入侵检测技术

入侵检测技术学习笔记

基本内容

​ 入侵检测系统（Intrusion Detection System，IDS）通过对计算机网络或计算机系统中若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。IDS通过分析网络行为、安全日志、审计数据和其他信息对应执行监视系统活动、审计系统漏洞、识别攻击行为和报警攻击。

​ 一般来讲，攻击分为来自外部网络的攻击，来自内部网络的攻击以及内部人员误操作导致的虚假攻击，IDS会从这三个方面进行分析。可以将其理解为一位有丰富经验的网络侦查员，任务就是分析出可疑信息并做出相应处理。

​ 入侵检测技术主要体现在以下几个方面：

​ １.监控、分析用户和系统的活动；

​ ２.评估关键系统和数据文件的完整性；

​ ３.识别攻击的活动模式；

​ ４.对异常活动进行统计分析；

​ ５.对操作系统进行审计跟踪管理，识别违法政策的用户动作。

IDS模型

​ IDS模型的发展随着三个阶段分别产生了三套模型，这三个阶段分别是集中式、层次式和集成式：在集中式阶段研究出了通用入侵检测模型，在层次式阶段研究出了层次入侵检测模型，在集成式阶段研究出了管理入侵检测模型。

1.通用入侵检测模型（Denning入侵检测模型）

​

​ 该模型由六个部分构成，即活动主体、对象、审计记录、异常记录、活动剖面和规则集处理引擎。目前的一些IDS也是以该模型为基础，是它的扩展和延申。Denning入侵检测模型是一个基于主机的入侵检测模型。他认为非法用户的操作与合法用户的操作有很多不同点，但异常行为并不一定是入侵的结果，为此需要建立活动规则集并让其进行学习以分辨异常行为。

​ 该模型包括例如没有包含已知系统漏洞或攻击方法的知识，实时性不好以及误报率高等问题。

2.层次式入侵检测模型

​ 层次化模型将IDS分为六个部分，由低到高分别是数据层、事件层、主体层、上下文层、威胁曾和安全状态层。该模型给出了推断网络主机受到攻击时数据的抽象过程，它对收集到的数据进行加工抽象和关联操作，简化了对跨域单机的入侵行为识别。

3.管理式入侵检测模型（SNMP-IDSM）

​ 它从网络管理的角度出发解决了多个IDS协同工作的问题。SNMP-IDSM以SNMP协议为公共语言来实现IDS之间的消息交换和协同检测。下图为其工作原理

入侵检测技术分类

​ 常见分类方法包括根据各个模块运行分布分类、根据数据的来源或检测对象分类、根据所采用的技术进行分类等。

根据各模块运行分布方式的分类

1.集中式IDS

​ 各模块包括信息的收集和数据的分析，以及响应单元都在一台主机上进行，这种方式适用于网络环境比较简单的情况。

2.分布式IDS

​ 各模块分布在网络中不同的计算机和设备上，分布性主要体现在数据收集模块上，如果网络环境比较复杂或者数据流量量比较大，那么数据分析模块也会按照层次性的原则组织分布出去。

根据检测对象分类

1.基于主机的IDS(Host-based IDS/HIDS)

​ 这种IDS获取数据来源是主机。主要从系统日志、应用程序日志等渠道来获取数据

2.基于网络的IDS(Network-based IDS/NIDS)

​ 系统获取数据的来源是网络数据包。主要用来监测整个网络中所传输的数据包并进行检测与分析，再加以识别，若发现有可疑的数据包会立即报警来保护网络中正在运行的其他主机。

3.分布式IDS(Distribution-based IDS/DIDS)

​ 由于网络传输速度加快，网络数据流量日益增大，集中处理原始数据的方式逐渐不再适应环境，其精确性、实时性和有效性大打折扣。DIDS的出现很好的解决这个问题，它包含HIDS和NIDS两种IDS的特性并结合了分布式的优点。

根据采用技术分类

1.异常入侵检测系统

​ 将系统正常行为的信息作为标准，将监控中的活动与正常行为相比较，并将所有与正常行为不相同的行为视为异常，而一次异常视为一次入侵。可以人为建立行为库，所以理论上可以把与正常事件不同的动作都视为可疑事件。它的局限性在于系统的事件难以描述和量化，不能完全找出异常行为，因此并非所有的入侵都表现为异常。

2.误用入侵检测系统

​ 与异常IDS相对，收集非正常操作的行为，建立相关的攻击特征库。所有入侵行为都能够用一种特征来表示，那么所有已知的入侵方法都可以用模式匹配的方法来发现，显然它不能捕捉到新的入侵技术。关键是如何制定检测规则，把入侵行为与正常行为区分开。优点是误报率较低，缺点是漏报率较高。

入侵检测系统工作流程

1.信息收集

​ 收集对象包括系统、网络、应用、数据以及用户活动的状态和行为。这一步很重要，IDS很大程度上依赖收集信息的正确性和可靠性。

2.信息分析

​ 指对收集到的信息进行分析，一般通过协议和规则分析模式匹配、逻辑分析和完整性分析几种手段来分析。

3.信息存储

​ 当IDS捕获到攻击行为时，为便于管理员对攻击信息进行查看和对攻击行为进行分析，会将信息存储在指定的安全日志或特定的数据库内。

4.攻击响应

​ 对攻击进行分析并确定其类型后，IDS会根据用户的设置，对攻击行为进行相应处理。或者利用自动装置直接进行处理，如切断连接、过滤攻击者的IP地址等。
定的数据库内。

4.攻击响应

​ 对攻击进行分析并确定其类型后，IDS会根据用户的设置，对攻击行为进行相应处理。或者利用自动装置直接进行处理，如切断连接、过滤攻击者的IP地址等。