IDS入侵檢測基礎(chǔ)知識

什么是入侵監(jiān)測

　　入侵監(jiān)測系統(tǒng)處于防火墻之后對網(wǎng)絡(luò)活動(dòng)進(jìn)行實(shí)時(shí)檢測。許多情況下，由于可以記錄和禁止網(wǎng)絡(luò)活動(dòng)，所以入侵監(jiān)測系統(tǒng)是防火墻的延續(xù)。它們可以和你的防火墻和路由器配合工作。例如，你的IDS可以重新配置來禁止從防火墻外部進(jìn)入的惡意流量。你應(yīng)當(dāng)理解入侵監(jiān)測系統(tǒng)是獨(dú)立于防火墻工作的。

　　入侵監(jiān)測系統(tǒng)IDS與系統(tǒng)掃描器system scanner不同。系統(tǒng)掃描器是根據(jù)攻擊特征數(shù)據(jù)庫來掃描系統(tǒng)漏洞的，它更關(guān)注配置上的漏洞而不是當(dāng)前進(jìn)出你的主機(jī)的流量。在遭受攻擊的主機(jī)上，即使正在運(yùn)行著掃描程序，也無法識別這種攻擊。

　　IDS掃描當(dāng)前網(wǎng)絡(luò)的活動(dòng)，監(jiān)視和記錄網(wǎng)絡(luò)的流量，根據(jù)定義好的規(guī)則來過濾從主機(jī)網(wǎng)卡到網(wǎng)線上的流量，提供實(shí)時(shí)報(bào)警。網(wǎng)絡(luò)掃描器檢測主機(jī)上先前設(shè)置的漏洞，而IDS監(jiān)視和記錄網(wǎng)絡(luò)流量。如果在同一臺主機(jī)上運(yùn)行IDS和掃描器的話，配置合理的IDS會發(fā)出許多報(bào)警。

入侵監(jiān)測的功能

　　大多數(shù)的IDS程序可以提供關(guān)于網(wǎng)絡(luò)流量非常詳盡的分析。它們可以監(jiān)視任何定義好的流量。大多數(shù)的程序?qū)TP，HTTP和Telnet流量都有缺省的設(shè)置，還有其它的流量像NetBus，本地和遠(yuǎn)程登錄失敗等等。你也可以自己定制策略。下面討論一些更常見的檢測技巧。

入侵監(jiān)測系統(tǒng)的必要性

　　防火墻看起來好像可以滿足系統(tǒng)管理員的一切需求。然而，隨著基于雇員的攻擊行為和產(chǎn)品自身問題的增多，IDS由于能夠在防火墻內(nèi)部監(jiān)測非法的活動(dòng)正變得越來越必要。新的技術(shù)同樣給防火墻帶來了嚴(yán)重的威脅。

　　例如，VPN可穿透防火墻，所以需要IDS在防火墻后提供安全保障。雖然VPN本身很安全，但有可能通過VPN進(jìn)行通信的其中一方被root kit或NetBus所控制，而這種破壞行為是防火墻無法抵御的。基于以上兩點(diǎn)原因，IDS已經(jīng)成為安全策略的重要組成部分。

　　我們還需要注意的是，攻擊者可以實(shí)施攻擊使IDS過載，其結(jié)果可能是IDS系統(tǒng)成為拒絕服務(wù)攻擊的參與者。而且，攻擊者會盡量調(diào)整攻擊手法，從而使IDS無法追蹤網(wǎng)絡(luò)上的活動(dòng)。

入侵監(jiān)測系統(tǒng)的構(gòu)架

　　有兩種構(gòu)架的IDS可供選擇，每種都有它的適用環(huán)境。雖然主機(jī)級的IDS具有更強(qiáng)的功能而且可以提供更詳盡的信息，但它并不總是最佳選擇。

優(yōu)點(diǎn)和缺點(diǎn)

　　這種入侵監(jiān)測系統(tǒng)很容易安裝和實(shí)施；通常只需要將程序在主機(jī)上安裝一次。網(wǎng)絡(luò)級的IDS尤其適合阻止掃描和拒絕服務(wù)攻擊。但是，這種IDS構(gòu)架在交換和ATM環(huán)境下工作得不好。而且，它對處理升級非法賬號，破壞策略和篡改日志也并不特別有效。在掃描大型網(wǎng)絡(luò)時(shí)會使主機(jī)的性能急劇下降。所以，對于大型、復(fù)雜的網(wǎng)絡(luò)，你需要主機(jī)級的IDS。

特殊的考慮

　　每種IDS廠商對他們的產(chǎn)品都有特殊的考慮。通常這些考慮是針對操作系統(tǒng)的特殊設(shè)置的。例如，許多廠商要求你將代理安裝在使用靜態(tài)IP地址的主機(jī)上。因此，你也許需要配置DHCP和WINS服務(wù)器來配合管理者。這種特殊的考慮在一定程度上解釋了為什么大多數(shù)IDS程序用一個(gè)管理者來管理數(shù)臺主機(jī)。另外，安裝管理者會降低系統(tǒng)的性能。而且，在同一網(wǎng)段中安裝過多的管理者會占用過多的帶寬。

　　另外，許多IDS產(chǎn)品在快于10MB的網(wǎng)絡(luò)中工作起來會有問題。通常IDS的廠商要求你不要將管理者安裝在使用NFS或NFS+的UNIX操作系統(tǒng)上，因?yàn)檫@種文件系統(tǒng)允許遠(yuǎn)程訪問，管理者會使它們?nèi)狈Ψ€(wěn)定和不安全。

　　除非特殊情況，你不應(yīng)將IDS的管理者安裝在裝了雙網(wǎng)卡或多網(wǎng)卡的用做路由器的主機(jī)上，或者安裝在防火墻上。例如，Windows NT PDC或BDC也不是安裝大多數(shù)IDS管理者的理想系統(tǒng)，不僅因?yàn)楣芾碚邥绊懙卿洠襊DC或BDC所必須的服務(wù)會產(chǎn)生trap door和系統(tǒng)錯(cuò)誤。 　常用檢測方法

　　入侵檢測系統(tǒng)常用的檢測方法有特征檢測、統(tǒng)計(jì)檢測與專家系統(tǒng)。據(jù)公安部計(jì)算機(jī)信息系統(tǒng)安全產(chǎn)品質(zhì)量監(jiān)督檢驗(yàn)中心的報(bào)告，國內(nèi)送檢的入侵檢測產(chǎn)品中95％是屬于使用入侵模板進(jìn)行模式匹配的特征檢測產(chǎn)品，其他5％是采用概率統(tǒng)計(jì)的統(tǒng)計(jì)檢測產(chǎn)品與基于日志的專家知識庫系產(chǎn)品。

特征檢測

　　特征檢測對已知的攻擊或入侵的方式作出確定性的描述，形成相應(yīng)的事件模式。當(dāng)被審計(jì)的事件與已知的入侵事件模式相匹配時(shí)，即報(bào)警。原理上與專家系統(tǒng)相仿。其檢測方法上與計(jì)算機(jī)病毒的檢測方式類似。目前基于對包特征描述的模式匹配應(yīng)用較為廣泛。該方法預(yù)報(bào)檢測的準(zhǔn)確率較高，但對于無經(jīng)驗(yàn)知識的入侵與攻擊行為無能為力。

統(tǒng)計(jì)檢測

　　統(tǒng)計(jì)模型常用異常檢測，在統(tǒng)計(jì)模型中常用的測量參數(shù)包括：審計(jì)事件的數(shù)量、間隔時(shí)間、資源消耗情況等。常用的入侵檢測5種統(tǒng)計(jì)模型為：

　　1、操作模型，該模型假設(shè)異?？赏ㄟ^測量結(jié)果與一些固定指標(biāo)相比較得到，固定指標(biāo)可以根據(jù)經(jīng)驗(yàn)值或一段時(shí)間內(nèi)的統(tǒng)計(jì)平均得到，舉例來說，在短時(shí)間內(nèi)的多次失敗的登錄很有可能是口令嘗試攻擊；

　　2、方差，計(jì)算參數(shù)的方差，設(shè)定其置信區(qū)間，當(dāng)測量值超過置信區(qū)間的范圍時(shí)表明有可能是異常；

　　3、多元模型，操作模型的擴(kuò)展，通過同時(shí)分析多個(gè)參數(shù)實(shí)現(xiàn)檢測；

　　4、馬爾柯夫過程模型，將每種類型的事件定義為系統(tǒng)狀態(tài)，用狀態(tài)轉(zhuǎn)移矩陣來表示狀態(tài)的變化，當(dāng)一個(gè)事件發(fā)生時(shí)，或狀態(tài)矩陣該轉(zhuǎn)移的概率較小則可能是異常事件；

　　5、時(shí)間序列分析，將事件計(jì)數(shù)與資源耗用根據(jù)時(shí)間排成序列，如果一個(gè)新事件在該時(shí)間發(fā)生的概率較低，則該事件可能是入侵。

　　統(tǒng)計(jì)方法的最大優(yōu)點(diǎn)是它可以“學(xué)習(xí)”用戶的使用習(xí)慣，從而具有較高檢出率與可用性。但是它的“學(xué)習(xí)”能力也給入侵者以機(jī)會通過逐步“訓(xùn)練”使入侵事件符合正常操作的統(tǒng)計(jì)規(guī)律，從而透過入侵檢測系統(tǒng)。 入侵檢測產(chǎn)品選擇要點(diǎn)

　　當(dāng)您選擇入侵檢測系統(tǒng)時(shí)，要考慮的要點(diǎn)有：

　　1. 系統(tǒng)的價(jià)格

　　當(dāng)然，價(jià)格是必需考慮的要點(diǎn)，不過，性能價(jià)格比、以及要保護(hù)系統(tǒng)的價(jià)值可是更重要的因素。

　　2. 特征庫升級與維護(hù)的費(fèi)用

　　象反病毒軟件一樣，入侵檢測的特征庫需要不斷更新才能檢測出新出現(xiàn)的攻擊方法。

　　3. 對于網(wǎng)絡(luò)入侵檢測系統(tǒng)，最大可處理流量(包/秒 PPS)是多少

　　首先，要分析網(wǎng)絡(luò)入侵檢測系統(tǒng)所布署的網(wǎng)絡(luò)環(huán)境，如果在512K或2M專線上布署網(wǎng)絡(luò)入侵檢測系統(tǒng)，則不需要高速的入侵檢測引擎，而在負(fù)荷較高的環(huán)境中，性能是一個(gè)非常重要的指標(biāo)。

　　4. 該產(chǎn)品容易被躲避嗎

　　有些常用的躲開入侵檢測的方法，如：分片、TTL欺騙、異常TCP分段、慢掃描、協(xié)同攻擊等。

　　5. 產(chǎn)品的可伸縮性

　　系統(tǒng)支持的傳感器數(shù)目、最大數(shù)據(jù)庫大小、傳感器與控制臺之間通信帶寬和對審計(jì)日志溢出的處理。

　　6. 運(yùn)行與維護(hù)系統(tǒng)的開銷

　　產(chǎn)品報(bào)表結(jié)構(gòu)、處理誤報(bào)的方便程度、事件與事志查詢的方便程度以及使用該系統(tǒng)所需的技術(shù)人員數(shù)量。

　　7. 產(chǎn)品支持的入侵特征數(shù)

　　不同廠商對檢測特征庫大小的計(jì)算方法都不一樣，所以不能偏聽一面之辭。

　　8. 產(chǎn)品有哪些響應(yīng)方法

　　要從本地、遠(yuǎn)程等多個(gè)角度考察。自動(dòng)更改防火墻配置是一個(gè)聽上去很“酷”的功能，但是，自動(dòng)配置防火墻可是一個(gè)極為危險(xiǎn)的舉動(dòng)。

　　9. 是否通過了國家權(quán)威機(jī)構(gòu)的評測

　　主要的權(quán)威測評機(jī)構(gòu)有：國家信息安全測評認(rèn)證中心、公安部計(jì)算機(jī)信息系統(tǒng)安全產(chǎn)品質(zhì)量監(jiān)督檢驗(yàn)中心。

入侵檢測技術(shù)發(fā)展方向

　　無論從規(guī)模與方法上入侵技術(shù)近年來都發(fā)生了變化。入侵的手段與技術(shù)也有了“進(jìn)步與發(fā)展”。入侵技術(shù)的發(fā)展與演化主要反映在下列幾個(gè)方面：

　　入侵或攻擊的綜合化與復(fù)雜化。入侵的手段有多種，入侵者往往采取一種攻擊手段。由于網(wǎng)絡(luò)防范技術(shù)的多重化，攻擊的難度增加，使得入侵者在實(shí)施入侵或攻擊時(shí)往往同時(shí)采取多種入侵的手段，以保證入侵的成功幾率，并可在攻擊實(shí)施的初期掩蓋攻擊或入侵的真實(shí)目的。

　　入侵主體對象的間接化，即實(shí)施入侵與攻擊的主體的隱蔽化。通過一定的技術(shù)，可掩蓋攻擊主體的源地址及主機(jī)位置。即使用了隱蔽技術(shù)后，對于被攻擊對象攻擊的主體是無法直接確定的。

　　入侵或攻擊的規(guī)模擴(kuò)大。對于網(wǎng)絡(luò)的入侵與攻擊，在其初期往往是針對于某公司或一個(gè)網(wǎng)站，其攻擊的目的可能為某些網(wǎng)絡(luò)技術(shù)愛好者的獵奇行為，也不排除商業(yè)的盜竊與破壞行為。由于戰(zhàn)爭對電子技術(shù)與網(wǎng)絡(luò)技術(shù)的依賴性越來越大，隨之產(chǎn)生、發(fā)展、逐步升級到電子戰(zhàn)與信息戰(zhàn)。對于信息戰(zhàn)，無論其規(guī)模與技術(shù)都與一般意義上的計(jì)算機(jī)網(wǎng)絡(luò)的入侵與攻擊都不可相提并論。信息戰(zhàn)的成敗與國家主干通信網(wǎng)絡(luò)的安全是與任何主權(quán)國家領(lǐng)土安全一樣的國家安全。

　　入侵或攻擊技術(shù)的分布化。以往常用的入侵與攻擊行為往往由單機(jī)執(zhí)行。由于防范技術(shù)的發(fā)展使得此類行為不能奏效。所謂的分布式拒絕服務(wù)（DDoS）在很短時(shí)間內(nèi)可造成被攻擊主機(jī)的癱瘓。且此類分布式攻擊的單機(jī)信息模式與正常通信無差異，所以往往在攻擊發(fā)動(dòng)的初期不易被確認(rèn)。分布式攻擊是近期最常用的攻擊手段。

　　攻擊對象的轉(zhuǎn)移。入侵與攻擊常以網(wǎng)絡(luò)為侵犯的主體，但近期來的攻擊行為卻發(fā)生了策略性的改變，由攻擊網(wǎng)絡(luò)改為攻擊網(wǎng)絡(luò)的防護(hù)系統(tǒng)，且有愈演愈烈的趨勢。現(xiàn)已有專門針對IDS作攻擊的報(bào)道。攻擊者詳細(xì)地分析了IDS的審計(jì)方式、特征描述、通信模式找出IDS的弱點(diǎn)，然后加以攻擊。

　　今后的入侵檢測技術(shù)大致可朝下述三個(gè)方向發(fā)展。