入侵检测系统通用技术要求

入侵检测系统1. 引言1.1 背景近年来，随着信息和网络技术的高速发展以及其它的一些利益的驱动，计算机和网络基础设施，特别是各种官方机构网站成为黑客攻击的目标，近年来由于对电子商务的热切需求，更加激化了各种入侵事件增长的趋势。

作为网络安全防护工具“防火墙”的一种重要的补充措施，入侵检测系统(Intrusion Detection System，简称 IDS)得到了迅猛的发展。

依赖防火墙建立网络的组织往往是“外紧内松”，无法阻止内部人员所做的攻击,对信息流的控制缺乏灵活性从外面看似非常安全，但内部缺乏必要的安全措施。

据统计，全球80%以上的入侵来自于内部。

由于性能的限制，防火墙通常不能提供实时的入侵检测能力，对于企业内部人员所做的攻击，防火墙形同虚设。

入侵检测是对防火墙及其有益的补充，入侵检测系统能使在入侵攻击对系统发生危害前，检测到入侵攻击，并利用报警与防护系统驱逐入侵攻击。

在入侵攻击过程中，能减少入侵攻击所造成的损失。

在被入侵攻击后，收集入侵攻击的相关信息，作为防范系统的知识，添加入知识库内，增强系统的防范能力，避免系统再次受到入侵。

入侵检测被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监听，从而提供对内部攻击、外部攻击和误操作的实时保护,大大提高了网络的安全性。

1.2 背国内外研究现状入侵检测技术国外的起步较早，有比较完善的技术和相关产品。

如开放源代码的snort，虽然它已经跟不上发展的脚步，但它也是各种商业IDS的参照系；NFR公司的NID等，都已相当的完善。

虽然国内起步晚，但是也有相当的商业产品：天阗IDS、绿盟冰之眼等不错的产品，不过国外有相当完善的技术基础，国内在这方面相对较弱。

2. 入侵检测的概念和系统结构2.1 入侵检测的概念入侵检测是对发生在计算机系统或网络中的事件进行监控及对入侵信号的分析过程。

使监控和分析过程自动化的软件或硬件产品称为入侵检测系统（Intrusion Detection System），简称IDS。

入侵检测的评估与标准(一)入侵检测的评估与标准1. 引言•入侵检测系统（Intrusion Detection System, IDS）是网络安全防护的重要组成部分之一。

•评估和标准对于确保入侵检测系统的可靠性和有效性非常重要。

2. 评估原则•评估入侵检测系统应该遵循以下原则：1.全面性：评估覆盖所有可能的入侵方法和技术。

2.实用性：评估结果能够为实际防御提供有效的指导和建议。

3.客观性：评估结果应基于客观的数据和准确的测试过程。

4.可复现性：评估过程应可重复进行，以确保结果的准确性。

3. 评估方法•常用的入侵检测系统评估方法包括：1.基准测试：通过使用已知的攻击模式和漏洞来评估系统的检测能力。

2.模拟攻击：利用模拟工具模拟各种攻击行为，测试系统的检测和响应能力。

3.实战测试：在真实网络环境中进行测试，检验系统对真实威胁的识别和响应能力。

4.安全漏洞扫描：通过扫描系统中的漏洞，评估系统的漏洞管理和修复能力。

4. 评估指标•在评估入侵检测系统时，可以考虑以下指标：1.准确率：系统正确识别和报警的比例。

2.假阳性率：系统错误地将正常行为误报为入侵行为的比例。

3.检测率：系统成功检测到的入侵事件的比例。

4.响应时间：系统发现入侵事件后采取相应措施所需的时间。

5.可伸缩性：系统在大规模网络环境下的工作能力和性能。

5. 入侵检测标准•国际上常用的入侵检测标准包括：1.入侵检测评估计划（Intrusion Detection EvaluationPlan, IDEP）：提供评估方法和工具，用于评估入侵检测系统的性能和效果。

2.入侵检测评估准则（Intrusion Detection EvaluationCriteria, IDEC）：定义了评估入侵检测系统所需满足的基本要求和性能标准。

3.入侵检测功能要求（Intrusion Detection FunctionalRequirements, IDFR）：规定了入侵检测系统应具备的基本功能和能力。

数据安全防护通用技术要求概述数据安全防护是当今信息社会中至关重要的一个议题。

随着互联网的迅猛发展，个人和机构的数据面临着日益增加的风险。

保护数据的安全性已经成为了一项战略性任务，需要采取一系列的技术措施来确保数据的机密性、完整性和可用性。

本文将深入探讨数据安全防护的通用技术要求，以期为个人和机构提供有价值的参考。

数据分类与保护级别数据分类在进行数据安全防护之前，首先需要对数据进行分类。

根据数据的敏感程度、价值以及可能产生的风险，可以将数据分为以下几类： 1. 个人身份信息（PII）：包括姓名、身份证号码、地址等与个人身份相关的信息。

2. 商业机密数据：包括商业计划、财务数据、技术规范等与企业运营相关的敏感数据。

3. 客户数据：包括客户的个人信息、交易记录等与客户关系管理相关的数据。

4. 知识产权：包括专利、商标、著作权等与企业创新相关的敏感数据。

保护级别为了有效保护数据的安全，需要根据数据的分类确定相应的保护级别。

通常可以将保护级别划分为以下几个层次： 1. 机密级：对应于最敏感的数据，需要最高级别的保护。

未经授权人员不得查看、复制、修改或传输该类数据。

2. 秘密级：对应于较为敏感的数据，需要较高级别的保护。

只有授权人员才能查看、复制、修改或传输该类数据。

3. 内部级：对应于一般的内部数据，需要基本级别的保护。

需要对数据访问进行权限控制，只有有限的人员能够查看、复制、修改或传输该类数据。

4. 开放级：对应于公开的数据，需要最低级别的保护。

可以对数据进行公开访问，但仍需要保护其完整性和可用性。

数据安全防护技术要求访问控制1.鉴权和授权：对访问数据的用户进行身份验证，并授予其相应的权限。

强制使用复杂的密码策略，包括定期更换密码、密码长度和复杂度要求等。

2.横向权限控制：限制用户只能访问其所需的数据，避免用户越权访问数据。

3.传输加密：在数据传输过程中使用加密算法，确保数据在传输过程中不被窃听或篡改。

网络入侵检测技术一、入侵检测发展史1980年，在James P. Anderson 的文章“Computer Security Threat Monitoring and Surveillance”中[1]，“入侵检测”的概念首次被提出。

为开发基于主机的IDS提供了最初的理论基础。

1985年，美国国防部计算机安全中心（NCSC）正式颁布了《可信任的计算机系统评估标准》（Trusted Computer System Evalution Criteria, TCSEC）。

TCSEC为预防非法入侵定义了四类七个安全级别。

由低到高分别是D、C1、C2、B1、B2、B3、A1，规定C2以上级别的操作系统必须具备审计功能，并记录日志。

TCSEC标准的发布对操作系统、数据库等方面的安全发展起到了很大的推动作用，是信息安全发展史上的一个里程碑。

1988年，莫里斯（Morris）蠕虫感染了Internet上近万台计算机，造成Internet持续两天停机。

美国空军、国家安全局、加州大学戴维斯分校等开展对分布式入侵检测系统（DIDS）的研究，将基于主机和基于网络的检测方法集成到一起1990年，加州大学戴维斯分校的L.T.Heberlein等人提出了基于网络的入侵检测概念，即将网络数据流作为审计数据来追踪可疑的行为。

1992年，加州大学的Koral llgun开发出实时入侵检测系统USTAT（a State Transition Analysis Tool for UNIX）。

他们提出的状态转换分析法，使用系统状态与状态转换的表达式描述和检测已知的入侵手段，使用反映系统状态转换的图表直观地记载渗透细节。

1994年，普渡大学计算机系COAST实验室的Mark Crosbie和Gene Spafford 研究了遗传算法在入侵检测中的应用。

使用遗传算法构建的智能代理（Autonomous Agents）程序能够识别入侵行为，而且这些agents具有“学习”用户操作习惯的初步智能。

计算机信息系统安全等级保护通用技术要求计算机信息系统安全等级保护通用技术要求是指国家对计算机信息系统安全等级保护的基本要求和具体规定，旨在保护计算机信息系统的安全性和可靠性，防止信息泄露和被非法获取、篡改、破坏等风险。

下面将从不同的方面介绍这些通用技术要求。

一、计算机信息系统安全等级保护的基本概念和原则1. 安全等级划分：根据信息系统的重要性和对安全性的要求，将计算机信息系统划分为不同的安全等级，如一级、二级、三级等。

2. 安全等级保护的原则：信息系统安全等级保护应遵循适度性原则、综合性原则、风险可控原则和动态性原则。

二、计算机信息系统安全等级保护的基本要求1. 安全保密要求：对于不同的安全等级，要求对信息进行保密，包括数据的存储、传输和处理过程中的保密措施。

2. 安全完整性要求：信息系统应能够保证数据的完整性，防止被篡改或损坏。

3. 安全可用性要求：信息系统应保证在合法使用的范围内，能够及时、准确地提供服务。

4. 安全可控性要求：信息系统应具备对用户和系统进行有效控制的能力，确保安全控制的有效性和可操作性。

5. 安全可追溯性要求：信息系统应能够记录用户和系统的操作行为，以便追溯和审计。

6. 安全可恢复性要求：信息系统应具备故障恢复和灾难恢复的能力，确保系统在遭受破坏或故障后能够快速恢复正常运行。

三、计算机信息系统安全等级保护的具体技术要求1. 访问控制技术要求：对信息系统的用户进行身份认证和权限控制，确保只有经过授权的用户才能访问系统和数据。

2. 加密技术要求：对敏感数据进行加密，包括数据的存储、传输和处理过程中的加密措施。

3. 安全审计技术要求：对信息系统的操作行为进行审计和监控，及时发现和应对安全事件。

4. 安全保护技术要求：对信息系统进行防火墙、入侵检测和防护等技术措施，防止网络攻击和恶意代码的侵入。

5. 安全管理技术要求：建立健全的安全管理制度和流程，包括安全策略、安全培训和安全漏洞管理等。

第一章入侵检测系统概念当越来越多的公司将其核心业务向互联网转移的时候，网络安全作为一个无法回避的问题呈现在人们面前。

传统上，公司一般采用防火墙作为安全的第一道防线。

而随着攻击者知识的日趋成熟，攻击工具与手法的日趋复杂多样，单纯的防火墙策略已经无法满足对安全高度敏感的部门的需要，网络的防卫必须采用一种纵深的、多样的手段。

与此同时，当今的网络环境也变得越来越复杂，各式各样的复杂的设备，需要不断升级、补漏的系统使得网络管理员的工作不断加重，不经意的疏忽便有可能造成安全的重大隐患。

在这种环境下，入侵检测系统成为了安全市场上新的热点，不仅愈来愈多的受到人们的关注，而且已经开始在各种不同的环境中发挥其关键作用。

本文中的“入侵”（Intrusion）是个广义的概念，不仅包括被发起攻击的人（如恶意的黑客）取得超出合法范围的系统控制权，也包括收集漏洞信息，造成拒绝访问（Denial of Service）等对计算机系统造成危害的行为。

入侵检测（Intrusion Detection），顾名思义，便是对入侵行为的发觉。

它通过对计算机网络或计算机系统中得若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。

进行入侵检测的软件与硬件的组合便是入侵检测系统（Intrusion Detection System,简称IDS）。

与其他安全产品不同的是，入侵检测系统需要更多的智能，它必须可以将得到的数据进行分析，并得出有用的结果。

一个合格的入侵检测系统能大大的简化管理员的工作，保证网络安全的运行。

具体说来，入侵检测系统的主要功能有（[2]）：a.监测并分析用户和系统的活动；b.核查系统配置和漏洞；c.评估系统关键资源和数据文件的完整性；d.识别已知的攻击行为；e.统计分析异常行为；f.操作系统日志管理，并识别违反安全策略的用户活动。

由于入侵检测系统的市场在近几年中飞速发展，许多公司投入到这一领域上来。