IDS入侵檢測基礎知識

什么是入侵監(jiān)測

入侵監(jiān)測系統處于防火墻之后對網絡活動進行實時檢測。許多情況下，由于可以記錄和禁止網絡活動，所以入侵監(jiān)測系統是防火墻的延續(xù)。它們可以和你的防火墻和路由器配合工作。例如，你的IDS可以重新配置來禁止從防火墻外部進入的惡意流量。你應當理解入侵監(jiān)測系統是獨立于防火墻工作的。

入侵監(jiān)測系統IDS與系統掃描器system scanner不同。系統掃描器是根據攻擊特征數據庫來掃描系統漏洞的，它更關注配置上的漏洞而不是當前進出你的主機的流量。在遭受攻擊的主機上，即使正在運行著掃描程序，也無法識別這種攻擊。

IDS掃描當前網絡的活動，監(jiān)視和記錄網絡的流量，根據定義好的規(guī)則來過濾從主機網卡到網線上的流量，提供實時報警。網絡掃描器檢測主機上先前設置的漏洞，而IDS監(jiān)視和記錄網絡流量。如果在同一臺主機上運行IDS和掃描器的話，配置合理的IDS會發(fā)出許多報警。

入侵監(jiān)測的功能

大多數的IDS程序可以提供關于網絡流量非常詳盡的分析。它們可以監(jiān)視任何定義好的流量。大多數的程序對FTP，HTTP和Telnet流量都有缺省的設置，還有其它的流量像NetBus，本地和遠程登錄失敗等等。你也可以自己定制策略。下面討論一些更常見的檢測技巧。

入侵監(jiān)測系統的必要性

防火墻看起來好像可以滿足系統管理員的一切需求。然而，隨著基于雇員的攻擊行為和產品自身問題的增多，IDS由于能夠在防火墻內部監(jiān)測非法的活動正變得越來越必要。新的技術同樣給防火墻帶來了嚴重的威脅?！　±?，VPN可穿透防火墻，所以需要IDS在防火墻后提供安全保障。雖然VPN本身很安全，但有可能通過VPN進行通信的其中一方被root kit或NetBus所控制，而這種破壞行為是防火墻無法抵御的?；谝陨蟽牲c原因，IDS已經成為安全策略的重要組成部分。

我們還需要注意的是，攻擊者可以實施攻擊使IDS過載，其結果可能是IDS系統成為拒絕服務攻擊的參與者。而且，攻擊者會盡量調整攻擊手法，從而使IDS無法追蹤網絡上的活動。

入侵監(jiān)測系統的構架

有兩種構架的IDS可供選擇，每種都有它的適用環(huán)境。雖然主機級的IDS具有更強的功能而且可以提供更詳盡的信息，但它并不總是最佳選擇。

優(yōu)點和缺點

這種入侵監(jiān)測系統很容易安裝和實施；通常只需要將程序在主機上安裝一次。網絡級的IDS尤其適合阻止掃描和拒絕服務攻擊。但是，這種IDS構架在交換和ATM環(huán)境下工作得不好。而且，它對處理升級非法賬號，破壞策略和篡改日志也并不特別有效。在掃描大型網絡時會使主機的性能急劇下降。所以，對于大型、復雜的網絡，你需要主機級的IDS。

特殊的考慮

每種IDS廠商對他們的產品都有特殊的考慮。通常這些考慮是針對操作系統的特殊設置的。例如，許多廠商要求你將代理安裝在使用靜態(tài)IP地址的主機上。因此，你也許需要配置DHCP和WINS服務器來配合管理者。這種特殊的考慮在一定程度上解釋了為什么大多數IDS程序用一個管理者來管理數臺主機。另外，安裝管理者會降低系統的性能。而且，在同一網段中安裝過多的管理者會占用過多的帶寬。

另外，許多IDS產品在快于10MB的網絡中工作起來會有問題。通常IDS的廠商要求你不要將管理者安裝在使用NFS或NFS+的UNIX操作系統上，因為這種文件系統允許遠程訪問，管理者會使它們缺乏穩(wěn)定和不安全。

除非特殊情況，你不應將IDS的管理者安裝在裝了雙網卡或多網卡的用做路由器的主機上，或者安裝在防火墻上。例如，Windows NT PDC或BDC也不是安裝大多數IDS管理者的理想系統，不僅因為管理者會影響登錄，而且PDC或BDC所必須的服務會產生trap door和系統錯誤。 　常用檢測方法

入侵檢測系統常用的檢測方法有特征檢測、統計檢測與專家系統。據公安部計算機信息系統安全產品質量監(jiān)督檢驗中心的報告，國內送檢的入侵檢測產品中95％是屬于使用入侵模板進行模式匹配的特征檢測產品，其他5％是采用概率統計的統計檢測產品與基于日志的專家知識庫系產品。

特征檢測

特征檢測對已知的攻擊或入侵的方式作出確定性的描述，形成相應的事件模式。當被審計的事件與已知的入侵事件模式相匹配時，即報警。原理上與專家系統相仿。其檢測方法上與計算機病毒的檢測方式類似。目前基于對包特征描述的模式匹配應用較為廣泛。該方法預報檢測的準確率較高，但對于無經驗知識的入侵與攻擊行為無能為力。

統計檢測

統計模型常用異常檢測，在統計模型中常用的測量參數包括：審計事件的數量、間隔時間、資源消耗情況等。常用的入侵檢測5種統計模型為：

1、操作模型，該模型假設異常可通過測量結果與一些固定指標相比較得到，固定指標可以根據經驗值或一段時間內的統計平均得到，舉例來說，在短時間內的多次失敗的登錄很有可能是口令嘗試攻擊；

2、方差，計算參數的方差，設定其置信區(qū)間，當測量值超過置信區(qū)間的范圍時表明有可能是異常；

3、多元模型，操作模型的擴展，通過同時分析多個參數實現檢測；

4、馬爾柯夫過程模型，將每種類型的事件定義為系統狀態(tài)，用狀態(tài)轉移矩陣來表示狀態(tài)的變化，當一個事件發(fā)生時，或狀態(tài)矩陣該轉移的概率較小則可能是異常事件；

5、時間序列分析，將事件計數與資源耗用根據時間排成序列，如果一個新事件在該時間發(fā)生的概率較低，則該事件可能是入侵。

統計方法的最大優(yōu)點是它可以“學習”用戶的使用習慣，從而具有較高檢出率與可用性。但是它的“學習”能力也給入侵者以機會通過逐步“訓練”使入侵事件符合正常操作的統計規(guī)律，從而透過入侵檢測系統。 入侵檢測產品選擇要點

當您選擇入侵檢測系統時，要考慮的要點有：

1. 系統的價格

當然，價格是必需考慮的要點，不過，性能價格比、以及要保護系統的價值可是更重要的因素。

2. 特征庫升級與維護的費用

象反病毒軟件一樣，入侵檢測的特征庫需要不斷更新才能檢測出新出現的攻擊方法。

3. 對于網絡入侵檢測系統，最大可處理流量(包/秒 PPS)是多少

首先，要分析網絡入侵檢測系統所布署的網絡環(huán)境，如果在512K或2M專線上布署網絡入侵檢測系統，則不需要高速的入侵檢測引擎，而在負荷較高的環(huán)境中，性能是一個非常重要的指標。

4. 該產品容易被躲避嗎

有些常用的躲開入侵檢測的方法，如：分片、TTL欺騙、異常TCP分段、慢掃描、協同攻擊等。

5. 產品的可伸縮性

系統支持的傳感器數目、最大數據庫大小、傳感器與控制臺之間通信帶寬和對審計日志溢出的處理。

6. 運行與維護系統的開銷

產品報表結構、處理誤報的方便程度、事件與事志查詢的方便程度以及使用該系統所需的技術人員數量。

7. 產品支持的入侵特征數

不同廠商對檢測特征庫大小的計算方法都不一樣，所以不能偏聽一面之辭。

8. 產品有哪些響應方法

要從本地、遠程等多個角度考察。自動更改防火墻配置是一個聽上去很“酷”的功能，但是，自動配置防火墻可是一個極為危險的舉動。

9. 是否通過了國家權威機構的評測

主要的權威測評機構有：國家信息安全測評認證中心、公安部計算機信息系統安全產品質量監(jiān)督檢驗中心。

入侵檢測技術發(fā)展方向

無論從規(guī)模與方法上入侵技術近年來都發(fā)生了變化。入侵的手段與技術也有了“進步與發(fā)展”。入侵技術的發(fā)展與演化主要反映在下列幾個方面：

入侵或攻擊的綜合化與復雜化。入侵的手段有多種，入侵者往往采取一種攻擊手段。由于網絡防范技術的多重化，攻擊的難度增加，使得入侵者在實施入侵或攻擊時往往同時采取多種入侵的手段，以保證入侵的成功幾率，并可在攻擊實施的初期掩蓋攻擊或入侵的真實目的。

入侵主體對象的間接化，即實施入侵與攻擊的主體的隱蔽化。通過一定的技術，可掩蓋攻擊主體的源地址及主機位置。即使用了隱蔽技術后，對于被攻擊對象攻擊的主體是無法直接確定的。

入侵或攻擊的規(guī)模擴大。對于網絡的入侵與攻擊，在其初期往往是針對于某公司或一個網站，其攻擊的目的可能為某些網絡技術愛好者的獵奇行為，也不排除商業(yè)的盜竊與破壞行為。由于戰(zhàn)爭對電子技術與網絡技術的依賴性越來越大，隨之產生、發(fā)展、逐步升級到電子戰(zhàn)與信息戰(zhàn)。對于信息戰(zhàn)，無論其規(guī)模與技術都與一般意義上的計算機網絡的入侵與攻擊都不可相提并論。信息戰(zhàn)的成敗與國家主干通信網絡的安全是與任何主權國家領土安全一樣的國家安全。

入侵或攻擊技術的分布化。以往常用的入侵與攻擊行為往往由單機執(zhí)行。由于防范技術的發(fā)展使得此類行為不能奏效。所謂的分布式拒絕服務（DDoS）在很短時間內可造成被攻擊主機的癱瘓。且此類分布式攻擊的單機信息模式與正常通信無差異，所以往往在攻擊發(fā)動的初期不易被確認。分布式攻擊是近期最常用的攻擊手段。

攻擊對象的轉移。入侵與攻擊常以網絡為侵犯的主體，但近期來的攻擊行為卻發(fā)生了策略性的改變，由攻擊網絡改為攻擊網絡的防護系統，且有愈演愈烈的趨勢?，F已有專門針對IDS作攻擊的報道。攻擊者詳細地分析了IDS的審計方式、特征描述、通信模式找出IDS的弱點，然后加以攻擊。

今后的入侵檢測技術大致可朝下述三個方向發(fā)展。

關鍵詞： 入侵監(jiān)測