IDS入侵檢測(cè)基礎(chǔ)知識(shí)

什么是入侵監(jiān)測(cè)

入侵監(jiān)測(cè)系統(tǒng)處于防火墻之后對(duì)網(wǎng)絡(luò)活動(dòng)進(jìn)行實(shí)時(shí)檢測(cè)。許多情況下，由于可以記錄和禁止網(wǎng)絡(luò)活動(dòng)，所以入侵監(jiān)測(cè)系統(tǒng)是防火墻的延續(xù)。它們可以和你的防火墻和路由器配合工作。例如，你的IDS可以重新配置來(lái)禁止從防火墻外部進(jìn)入的惡意流量。你應(yīng)當(dāng)理解入侵監(jiān)測(cè)系統(tǒng)是獨(dú)立于防火墻工作的。

入侵監(jiān)測(cè)系統(tǒng)IDS與系統(tǒng)掃描器system scanner不同。系統(tǒng)掃描器是根據(jù)攻擊特征數(shù)據(jù)庫(kù)來(lái)掃描系統(tǒng)漏洞的，它更關(guān)注配置上的漏洞而不是當(dāng)前進(jìn)出你的主機(jī)的流量。在遭受攻擊的主機(jī)上，即使正在運(yùn)行著掃描程序，也無(wú)法識(shí)別這種攻擊。

IDS掃描當(dāng)前網(wǎng)絡(luò)的活動(dòng)，監(jiān)視和記錄網(wǎng)絡(luò)的流量，根據(jù)定義好的規(guī)則來(lái)過(guò)濾從主機(jī)網(wǎng)卡到網(wǎng)線上的流量，提供實(shí)時(shí)報(bào)警。網(wǎng)絡(luò)掃描器檢測(cè)主機(jī)上先前設(shè)置的漏洞，而IDS監(jiān)視和記錄網(wǎng)絡(luò)流量。如果在同一臺(tái)主機(jī)上運(yùn)行IDS和掃描器的話，配置合理的IDS會(huì)發(fā)出許多報(bào)警。

入侵監(jiān)測(cè)的功能

大多數(shù)的IDS程序可以提供關(guān)于網(wǎng)絡(luò)流量非常詳盡的分析。它們可以監(jiān)視任何定義好的流量。大多數(shù)的程序?qū)TP，HTTP和Telnet流量都有缺省的設(shè)置，還有其它的流量像NetBus，本地和遠(yuǎn)程登錄失敗等等。你也可以自己定制策略。下面討論一些更常見(jiàn)的檢測(cè)技巧。

入侵監(jiān)測(cè)系統(tǒng)的必要性

防火墻看起來(lái)好像可以滿足系統(tǒng)管理員的一切需求。然而，隨著基于雇員的攻擊行為和產(chǎn)品自身問(wèn)題的增多，IDS由于能夠在防火墻內(nèi)部監(jiān)測(cè)非法的活動(dòng)正變得越來(lái)越必要。新的技術(shù)同樣給防火墻帶來(lái)了嚴(yán)重的威脅。　　例如，VPN可穿透防火墻，所以需要IDS在防火墻后提供安全保障。雖然VPN本身很安全，但有可能通過(guò)VPN進(jìn)行通信的其中一方被root kit或NetBus所控制，而這種破壞行為是防火墻無(wú)法抵御的。基于以上兩點(diǎn)原因，IDS已經(jīng)成為安全策略的重要組成部分。

我們還需要注意的是，攻擊者可以實(shí)施攻擊使IDS過(guò)載，其結(jié)果可能是IDS系統(tǒng)成為拒絕服務(wù)攻擊的參與者。而且，攻擊者會(huì)盡量調(diào)整攻擊手法，從而使IDS無(wú)法追蹤網(wǎng)絡(luò)上的活動(dòng)。

入侵監(jiān)測(cè)系統(tǒng)的構(gòu)架

有兩種構(gòu)架的IDS可供選擇，每種都有它的適用環(huán)境。雖然主機(jī)級(jí)的IDS具有更強(qiáng)的功能而且可以提供更詳盡的信息，但它并不總是最佳選擇。

優(yōu)點(diǎn)和缺點(diǎn)

這種入侵監(jiān)測(cè)系統(tǒng)很容易安裝和實(shí)施；通常只需要將程序在主機(jī)上安裝一次。網(wǎng)絡(luò)級(jí)的IDS尤其適合阻止掃描和拒絕服務(wù)攻擊。但是，這種IDS構(gòu)架在交換和ATM環(huán)境下工作得不好。而且，它對(duì)處理升級(jí)非法賬號(hào)，破壞策略和篡改日志也并不特別有效。在掃描大型網(wǎng)絡(luò)時(shí)會(huì)使主機(jī)的性能急劇下降。所以，對(duì)于大型、復(fù)雜的網(wǎng)絡(luò)，你需要主機(jī)級(jí)的IDS。

特殊的考慮

每種IDS廠商對(duì)他們的產(chǎn)品都有特殊的考慮。通常這些考慮是針對(duì)操作系統(tǒng)的特殊設(shè)置的。例如，許多廠商要求你將代理安裝在使用靜態(tài)IP地址的主機(jī)上。因此，你也許需要配置DHCP和WINS服務(wù)器來(lái)配合管理者。這種特殊的考慮在一定程度上解釋了為什么大多數(shù)IDS程序用一個(gè)管理者來(lái)管理數(shù)臺(tái)主機(jī)。另外，安裝管理者會(huì)降低系統(tǒng)的性能。而且，在同一網(wǎng)段中安裝過(guò)多的管理者會(huì)占用過(guò)多的帶寬。

另外，許多IDS產(chǎn)品在快于10MB的網(wǎng)絡(luò)中工作起來(lái)會(huì)有問(wèn)題。通常IDS的廠商要求你不要將管理者安裝在使用NFS或NFS+的UNIX操作系統(tǒng)上，因?yàn)檫@種文件系統(tǒng)允許遠(yuǎn)程訪問(wèn)，管理者會(huì)使它們?nèi)狈Ψ€(wěn)定和不安全。

除非特殊情況，你不應(yīng)將IDS的管理者安裝在裝了雙網(wǎng)卡或多網(wǎng)卡的用做路由器的主機(jī)上，或者安裝在防火墻上。例如，Windows NT PDC或BDC也不是安裝大多數(shù)IDS管理者的理想系統(tǒng)，不僅因?yàn)楣芾碚邥?huì)影響登錄，而且PDC或BDC所必須的服務(wù)會(huì)產(chǎn)生trap door和系統(tǒng)錯(cuò)誤。 　常用檢測(cè)方法

入侵檢測(cè)系統(tǒng)常用的檢測(cè)方法有特征檢測(cè)、統(tǒng)計(jì)檢測(cè)與專家系統(tǒng)。據(jù)公安部計(jì)算機(jī)信息系統(tǒng)安全產(chǎn)品質(zhì)量監(jiān)督檢驗(yàn)中心的報(bào)告，國(guó)內(nèi)送檢的入侵檢測(cè)產(chǎn)品中95％是屬于使用入侵模板進(jìn)行模式匹配的特征檢測(cè)產(chǎn)品，其他5％是采用概率統(tǒng)計(jì)的統(tǒng)計(jì)檢測(cè)產(chǎn)品與基于日志的專家知識(shí)庫(kù)系產(chǎn)品。

特征檢測(cè)

特征檢測(cè)對(duì)已知的攻擊或入侵的方式作出確定性的描述，形成相應(yīng)的事件模式。當(dāng)被審計(jì)的事件與已知的入侵事件模式相匹配時(shí)，即報(bào)警。原理上與專家系統(tǒng)相仿。其檢測(cè)方法上與計(jì)算機(jī)病毒的檢測(cè)方式類似。目前基于對(duì)包特征描述的模式匹配應(yīng)用較為廣泛。該方法預(yù)報(bào)檢測(cè)的準(zhǔn)確率較高，但對(duì)于無(wú)經(jīng)驗(yàn)知識(shí)的入侵與攻擊行為無(wú)能為力。

統(tǒng)計(jì)檢測(cè)

統(tǒng)計(jì)模型常用異常檢測(cè)，在統(tǒng)計(jì)模型中常用的測(cè)量參數(shù)包括：審計(jì)事件的數(shù)量、間隔時(shí)間、資源消耗情況等。常用的入侵檢測(cè)5種統(tǒng)計(jì)模型為：

1、操作模型，該模型假設(shè)異?？赏ㄟ^(guò)測(cè)量結(jié)果與一些固定指標(biāo)相比較得到，固定指標(biāo)可以根據(jù)經(jīng)驗(yàn)值或一段時(shí)間內(nèi)的統(tǒng)計(jì)平均得到，舉例來(lái)說(shuō)，在短時(shí)間內(nèi)的多次失敗的登錄很有可能是口令嘗試攻擊；

2、方差，計(jì)算參數(shù)的方差，設(shè)定其置信區(qū)間，當(dāng)測(cè)量值超過(guò)置信區(qū)間的范圍時(shí)表明有可能是異常；

3、多元模型，操作模型的擴(kuò)展，通過(guò)同時(shí)分析多個(gè)參數(shù)實(shí)現(xiàn)檢測(cè)；

4、馬爾柯夫過(guò)程模型，將每種類型的事件定義為系統(tǒng)狀態(tài)，用狀態(tài)轉(zhuǎn)移矩陣來(lái)表示狀態(tài)的變化，當(dāng)一個(gè)事件發(fā)生時(shí)，或狀態(tài)矩陣該轉(zhuǎn)移的概率較小則可能是異常事件；

5、時(shí)間序列分析，將事件計(jì)數(shù)與資源耗用根據(jù)時(shí)間排成序列，如果一個(gè)新事件在該時(shí)間發(fā)生的概率較低，則該事件可能是入侵。

統(tǒng)計(jì)方法的最大優(yōu)點(diǎn)是它可以“學(xué)習(xí)”用戶的使用習(xí)慣，從而具有較高檢出率與可用性。但是它的“學(xué)習(xí)”能力也給入侵者以機(jī)會(huì)通過(guò)逐步“訓(xùn)練”使入侵事件符合正常操作的統(tǒng)計(jì)規(guī)律，從而透過(guò)入侵檢測(cè)系統(tǒng)。 入侵檢測(cè)產(chǎn)品選擇要點(diǎn)

當(dāng)您選擇入侵檢測(cè)系統(tǒng)時(shí)，要考慮的要點(diǎn)有：

1. 系統(tǒng)的價(jià)格

當(dāng)然，價(jià)格是必需考慮的要點(diǎn)，不過(guò)，性能價(jià)格比、以及要保護(hù)系統(tǒng)的價(jià)值可是更重要的因素。

2. 特征庫(kù)升級(jí)與維護(hù)的費(fèi)用

象反病毒軟件一樣，入侵檢測(cè)的特征庫(kù)需要不斷更新才能檢測(cè)出新出現(xiàn)的攻擊方法。

3. 對(duì)于網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)，最大可處理流量(包/秒 PPS)是多少

首先，要分析網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)所布署的網(wǎng)絡(luò)環(huán)境，如果在512K或2M專線上布署網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)，則不需要高速的入侵檢測(cè)引擎，而在負(fù)荷較高的環(huán)境中，性能是一個(gè)非常重要的指標(biāo)。

4. 該產(chǎn)品容易被躲避嗎

有些常用的躲開(kāi)入侵檢測(cè)的方法，如：分片、TTL欺騙、異常TCP分段、慢掃描、協(xié)同攻擊等。

5. 產(chǎn)品的可伸縮性

系統(tǒng)支持的傳感器數(shù)目、最大數(shù)據(jù)庫(kù)大小、傳感器與控制臺(tái)之間通信帶寬和對(duì)審計(jì)日志溢出的處理。

6. 運(yùn)行與維護(hù)系統(tǒng)的開(kāi)銷

產(chǎn)品報(bào)表結(jié)構(gòu)、處理誤報(bào)的方便程度、事件與事志查詢的方便程度以及使用該系統(tǒng)所需的技術(shù)人員數(shù)量。

7. 產(chǎn)品支持的入侵特征數(shù)

不同廠商對(duì)檢測(cè)特征庫(kù)大小的計(jì)算方法都不一樣，所以不能偏聽(tīng)一面之辭。

8. 產(chǎn)品有哪些響應(yīng)方法

要從本地、遠(yuǎn)程等多個(gè)角度考察。自動(dòng)更改防火墻配置是一個(gè)聽(tīng)上去很“酷”的功能，但是，自動(dòng)配置防火墻可是一個(gè)極為危險(xiǎn)的舉動(dòng)。

9. 是否通過(guò)了國(guó)家權(quán)威機(jī)構(gòu)的評(píng)測(cè)

主要的權(quán)威測(cè)評(píng)機(jī)構(gòu)有：國(guó)家信息安全測(cè)評(píng)認(rèn)證中心、公安部計(jì)算機(jī)信息系統(tǒng)安全產(chǎn)品質(zhì)量監(jiān)督檢驗(yàn)中心。

入侵檢測(cè)技術(shù)發(fā)展方向

無(wú)論從規(guī)模與方法上入侵技術(shù)近年來(lái)都發(fā)生了變化。入侵的手段與技術(shù)也有了“進(jìn)步與發(fā)展”。入侵技術(shù)的發(fā)展與演化主要反映在下列幾個(gè)方面：

入侵或攻擊的綜合化與復(fù)雜化。入侵的手段有多種，入侵者往往采取一種攻擊手段。由于網(wǎng)絡(luò)防范技術(shù)的多重化，攻擊的難度增加，使得入侵者在實(shí)施入侵或攻擊時(shí)往往同時(shí)采取多種入侵的手段，以保證入侵的成功幾率，并可在攻擊實(shí)施的初期掩蓋攻擊或入侵的真實(shí)目的。

入侵主體對(duì)象的間接化，即實(shí)施入侵與攻擊的主體的隱蔽化。通過(guò)一定的技術(shù)，可掩蓋攻擊主體的源地址及主機(jī)位置。即使用了隱蔽技術(shù)后，對(duì)于被攻擊對(duì)象攻擊的主體是無(wú)法直接確定的。

入侵或攻擊的規(guī)模擴(kuò)大。對(duì)于網(wǎng)絡(luò)的入侵與攻擊，在其初期往往是針對(duì)于某公司或一個(gè)網(wǎng)站，其攻擊的目的可能為某些網(wǎng)絡(luò)技術(shù)愛(ài)好者的獵奇行為，也不排除商業(yè)的盜竊與破壞行為。由于戰(zhàn)爭(zhēng)對(duì)電子技術(shù)與網(wǎng)絡(luò)技術(shù)的依賴性越來(lái)越大，隨之產(chǎn)生、發(fā)展、逐步升級(jí)到電子戰(zhàn)與信息戰(zhàn)。對(duì)于信息戰(zhàn)，無(wú)論其規(guī)模與技術(shù)都與一般意義上的計(jì)算機(jī)網(wǎng)絡(luò)的入侵與攻擊都不可相提并論。信息戰(zhàn)的成敗與國(guó)家主干通信網(wǎng)絡(luò)的安全是與任何主權(quán)國(guó)家領(lǐng)土安全一樣的國(guó)家安全。

入侵或攻擊技術(shù)的分布化。以往常用的入侵與攻擊行為往往由單機(jī)執(zhí)行。由于防范技術(shù)的發(fā)展使得此類行為不能奏效。所謂的分布式拒絕服務(wù)（DDoS）在很短時(shí)間內(nèi)可造成被攻擊主機(jī)的癱瘓。且此類分布式攻擊的單機(jī)信息模式與正常通信無(wú)差異，所以往往在攻擊發(fā)動(dòng)的初期不易被確認(rèn)。分布式攻擊是近期最常用的攻擊手段。

攻擊對(duì)象的轉(zhuǎn)移。入侵與攻擊常以網(wǎng)絡(luò)為侵犯的主體，但近期來(lái)的攻擊行為卻發(fā)生了策略性的改變，由攻擊網(wǎng)絡(luò)改為攻擊網(wǎng)絡(luò)的防護(hù)系統(tǒng)，且有愈演愈烈的趨勢(shì)?，F(xiàn)已有專門針對(duì)IDS作攻擊的報(bào)道。攻擊者詳細(xì)地分析了IDS的審計(jì)方式、特征描述、通信模式找出IDS的弱點(diǎn)，然后加以攻擊。

今后的入侵檢測(cè)技術(shù)大致可朝下述三個(gè)方向發(fā)展。

關(guān)鍵詞： 入侵監(jiān)測(cè)