【软考信安】入侵检测技术原理&应用

入侵检测概述

入侵的判定：对目标的操作超出目标的安全策略范围。
入侵检测系统（IDS）
通用入侵检测框架模型（CIDF）
组成：事件产生器、事件分析器、响应单元和事件数据库。

入侵检测技术

💮基于误用的入侵检测技术（基于特征）：
根据已知的入侵模式检测入侵行为，这类漏洞的攻击方法具有某种特征，依赖于攻击模式库，检测能力取决于攻击模式库的大小以及攻击方法的覆盖面。
前提条件：入侵行为能够按某种方式进行特征编码，入侵检测相当于模式匹配过程。
分类：

名称	描述
基于条件概率的误用检测	入侵方式对应事件序列，观测序列，应用贝叶斯定理进行推理
基于状态迁移的误用检测	特征攻击使用状态图表示，攻击者的操作导致状态迁移
基于键盘监控的误用检测	入侵行为对应特定的击键序列模式
基于规则的误用检测	攻击行为或入侵模式表示成一种规则，符合即为入侵。优点：检测简单。缺点：受到规则库的限制，无法发现新的攻击。Snort是典型应用实例

💮基于异常的入侵检测技术：
通过计算机或网络资源统计分析，建立系统正常行为“轨迹”，定义一组系统正常情况的数值，将运行时的数值与定义的数值进行比较得出是否被攻击的。

系统组成与分类

入侵检测系统组成： 数据采集模块、入侵分析引擎模块、应急处理模块、管理配置模块和相关的辅助模块。
依据IDS的监测数据来源及安全作用范围分类：
⚪️基于主机的入侵检测系统（HIDS，分析主机信息）
⚪️基于网络的入侵检测系统（NIDS，扫描网络通信数据包）
同步风暴（SYN Flood）、分布式拒绝服务攻击（DDoS）、网络扫描、缓冲区溢出、协议攻击、流量异常、非法网络访问；
⚪️分布式入侵检测系统（DIDS，多台主机、多个网段采集数据综合分析）

主要产品技术指标

💮入侵检测相关产品：
（1）主机入侵检测系统。
（2）网络入侵检测系统。
（3）统一威胁管理（UTM）：由硬件、软件和网络技术组成的具有专门用途的设备。常部署在内部网络和外部网络的边界，对进出内部网络的数据进行保护和控制。部署方式：透明网桥、路由转发和NAT网关。
（4）高级持续威胁检测（APT）：将恶意代码嵌入word、excel、ppt、pdf文档和电子邮件中以实现更隐蔽的网络攻击。
💮入侵检测相关指标： 可靠性、可用性、可扩展性、时效性、准确性、安全性。

应用