锐捷安全专项认证课程六(IDS技术).ppt

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,正文,-,*,IDS,技术,学习目标,通过本章的学习，希望您能够：,了解什么是,IDS,了解,IDS,工作原理,了解数据捕获方式,了解,IDS,、,IPS,与防火墙的区别,本章内容,什么是,IDS,IDS,工作原理,数据捕获方式,IDS,、,IPS,与防火墙的区别,课程议题,什么是,IDS,什么是,IDS,？,IDS,的概念,IDS,是软件或硬件，用于检测对我们网络的攻击，其中大部分,IDS,还提供一些对攻击的积极响应，如动态的调整路由器或者防火墙的访问控制规则,入侵检测的定位,检查网络数据流量,主机日志,系统调用,其他网络攻击信号,由以上的信息来确定入侵活动的位置,好人,坏人,什么是,IDS【Intrusion Detection system】,？,IDS,的起源与发展,概念的诞生,1980,年,美国空军作了题为,计算机安全威胁监控与监视,，第一次详细阐述了入侵检测的概念。,模型的发展,1984-1986,年,乔治敦大学的,Dorothy Denning,和,SR,I,公司的计算机科学实验室,Peter Neumann,研究出了一个入侵监测模型，取名为,IDES,（入侵检测专家系统），它独立于特定的系统平台、应用环境、应用弱点以及入侵类型，真正提出的入侵检测思想。,百花齐放,1990,年,美国加州大学第一次将网络数据流做为审计来源分析入侵活动，为入侵检测技术翻开新的一页，从此入侵检测技术分为网络入侵检测技术和主机入侵检测技术两种方式不断发展壮大起来。,2000,年出现分布式入侵检测系统，是,IDS,发展史上的一个里程碑,IDS,主要功能一览,攻击行为检测,支持各种联动,安全评估与统计,Internet,网络服务器,1,客户端,网络服务器,2,X,检测内容,：,系统调用、端口调用、系统日志、安全审记、应用日志,HIDS,X,HIDS,HIDS,（,Host IDS,）,HIDS,（续）,在最终目的进行分析，检测正确率高,对网络的视野有限,性能问题,部署问题,Internet,NIDS,网络服务器,1,数据包,=,包头信息,+,有效数据部分,客户端,网络服务器,2,X,检测内容,：,包头信息,+,有效数据部分,NIDS,（,Network IDS,）,NIDS,（续）,视野开阔,易于部署,带宽、性能问题,加密问题,课程议题,IDS,工作原理,IDS,报警术语解析,什么是警报术语,警报术语通常用于描述,IDS,，在网络中,IDS,检测到入侵活动时，每个,IDS,都必须产生一些警报以发出信号,由于,IDS,没有,100%,的正确率，所以,IDS,警报分为二大类,错误警报,误报,漏报,正确警报,正确命中,正确拒绝,IDS,检测方式,IDS,需要对入侵者的攻击行为进行探测，而触发机制各不相同，常见的,IDS,触发机制有如下三种：,异常检测,模式匹配,协议分析,异常检测,概念：,异常检测也称为模型检测。需要为用户组建立模型。模型中包括典型用户习惯。模型中为用户定义了行为特征，为每个用户执行正常任务定义了一个基线。,优点：,支持对虚假警报的可调控性,检测以前未发布的攻击,缺点,:,用户习惯改变时，必须更新用户模型,很难把特定的攻击与警报相关联,复杂而且难于理解,模式匹配,概念：滥用检测也称为模式匹配。这种方法探察与具体特征相匹配的入侵行为。这些特征基于规则。,优点：,特征是基于已知的入侵行为,安装后立刻就能探测攻击者,缺点,:,需要更新特征数据库,有些攻击能够绕过,IDS,无法检测未知攻击,模式匹配（续）,模式匹配就是将收集到的信息与签名库进行比较，从而发现违背安全策略的行为,匹配是对捕获的数据包通过,正则表达式,去查询字符串。,Ethernet,IP,TCP,HTTP,Unicode,XML,模式匹配（续）,张,三,签名库：张三,命中,协议分析,概念,：,IDS,基于具体协议的正常操作，分析数据流。这种深度分析使用,RFC,做为基线，主要方法：,验证有效性（基于,RFC,）,检查有效负载内容,协议分析（续）,协议分析（续）,ETHER,ARP,IP,RARP,ICMP,IGMP,TCP,UDP,POP3,FTP,HTTP,。,DNS,第一步,直接跳到第,13,个字节，并读取,2,个字节的协议标识。如果值是,0800,，则说明这个以太网帧的数据域携带的是,IP,包，,基于协议解码的入侵检测利用这一信息指示第二步的检测工作。,第二步,跳到第,24,个字节处读取,1,字节的第四层协议标识。如果读取到的值是,06,，则说明这个,IP,帧的数据域携带的是,TCP,包，入侵检测利用这一信息指示第三步的检测工作。,第三步,跳到第,35,个字节处读取一对端口号。如果有一个端口号是,0080,，则说明这个,TCP,帧的数据域携带的是,HTTP,包，基于协议解码的入侵检测利用这一信息指示第四步的检测工作。,第四步,让解析器从第,55,个字节开始读取,URL,。,URL,串将被提交,给,HTTP,解析器，在它被允许提交给,Web,服务器前，由,HTTP,解析器,来,分析它是否可能会做攻击行为。,协议分析（续）,0800,13,字节,06,24,字节,0800,35,字节,55,字节,张三,签名库：张三,匹配,基于状态协议检测,IDS,PC-A,1.1.1.1,源地址,目标地址,源端口,目标端口,初始序列号,ACK,标记,1.1.1.1,2.2.2.2,1033,80,350771,syn,1.1.1.1,2.2.2.2,1033,80,350772,133076,syn-ack,1.1.1.1,2.2.2.2,1033,80,350773,133077,ack,状态表,源地址,目标地址,源端口,目标端口,序列号,PC-B,2.2.2.2,IDS,响应技术,报警,记录日志,TCP reset,联动,SNMP Trap,邮件通知,IDS,逃避技术,泛洪,使,IDS,产生大量报警，隐藏真正的攻击,消耗,IDS,系统资源,分片,消耗,IDS,系统资源,加密,迷惑,使用不同的字符标识方式,课程议题,数据捕获方式,HUB,HUB,工作在物理层的设备,将流量向所有端口复制,安全问题,流量镜像,SPAN(Switch Port Analyzer),交换及的端口监控功能,将一个或多个来自某端口或,VLAN,的数据镜像到另一个目的端口,目的端口常用于连接网络分析仪器,安全性高,配置,SPAN,monitor session,session-number,source,interface,interface,both,|,rx,|,tx,Switch,(config,)#,配置,端口镜像的源端口,monitor session,session-number,destination,interface,interface,Switch,(config,-ext-macl,)#,配置,端口镜像的目的端口,以太网接口的工作模式,正常模式,接口只接收目的,MAC,与自己,MAC,匹配的报文,接收广播报文,混杂模式,接收所有报文（目的,MAC,非自身,MAC,的报文）,IDS,接口为混杂模式,课程议题,IDS,、,IPS,与防火墙的区别,IDS/Firewall/IPS,对别,Firewall,IDS,IPS,防火墙可以检测,20%,的安全威胁,IDS,可以检测,80%,的安全威胁,IPS,可以检测,50%,的安全威胁,IPS,、,IDS,、,Firewall,三分天下,特征,IDS,IPS,Fire,wall,部署方式,旁路,在线,在线,优势,性能,结合,IDS/FW,严格的安全规则,检测层次,L3,以上,L3,以上,L3/L4,成熟度,很成熟,不成熟,非常成熟,课程回顾,什么是,IDS,IDS,工作原理,数据捕获方式,IDS,、,IPS,与防火墙的区别,Q&A,