-4 审核策略的指定
Windows 2000的事件日志由多个事件记录组成， 如图3-3所示，事件查看器中的3种类型日志，其所包 含的事件日志的格式统一如下所示。 ① 类型： 事件查看器显示以下5种事件类型。 ● 错误： 重要的问题，如数据丢失或功能丧失。 ● 警告： 不是非常重要但将来可能出现的问题的 事件。 ● 信息： 描述应用程序、驱动程序或服务的成功 操作的事件。 ● 成功审核： 审核安全访问尝试成功。 ● 失败审核： 审核安全访问尝试失败。 ② 日期： 事件产生的详细日期。
③syslogd日志，由syslogd生成并维护。各种系统 守护进程、内核、模块使用syslogd记录下自己发出 的消息。 另外还有许多UNIX程序创建日志，像http 或ftp这 样提供网络服务的服务器也保持详细的日志。常用的 日志文件如表3-1所示。 utmp、wtmp和lastlog日志文件是多数主要UNIX日 志子系统的关键——保持用户登录进入和退出的记录。 数据交换、关机和重启也记录在wtmp文件中。所有 的记录都包含时间戳。这些文件的规模（除了lastlog） 在拥有大量用户的繁忙系统中，将会增长得非常迅速。 许多系统以天或周为单位把wtmp配置成循环使用。