入侵检测技术

。

。 1 重要章节：3、4、5、6、7、9

第一章 入侵检测概述

1.入侵检测的概念：通过从计算机网络或计算机系统中的若干关键点收集信息，并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。

2.传统安全技术的局限性：（1）防火墙无法阻止内部人员所做的攻击（2）防火墙对信息流的控制缺乏灵活性（3）在攻击发生后，利用防火墙保存的信息难以调查和取证。

3.入侵检测系统的基本原理主要分为4个阶段：数据收集、数据处理、数据分析和响应处理。

4.入侵检测的分类：（1）按照入侵检测系统所采用的技术：误用入侵检测、异常入侵检测和协议分析（2）按照数据来源可以分为：基于主机的IDS、基于网络的IDS、混合式IDS、文件完整性检查式IDS

第二章 常见的入侵方法与手段

1.漏洞的具体表现：（1）存储介质的不安全（2）数据的可访问性（3）信息的聚生性（4）保密的困难性（5）介质的剩磁效应（6）电磁的泄露性（7）通信网络的脆弱性（8）软件的漏洞

2.攻击的概念和分类：根据攻击者是否直接改变网络的服务，攻击可以分为被动攻击和主动攻击。主动攻击会造成网络系统状态和服务的改变。被动攻击不直接改变网络的状态和服务。

3.攻击的一般流程：（1）隐藏自己（2）踩点或预攻击探测（3）采取攻击行为（4）清除痕迹

第三章 入侵检测系统模型

1.入侵检测系统模型的3个模块：信息收集模块、信息分析魔力和报警与响应模块

入侵检测系统的通用模型

2.入侵检测发展至今，先后出现了基于主机的和基于网络的入侵检测系统，基于模式匹配、异常行为、协议分析等检测技术的入侵检测系统。第四代入侵检测系统是基于主机+网络+安全管理+协议分析+模式匹配+异常统计的系统，它的优点在于入侵检测和多项技术协同工作，建立全局的主动保障体系，误报率、漏报率较低，效率高，可管理性强，并实现了多级的分布式监测管理，基于网络的和基于主机的入侵检测与协议分析和模式匹配以及异常统计相结合，取长补短，可以进行更有效的入侵检测。

入侵检测技术概述

摘要入侵检测技术是为保证计算机系统的安全而设计的一种能够及时发现并报告系统中未授权或异常现象的技术,是一种用于检测计算机网络中违反安全策略行为的技术。概述了入侵检测系统的重要性,介绍了其分类,并对其规划的建立进行了阐述。

关键词入侵检测;重要性;分类;规则建立

中图分类号tp393.08文献标识码a文章编号

1007-5739(2009)15-0366-03

入侵检测(intrusion detection)是防火墙的合理补充,帮助系统对付网络攻击,扩展了系统管理员的安全管理能力(包括安全审计、监视、进攻识别和响应),提高了信息安全基础结构的完整性。它从计算机网络系统中的若干关键点收集信息,并分析这些信息,分析网络中是否有违反安全策略的行为和遭到袭击的迹象。入侵检测被认为是防火墙之后的第2安全闸门,在不影响网络性能的情况下能对网络进行监测,从而提供对内部攻击、外部攻击和误操作的实时保护。这些功能是通过它执行以下任务来实现的:一是监视、分析用户及系统活动;二是系统构造和弱点的审计;三是识别反映已知进攻的活动模式并向相关人士报警;四是异常行为模式的统计分析;五是评估重要系统和数据文件的完整性;六是操作系统的审计跟踪管理,并识别用户违反安全策略的行为。

对一个成功的入侵检测系统来讲,它不但可使系统管理员随时

了解网络系统(包括程序、文件和硬件设备等)的任何变更,还能给网络安全策略的制订提供指南。且它管理、配置简单,从而使非专业人员非常容易地获得网络安全。此外,入侵检测的规模还应根据网络威胁、系统构造和安全需求的改变而改变。入侵检测系统在发现入侵后,会及时做出响应,包括切断网络连接、记录事件和报警等。

1入侵检测系统(ids)的重要性

入侵检测实验报告.doc

一、实验目的

随着信息技术的迅速发展，网络安全问题日益凸显。入侵检测作为网络安全防护的重要手段之一，能够及时发现并阻止潜在的入侵行为。本次实验的目的在于深入了解入侵检测系统的工作原理和性能，通过实际操作和数据分析，评估不同入侵检测方法的有效性，并培养解决实际网络安全问题的能力。

二、实验环境

1、 操作系统：Windows 10

2、 入侵检测软件：Snort

3、 网络拓扑：构建了一个简单的局域网环境，包括一台服务器、若干客户端和网络设备。

三、实验原理

入侵检测系统（IDS）是一种对网络传输进行实时监视，在发现可疑传输时发出警报或者采取主动反应措施的网络安全设备。它基于多种检测技术，如基于特征的检测、基于异常的检测等。

基于特征的检测通过匹配已知的攻击特征模式来识别入侵行为；基于异常的检测则通过建立正常行为模型，将偏离该模型的活动视为异常。 四、实验步骤

1、 安装和配置 Snort 入侵检测系统

（1）下载 Snort 软件并进行安装。

（2）配置 Snort 的规则文件，导入常见的攻击特征规则。

2、 构建测试环境

（1）在局域网中模拟正常的网络流量，包括网页浏览、文件传输等。

（2）使用工具模拟常见的入侵行为，如端口扫描、SQL 注入等。

3、 启动 Snort 进行监测

（1）启动 Snort 服务，使其开始捕获网络数据包。

（2）观察 Snort 的日志输出，分析检测结果。

4、 分析检测结果

（1）对 Snort 检测到的入侵行为进行分类和统计。

（2）对比实际模拟的入侵行为和 Snort 的检测结果，评估检测的准确性。

五、实验结果与分析

1、 检测准确性 在模拟的入侵行为中，Snort 成功检测到了大部分的端口扫描和

SQL 注入攻击，但对于一些较为复杂和隐蔽的入侵手段，如 0day 漏洞利用，检测效果不够理想。

2、 误报率

Snort 出现了一定数量的误报，主要集中在一些正常的网络活动被误判为入侵行为。这可能是由于规则设置过于严格或者网络环境的特殊性导致。

浅析入侵检测技术

摘 要 入侵检测系统是一个能够对网络或计算机系统的活动进行实时监测的系统，它能够发现并报告网络或系统中存在的可疑迹象，为网络安全管理提供有价值的信息。

关键词 入侵检测 信号分析 模型匹配 分布式

中图分类号：tp393 文献标识码：a

随着计算机技术尤其是网络技术的发展，计算机系统已经从独立的主机发展到复杂的、互连的开放式系统。这给人们在信息利用和资源共享上带来了无与伦比的便利，但又面临着由于入侵而引发的安全问题。传统的安全防御策略（ 如访问控制机制、防火墙技术等）均属于静态的安全防御技术，对网络环境下日新月异的攻击手段缺乏主动的反应。由于静态的安全技术自身存在着不可克服的缺点，促发了人们在研究过程中新的探索，从而引出入侵检测这一安全领域的新课题的诞生。入侵检测是动态安全技术的最核心技术之一，是防火墙的合理补充，是安全防御体系的一个重要组成部分。

1 入侵检测系统（ ids） 执行的主要任务

所谓ids就是一个能够对网络或计算机系统的活动进行实时监测的系统，它能够发现并报告网络或系统中存在的可疑迹象，为网络安全管理提供有价值的信息。ids 执行的主要任务是：监视、分析用户及系统活动；对系统构造和弱点的审计；识别反映已知进攻的活动模式并向相关人士报警；异常行为模式的统计分析；评估重要系统和数据文件的完整性；操作系统的审计跟踪管理，并识别用户违反安全策略的行为。

2 入侵检测的步骤

2.1 信息收集

入侵检测的第一步是信息收集。内容包括系统、网络、数据及用户活动的状态和行为。

入侵检测利用的信息一般来自以下4方面：系统和网络日志文件：目录和文件中的不期望的改变； 程序执行中的不期望行为；物理形式的入侵信息。这包括两个方面的内容：一是未授权的对网络硬件的连接；二是对物理资源的未授权访问。

2.2 信号分析

对上述4 类收集到的有关系统、网络、数据及用户活动的状态和行为等信息， 一般通过3 种技术手段进行分析：模式匹配、统计分析和完整分析。其中前两种方法用于实时的入侵检测，而完整性分析则用于事后分析。