第六章入侵检测与防火墙技术

计算机网络防火墙与入侵检测技术近年来，随着互联网的快速发展，计算机网络安全问题也日益突出。

面对日益猖獗的网络病毒和黑客攻击，保护网络安全成为了一项重要任务。

在这个背景下，计算机网络防火墙和入侵检测技术应运而生，成为保障网络安全的重要工具。

一、计算机网络防火墙的工作原理和作用计算机网络防火墙是一种位于网络边界的设备，它的主要作用是监控和过滤网络流量，防止不安全的网络请求进入内部网络。

防火墙工作的主要原理是基于规则和策略进行流量的检测和过滤，它可以根据设置的规则，对进出网络的数据进行识别和限制。

防火墙可以阻止不具备访问权限的外部网络请求，并过滤掉具有潜在危险的恶意流量，保护内部网络的安全。

它可以监控并记录网络访问行为，及时发现和阻止潜在的攻击行为，有效降低网络安全风险。

二、防火墙技术的发展趋势随着网络攻击手段的不断升级和演化，防火墙技术也在不断发展。

传统的基于规则的防火墙已经不能满足对网络安全的需求，新的技术应运而生。

1. 应用层防火墙：传统的防火墙只能检测和过滤网络流量的源IP和目的IP，无法对应用层的请求进行深入识别和过滤。

而应用层防火墙则可以根据具体的协议、应用或数据内容来进行识别和过滤，提高了防火墙的精确度和准确性。

2. 智能防火墙：智能防火墙基于机器学习和人工智能技术，可以学习和分析网络流量的模式和特征，自动调整防火墙策略，提高防护的智能化和自适应性。

3. 云防火墙：云防火墙是一种将防火墙功能部署在云端的技术，可以对云上的网络流量进行实时监控和过滤，为企业提供更加灵活和可扩展的安全解决方案。

三、入侵检测技术的原理和分类除了防火墙，入侵检测技术也是保护网络安全的重要手段。

入侵检测技术可以通过对网络流量和系统状态的监控，及时发现和识别潜在的入侵行为，并作出相应的响应和防护。

入侵检测技术分为网络入侵检测系统（NIDS）和主机入侵检测系统（HIDS）两大类。

1. 网络入侵检测系统：网络入侵检测系统通过监控网络流量和数据包来识别网络入侵行为。

• 误用检测模型

如果入侵特征与正常的用户行能匹配，则系统 会发生误报；如果没有特征能与某种新的攻击 行为匹配，则系统会发生漏报

特点：采用特征匹配，滥用模式能明显降低错 报率，但漏报率随之增加。攻击特征的细微变 化，会使得滥用检测无能为力
• 入侵检测的分类（2）
按照数据来源：
基于主机：系统获取数据的依据是系统


Automated Response



首先，可以通过重新配置路由器和防火墙，拒绝那些来 自同一地址的信息流;其次，通过在网络上发送reset包 切断连接 但是这两种方式都有问题，攻击者可以反过来利用重新 配置的设备，其方法是：通过伪装成一个友方的地址来 发动攻击，然后IDS就会配置路由器和防火墙来拒绝这 些地址，这样实际上就是对“自己人”拒绝服务了 发送reset包的方法要求有一个活动的网络接口，这样它 将置于攻击之下，一个补救的办法是：使活动网络接口 位于防火墙内，或者使用专门的发包程序，从而避开标 准IP栈需求
信息分析
模式匹配 统计分析 完整性分析，往往用于事后分析
模式匹配

模式匹配就是将收集到的信息与已知的网络入侵 和系统误用模式数据库进行比较，从而发现违背 安全策略的行为

一般来讲，一种进攻模式可以用一个过程（如执 行一条指令）或一个输出（如获得权限）来表示。 该过程可以很简单（如通过字符串匹配以寻找一 个简单的条目或指令），也可以很复杂（如利用 正规的数学表达式来表示安全状态的变化）
VPN
防病毒
保护公网上的内部通信
针对文件与邮件，产品成熟
可视为防火墙上的一个漏洞
功能单一
入侵检测的起源（1）
1980年4月，James P. Anderson :《Computer

（2）序列号猜测 序列号的猜测方法如下：攻击者先与被攻
击主机的一个端口（SMTP是一个很好的选 择）建立起正常的连接。通常，这个过程 被重复若干次，并将目标主机最后所发送 的ISN（初始序列号）存储起来。攻击者还 需要估计他的主机与被信任主机之间的 RTT时间（往返时间），这个RTT时间是通 过多次统计平均求出的。RTT对于估计下 一个ISN是非常重要的。一般每秒钟ISN增 加128000，每次连接增加64000。现在就 不难估计出ISN的大小了，它是128000乘 以RTT的一半，如果此时目标主机刚刚建 立过一个连接，那么再加上一个64000。

6.2.4 网络监听 网络监听可以监视网络的状态、数据流
动情况以及网络上传输的信息，是网络管 理员的一种监视和管理网络的一种方法， 但网络监听工具也常是黑客们经常使用的 工具。当信息以明文的形式在网络上传输 时，便可以使用网络监听的方式来进行攻 击。只要将网络接口设置在监听模式，便 可以源源不断地将网上传输的信息截获。 网络监听可以在网上的任何一个位置实 施，如局域网中的主机、网关或远程网的 调制解调器之间等。黑客们用得最多的是 截获用户的口令。
6.1.2系统攻击的三个阶段
1. 收集信息
2. 探测系统安全弱点
3. 实施攻击
6.1.3网络入侵的对象 1. 固有的安全漏洞 2. 系统维护措施不完善的系统
3．缺乏良好安全体系的系统
6.1.2入侵者进入系统的主要途径 物理侵入: 如果一个侵入者对主机有物理进入权限。 (比如他们能使用键盘或者参与系统),应该可以进入。 方法包括控制台特权一直到物理参与系统并且移走 磁盘(在另外的机器读/写)。甚至BIOS保护也很容易 穿过的: 事实上所有的BIOS都有后门口令。 系统侵入: 这类侵入表现为侵入者已经拥有在系统 用户的较低权限。如果系统没有打最新的漏洞补丁， 就会给侵入者提供一个利用知名漏洞获得系统管理 员权限的机会。 远程侵入: 这类入侵指入侵者通过网络远程进入系 统。侵入者从无特权开始这种侵入方式包括多种形 式。比如如果在他/她和受害主机之间有防火墙存在 侵入者就复杂得多。 应该注意网络侵入检测系统主要关心远程侵入。

（1）上班时间不能聊QQ或MSN，不能上网玩 “种菜”或观看在线电影。
（2）上班时不能下载大容量文件。 另一家杜危软件公司由于条件有限，没有购买防
火墙，网络管理员王兴为了网络安全运行，通 过配置路由器来执行防火墙的功能。
项目分解
任务一：配置和应用防火墙 任务1-1防火墙的基本配置 任务1-2防火墙的应用 任务1-3防火墙的安放位置
任务二：应用入侵检测技术 任务2-1认识入侵检测系统 任务2-2基于SessionWall的入侵检测
任务实施过程
任务一：配置和应用防火墙 任务1-1防火墙的基本配置
1．防火墙设备初始化配置 教师讲授 2．路由器充当防火墙的基本配置
（1）模拟软件的下载与安装 （2）通过模拟软件实现基本配置
教师讲授+学生跟做
任务实施过程
任务1-3 防火墙的安放位置 • 1．防御主机 • 2．屏蔽子网 • 3．双重防火墙
教师讲授
任务实施过程
任务二：应用入侵检测技术 任务2-1认识入侵检测系统
1．入侵检测的概念 2．入侵检测系统安放的位置 3．系统组成 4．入侵检测系统的工作流程
教师讲授+学生演示+学生实践
任务实施过程
任务2-2基于SessionWall的入侵检测
1．SessionWall-3简介
教师讲授
2．SessionWall-3软件安装、使用、设置
学生实践+学生总结+教师讲评
拓展任务
任务编 号
006-5
任务名称
使用Snort软件
计划工时
90min
任务描述
由于网络所面临的各种攻击不断变化，因此对攻击的检测方式也必须提高， 这需要灵活性更强、功能更强大的软件来实现入侵检测功能，并通过软件 的设置来检测、记录新的入侵行为并报警，Snort软件可以实现以上功能。 在网络环境下，利用Snort软件在主机上配置入侵检测。