入侵检测技术原理与防护

本章首先介绍了入侵检测系统的基本概念和作用，分析了各类入侵检测技术；然后还就入侵检测系统的组成结构和类型进行了分析，并举例说明常见的入侵检测系统；最后给出入侵检测系统的应用案例。随着计算机和网络技术的发展，IDS作为重要的安全防范措施，将会受到网络管理员的重视。

第10章 入侵检测技术原理与应用

• 10.1 入侵检测概述
  • 是网络安全态势感知的关键核心技术，支撑构建网络信息安全保障体系
  • 10.1.1 入侵检测概念
    • 入侵：
      • （安全专家）：入侵是指未经授权蓄意尝试访问信息、篡改信息，使系统不可用的行为
      • （美国专家）：非法进入信息系统，包括违反信息系统的安全策略或法律保护条例的动作
      • （中国）：违背访问目标的安全策略的行为（入侵应与受害目标相关联）
    • 入侵检测系统IDS
    • 非法进入信息系统，包括违反信息系统的安全策略或法律保护条例的动作
    • 是否入侵大的依据：对目标的操作是否超出了目标的安全策略范围
  • 10.1.2 入侵检测模型CIDF
    • • 事件发生器 event generators
      • 实践分析期 event analyzers
      • 响应单元 response units
      • 事件数据库 event databases
  • 10.1.3 入侵检测作用
    • 入侵检测系统的直接目的不是阻止入侵事件的发生，而是通过检测技术来发现系统中企图或已经违背安全策略的行为。
      • 发现受保护系统中的入侵行为或异常行为
      • 检测安全保护措施的有效性
      • 分析受保护系统所面临的威胁
      • 有利于阻止安全事件扩大，及时报警触发网络安全应急响应
      • 可以为网络安全策略的制定提供重要指导
• 10.2 入侵检测技术
  • 10.2.1 基于误用的入侵检测技术（查黑）
    • 概念：根据已知的入侵模式检测入侵行为，检测能力取决于攻击模式库的大小以及攻击方法的覆盖面。
    • 前提条件是：入侵行为能够按照某种方式进行特征编码，而入侵检测的过程实际上就是模式匹配的过程
    • 方法：
      • 基于条件概率的误用检测方法
        • 先验概率：在事件发生之前事情发生的概率。是根据以往经验和分析得到的概率
        • 后验概率：事情已经发生，且发生有多个原因，判断事情发生时由哪个原因引起的概率
      • 基于状态迁移的误用检测方法
        • 状态迁移方法：利用状态图表示攻击特征，不同状态刻画了系统某一时刻的特征，攻击者的操作将导致状态发生迁移，使系统从初始状态迁移至危害状态。
        • 基于状态迁移的误用检测方法：通过检查系统的状态变化发现系统中的入侵行为。采用该方法的IDS有STAT（State Transition Analysis Technique）和USTAT（State Transition Analysis Tool for UNIX）
      • 基于键盘监控的误用检测方法
        • 概念：假设入侵行为对应特定的击键序列模式，然后监测用户的击键模式，并将这一模式与入侵模式匹配，从而发现入侵行为。
        • 缺点：
          • 需要操作系统级支持来捕获键盘输入
          • 存在被欺骗绕过风险
          • 不能检测恶意程序自动攻击
      • 基于规则的误用检测方法
        • 概念：将攻击行为或入侵模式表示成一种规则，只要符合规则就认定其是一种入侵行为
        • 优点：检测简单，效率高
        • 缺点：受规则库限制
        • 实例：Snort
  • 10.2.2 基于异常的入侵检测技术（查白）
    • 概念：
      • 通过计算机或者网络资源统计分析，建立系统正常行为的“轨迹”，定义一组系统正常情况的数值，然后将系统运行时的数值与所定义的“正常”情况相比较，得出是否有被攻击的迹象。
    • 基于统计
      • 概念：利用数学统计理论技术，通过构建用户或系统正常行为特征轮廓，对收集到的数据进行统计处理，与特征轮廓进行比较，根据二者的偏差是否超过指定门限来判断异常。
      • 主体特征：系统登录与注销时间，资源被占用时间，内存、CPU、外设使用情况
      • 特征属性：频度、均值、方差、概率分布、偏差
      • 抽样周期：几分钟~几个月~更长
    • 基于模式预测
      • 前提：事件序列不是随机发生，而是服从某种可辨别的模式（考虑了事件序列间相互联系）
      • 基于时间的归纳机（TIM，Time-Based Inductive Machine）
      • 优点：①较好的处理变化的用户行为，有很强的时序模式；②集中考察少数几个相关安全事件；③易发现针对检测系统的攻击
    • 基于文本分类
      • 前提：将程序的系统调用视为文档的“字”，进程运行产生的系统调用集合视为“文档”
      • 方法：机器学习（KNN）、深度学习（NLP）
      • 思路：采用文本分类算法，分析文档相似性，发现异常调用
    • 基于贝叶斯推理
  • 10.2.3 其他
    • 基于规则的检测方法
      • 原理：用策略描述语言 PE-grammars 事先定义系统特权程序有关安全的操作执行序列，每个特权程序都有一组安全操作序列，这些操作序列又构成特权程序的安全跟踪策略。若特权操作序列不符合已定义的操作序列，则报警
      • 特点：对已知和未知攻击均有效
    • 基于生物免疫
      • 原理：模仿生物有机体的免疫系统工作机制，使受保护系统能够将“非自我（non-self）”攻击行为与“自我（self）”合法行为区分开来
      • 关键技术：构造系统“自我”标志以及标志演变方法
    • 基于攻击诱骗
      • 原理：将虚假的系统或漏洞信息提供给入侵者，诱骗其进行攻击，进而推断系统是否受到攻击，为后续跟踪、分析提供基础
    • 基于入侵报警的关联
      • 原理：通过对原始 IDS 报警事件的分类和相关性分析来发现复杂攻击行为
        • 基于报警数据的相似性进行报警关联分析
        • 通过人为设置参数或机器学习进行报警关联分析
        • 根据某种攻击的前提条件与结果进行关联分析
    • 基于沙箱动态分析
      • 原理：通过构建程序运行的受控安全环境，形成程序运行安全沙箱，检测可疑文件或程序在沙箱的运行状况，获取其动态信息进行检查和判断
    • 基于大数据分析
      • 数据：系统日志、IDS 报警日志、防火墙日志、DNS 日志、网络威胁情报、全网流量
      • 方法：人工智能、机器学习（数据挖掘、深度学习、数据关联、数据可视化分析）
• 10.3 入侵检测系统组成与分类
  • 10.3.1 入侵检测系统组成
    • 数据采集模块
    • 入侵分析引擎模块
    • 应急处理模块
    • 管理配置模块
    • 相关辅助模块
  • 10.3.2 基于主机的入侵检测系统HIDS
    • 收集信息：
      • 日志文件、系统调用、应用程序日志、系统资源、网络通信、用户使用等
    • 判断依据：
      • CPU 利用率、内存利用率、磁盘空间、端口使用、注册表、文件完整性、进程信息、系统调用
    • 检测行为：
      • 主机端口、漏洞扫描；重复登录失败；口令破解；账户添加；服务启停；系统重启；注册表修改；文件许可变化；异常调用；拒绝服务
    • 典型软件：
      • SWATCH、Tripwire、网页防篡改系统
    • 优点：
      • ①可检测网络型入侵检测系统不能监测的攻击；②可运行在加密系统网络上（信息检测前解密即可）；③可运行在交换网络中
    • 缺点：
      • ①每个监控主机上需安装和维护信息收集模块；②HIDS可以被攻击；③占用主机系统资源，降低性能；④不能监测网络扫描；⑤不能监测和处理DDoS；⑥仅能使用监控主机资源
  • 10.3.3 基于网络的入侵检测系统NIDS
    • 原理：
      • 侦听网络系统，捕获网络数据包，依据网络包是否包含攻击特征，或网络通信流是否异常来识别入侵行为
    • 组成：
      • 探测器，管理控制器
    • 检测行为：
      • 同步风暴 SYN FLood
      • 分布式拒绝服务攻击DDOS
      • 网络扫描
      • 缓冲区溢出
      • 协议攻击
      • 流量异常
      • 非法网络访问
    • 国外产品
      • Session Wall、ISS RealSecure、Cisco Secure IDS
    • 国内产品
      • 东软、天融信、绿盟、华为
    • 开源软件
      • Snort
    • 优点：
      • ①适当配置可监控大型网络；②只监听不干扰，被动性设备；③对攻击者不可见
    • 缺点：
      • ①漏检；②受限于虚拟网络划分和交换机支持；③流量加密；④没有结果反馈
  • 10.3.4 分布式入侵检测系统
    • 为什么需要分布式入侵检测
      • 网络系统结构复杂化和大型化，带来入侵检测问题：
        • 系统漏洞分散于网络中各个主机，可能被组织起来攻击网络，仅依靠HIDS或NIDS无法发现
        • 入侵行为相互协作
        • 入侵检测依赖的数据来源分散，如涉及网络交换
        • 网络传输速度快，流量大，集中处理造成检测瓶颈
    • 什么是分布式入侵检测
      • 基于主机检测的分布式入侵检测系统（HDIDS）：主机探测器（Agent）+入侵管理控制器
      • 基于网络的分布式入侵检测系统（NDIDS）：网络探测器+管理控制器
      • 问题：增加了通信的安全问题，增加安全管理配置复杂度
• 10.4 入侵检测系统主要产品与技术指标
  • 10.4.1 入侵检测相关产品
    • 主机入侵检测系统
      • （技术：特征匹配、系统文件检测、安全规则检查、文件数字指纹、大数据分析；产品：安全卫士、EDR、主机审计）
    • 网络入侵检测系统
      • （技术：特征检测、协议检测）
    • 统一威胁管理
      • （UTM）：由硬件、软件和网络技术组成的具有专门用途的设备，同时将多种安全特性集成于一个硬件设备里，形成标准的统一威胁管理平台
    • 高级持续威胁检测APT
    • 其他
      • Web IDS、数据库 IDS、工控 IDS
  • 10.4.2 入侵检测相关指标
    • 可靠性
    • 可用性
    • 可扩展性
    • 时效性
    • 准确性
    • 安全性
• 10.5 入侵检测系统应用
  • 10.5.1 入侵检测应用场景类型
    • 上网保护
    • 网站入侵检测与保护
    • 网络攻击阻断
    • 主机/终端恶意代码检测
    • 网络安全监测预警与应急处置
    • 网络安全等级保护
  • 10.5.2 入侵检测系统部署方法
    • 根据组织或者公司的安全策略要求，确定IDS要监测的对象和保护的网段
    • 在监测对象或者网段，安装IDS探测器，采集网络入侵检测所需要的信息
    • 针对监测对象或者保护网段的安全需求，制定相应的检测策略
    • 依据检测策略，选用合适的IDS结构类型
    • 在IDS上，配置入侵检测规则
    • 测试验证IDS的安全策略是否正常执行
    • 运行和维护IDS
  • 10.5.3 基于HIDS的主机威胁检测
  • 10.5.4 基于NIDS的内网威胁检测
  • 10.5.5 基于NIDS的网络边界威胁检测
  • 10.5.6 基于网络安全态势感知应用参考
  • 10.5.7 开源网络入侵检测系统
    • Nmap扫描检测规则
    • SQL注入攻击检测规则
  • 10.5.8 华为CIS 网络安全智能系统应用
• 10.6 本章小结
  • 网络系统安全保障体系包括防护、检测、反应和恢复四个层面
  • 入侵检测系统是其中的一个重要组成部分，扮演着网络空间“预警机”的角色
  • 本章首先介绍了入侵检测系统的基本概念和作用，分析了各类入侵检测技术；然后还就入侵检测系统的组成结构和类型进行了分析，并举例说明常见的入侵检测系统；最后给出入侵检测系统的应用案例。随着计算机和网络技术的发展，IDS作为重要的安全防范措施，将会受到网络管理员的重视。