第5章入侵检测技术

⑥
用Legion扫描局域网
⑦
植入特洛伊木马
图 5-4 黑客攻击企业内部局域网的过程示意框图
讨论思考：
（1）黑客攻击的目的与种类有哪些？ （2）黑客确定攻击目标后,将采用哪些攻击过程？ （3）建立说明黑客攻击的具体步骤？
5.3 常用黑客攻防技术
5.3.1 端口扫描攻防
端口扫描是管理员发现系统的安全漏洞，加强系统的安全 管理，提高系统安全性能的有效方法。端口扫描成为黑客发现 获得主机信息的一种最佳手段。 1.端口扫描及扫描器 （1）端口扫描.是使用端口扫描工 具检查目标主机在哪些端口可建 立TCP连接,若可连接，则表明 主机在那个端口被监听。 （2）扫描器。扫描器也称扫描工具或扫描软件,是一种自动检测 远程或本地主机安全性弱点的程序。
(Security Administrator's Integrated Network Tool, 安全管理员 集成网络工具)、 Nmap、TCP connect 、TCP SYN 等.
图5-5 用X-scan的扫端口
5.3 常用黑客攻防技术
5.3.1 端口扫描攻防
（1）什么是安全漏洞和隐患？为什么网络存在着的安全漏洞和隐患？ （2）举例说明，计算机网络安全面临的黑客攻击问题。 （3）黑客通道——端口主要有哪些？特点是什么？
5.2 黑客攻击的目的及过程
5.2.1 黑客攻击的目的及种类
最大网络攻击案件幕后黑手被 捕.2013年荷兰男子SK因涉嫌有史以来最大 的网络攻击案件而被捕.SK对国际反垃圾邮 件组织Spamhaus等网站,进行了前所未有的 一系列的大规模分布式拒绝服务攻击,在高峰 期攻击达到每秒300G比特率,导致欧洲的某 些局部地区互联网缓慢,同时致使成千上万相 关网站无法正常运行服务。 黑客攻击其目的： 一是为了得到物质利益；是指获取金钱财物； 二是为了满足精神需求。是指满足个人心理欲望.

5.3
5.4 5.5
网络安全概述 网络病毒防护 防火墙技术 入侵检测技术 数据加密技术
网络安全概念
网络安全是指网络系统的硬件、软件及其系 统中的数据受到保护，不因偶然的或者恶意 的原因而遭到破坏、更改、泄露，系统可以 连续可靠正常地运行，网络服务不中断。 网络安全的基本要素：

系统的可靠性 数据的安整性 数据的可用性 数据的保密性 系统的可审查性
密码技术是网络信息安全与保密的核心和关 键。通过密码技术的变换或编码，可以将机密、 敏感的消息变换成难以读懂的乱码型文字，以此 达到两个目的： 其一，使不知道如何解密的“黑客”不可能 从其截获的乱码中得到任何有意义的信息 其二，使“黑客”不可能伪造或篡改任何乱 码型的信息。
5.5.3 常用数据加密方法
病 毒 防 范
以网为本，多层防御，有选择地加载保 护计算机网络安全的网络防病毒产品
5.3 防火墙
防火墙是一个或一组在两个网络之间执
行访问控制策略的系统，包括硬件和软件，
目的是保护网络不被可疑人侵扰。
本质上，它遵从的是一种允许或阻止业务来往的 网络通信安全机制，也就是提供可控的过滤网络通信
，只允许授权的通信。
实现数字签名三点保证： 1、接收者能够核实发送者对报文的签名。 2、发送者事后不能抵赖对报文的签名。 3、接收者不能伪造对报文的签名。
5.5.4 著名密码算法介绍
2、RSA加密算法： RSA加密算法是非对称式加密算法，也是最著 名的公钥加密算法。RSA加密算法通常首先生 成一对RSA密钥，一个是保密密钥，由用户保
存；另一个是公开密钥，对外公开，甚至可在
网络服务器中注册。 优点：密钥分配方便、安全性高 缺点：速度慢

入侵检测技术Intrusion Detection Technology课程编号：学分： 2学时： 30 （其中：讲课学时：30 实验学时：上机学时：0）先修课程：计算机网络，TCP/IP，Internet安全适用专业：信息安全教材：自编讲义开课学院：计算机科学与通信工程学院一、课程的性质与任务课程的性质：相比于静态安全技术，如防火墙技术、数据加密技术、访问控制技术等，起源于传统的系统审计技术基础上的入侵检测技术是一种全新的主动安全技术。

入侵检测的目的是检测计算机网络系统中用户违反安全策略的行为事件，其主要功能包括：（1）提供事件记录流的信息源；（2）发现入侵迹象的分析引擎；（3）基于分析引擎结果的响应。

误用检测和异常检测是入侵检测常用的方法，前者使用模式匹配技术，检测与已知攻击相匹配的活动模式或与安全策略相冲突的事件，后者则使用统计技术检测不经常发生的事件。

随着网络应用的不断深入，网络安全问题的日显重要，入侵检测系统的事件检测、攻击识别以及自动反应与响应能力等已使其成为现代网络安全技术的重要组成部分。

课程的基本任务：1．了解入侵检测技术的基本概念、发展现状及最新动态；2．掌握入侵检测的原理及系统构成；3．掌握入侵检测的常用方法与技术；4．了解提高入侵检测率对不同用户的要求。

二、课程的基本内容及要求第一章入侵检测技术概述1．基本内容（1）入侵检测的概念（2）入侵检测技术产生的原因（3）入侵检测技术的功能、发展历史及分类（4）入侵检测技术的基本构成和体系结构2．基本要求（1）掌握入侵检测的基本概念（2）掌握入侵检测系统的基本构成（2）了解入侵检测技术的作用和发展历史第二章入侵的方法与手段1．基本内容（1）计算机网络的主要漏洞（2）缓冲区溢出攻击（3）拒绝服务攻击（4）攻击分类2．基本要求（1）掌握缓冲区溢出攻击和拒绝服务攻击的原理（2）了解计算机网络的主要漏洞和攻击分类第三章入侵检测的信息源1．基本内容（1）信息源在入侵系统中的重要地位（2）基于主机的信息源（3）基于网络的信息源（4）基于网络的信息源的获取2．基本要求（1）掌握入侵检测的信息源获取的基本途径（2）了解信息源的作用第四章入侵检测方法1．基本内容（1）入侵检测的基本原理和主要方法（2）基于数据挖掘技术的入侵检测模型（3）基于数据融合技术的入侵检测模型2．基本要求（1）掌握入侵检测的基本原理（2）掌握异常检测与滥用检测常用的检测技术与相应的模型建立（3）掌握基于数据挖掘技术和数据融合技术的入侵检测模型的建立第五章典型的入侵检测系统介绍1．基本内容（1）入侵检测系统原型产品介绍（2）入侵检测系统商业产品介绍（3）免费入侵检测系统产品介绍（4）入侵检测系统产品的选择2．基本要求（1）了解各种入侵检测系统产品第六章入侵检测系统的弱点和局限1．基本内容（1）入侵检测系统的脆弱性分析（2）入侵检测系统体系结构的局限性2．基本要求（1）掌握网络系统脆弱性分析的基本方法（2）了解入侵检测系统的局限性第七章入侵检测系统的评价1．基本内容（1）入侵检测系统的评价标准（2）对入侵检测系统的测试与评估2．基本要求（1）掌握入侵检测系统的评价标准（2）掌握入侵检测系统测试与评估方法第八章入侵检测系统的发展方向1．基本内容（1）未来的信息社会（2）未来的技术趋势（3）未来的安全趋势2．基本要求了解未来信息社会发展对入侵检测技术带来的新的挑战四、大纲说明1、采用多媒体教学；2、为学生提供丰富的参考资料；五、参考书目参考资料主要来源于与入侵检测技术相关的国际学术期刊的学术论文和有关公司的技术报告制定人：韩牟审定人：批准人：日期：2013年5月10日课程简介课程编码：课程名称：入侵检测技术英文名称：Intrusion Detection Technology学分： 2学时： 3 0（其中：讲课学时2 6 实验学时： 0 上机学时：4 ）课程内容：相比于静态安全技术，如防火墙技术、数据加密技术、访问控制技术等，起源于传统的系统审计技术基础上的入侵检测技术是一种全新的主动安全技术。

3.网络入侵检测信息分析 三种分析技术手段： （1）模式匹配 （2）统计分析 （3）完整性分析 4.入侵检测的基本技术 基本方法： （1）审计跟踪分析 （2）网络包监控与分析 （3）实时活动监控



基本服务功能： （1）异常检测 （2）误用检测 （3）攻击告警 5.4 入侵检测的基本方法 1.基于用户行为概率统计模型的入侵检测方法 2.基于神经网络的入侵检测方法 3.基于专家系统的入侵检测技术 4.基于模型推理的入侵检测技术


5.3 入侵检测系统的基本原理 1.入侵检测框架简介 IETF/IDWG安全检测框架模型，如图5.2所示。
图5.2 IETF/IDWGห้องสมุดไป่ตู้全检测框架模型


术语：数据源、活动、传感器、事件、分析器、安全策略、告警、 管理器、通告、管理员、操作员、响应、特征表示、入侵检测系 统 简单入侵检测系统示意图，如图5.3所示。

5.2 网络入侵攻击的典型过程 攻击过程示意图，如图5.1所示。
图5.1 攻击过程示意图

1．确定攻击目标并获取目标系统的信息 2．获取目标系统的一般权限 3．获取目标系统的管理权限 4．隐藏自己在目标系统中的行踪 5．对目标系统或其他系统发起攻击 6．在目标系统中留下下次入侵的后门
图5.3 简单入侵检测系统示意图




模块：数据采集模块、入侵分析引擎模块、管 理配置模块、响应处理模块、辅助模块。 2.网络入侵检测的信息来源 （1）网络和系统日志文件 （2）目录和文件中的不期望的改变 （3）程序执行中的不期望行为 （4）物理形式的入侵信息 （5）其他信息