什么是入侵检测,以及入侵检测的系统结构组成?
来源：学生作业帮助网 编辑：六六作业网 时间：2024/12/25 09:05:03
什么是入侵检测,以及入侵检测的系统结构组成?
什么是入侵检测,以及入侵检测的系统结构组成?
什么是入侵检测,以及入侵检测的系统结构组成?
入侵检测是防火墙的合理补充,帮助系统对付网络攻击,扩展了系统管理员的安全管理能力（包括安全审计、监视、进攻识别和响应）,提高了信息安全基础结构的完整性.它从计算机网络系统中的若干关键点收集信息,并分析这些信息,看看网络中是否有违反安全策略的行为和遭到袭击的迹象.入侵检测被认为是防火墙之后的第二道安全闸门,在不影响网络性能的情况下能对网络进行监测,从而提供对内部攻击、外部攻击和误操作的实时保护.这些都通过它执行以下任务来实现：
· 监视、分析用户及系统活动；
· 系统构造和弱点的审计；
· 识别反映已知进攻的活动模式并向相关人士报警；
· 异常行为模式的统计分析；
· 评估重要系统和数据文件的完整性；
· 操作系统的审计跟踪管理,并识别用户违反安全策略的行为.
对一个成功的入侵检测系统来讲,它不但可使系统管理员时刻了解网络系统（包括程序、文件和硬件设备等）的任何变更,还能给网络安全策略的制订提供指南.更为重要的一点是,它应该管理、配置简单,从而使非专业人员非常容易地获得网络安全.而且,入侵检测的规模还应根据网络威胁、系统构造和安全需求的改变而改变.入侵检测系统在发现入侵后,会及时作出响应,包括切断网络连接、记录事件和报警等.
信息收集入侵检测的第一步是信息收集,内容包括系统、网络、数据及用户活动的状态和行为.而且,需要在计算机网络系统中的若干不同关键点（不同网段和不同主机）收集信息,这除了尽可能扩大检测范围的因素外,还有一个重要的因素就是从一个源来的信息有可能看不出疑点,但从几个源来的信息的不一致性却是可疑行为或入侵的最好标识.
当然,入侵检测很大程度上依赖于收集信息的可靠性和正确性,因此,很有必要只利用所知道的真正的和精确的软件来报告这些信息.因为黑客经常替换软件以搞混和移走这些信息,例如替换被程序调用的子程序、库和其它工具.黑客对系统的修改可能使系统功能失常并看起来跟正常的一样,而实际上不是.例如,unix系统的PS指令可以被替换为一个不显示侵入过程的指令,或者是编辑器被替换成一个读取不同于指定文件的文件（黑客隐藏了初试文件并用另一版本代替）.这需要保证用来检测网络系统的软件的完整性,特别是入侵检测系统软件本身应具有相当强的坚固性,防止被篡改而收集到错误的信息.
入侵检测利用的信息一般来自以下四个方面：
1.系统和网络日志文件
黑客经常在系统日志文件中留下他们的踪迹,因此,充分利用系统和网络日志文件信息是检测入侵的必要条件.日志中包含发生在系统和网络上的不寻常和不期望活动的证据,这些证据可以指出有人正在入侵或已成功入侵了系统.通过查看日志文件,能够发现成功的入侵或入侵企图,并很快地启动相应的应急响应程序.日志文件中记录了各种行为类型,每种类型又包含不同的信息,例如记录“用户活动”类型的日志,就包含登录、用户ID改变、用户对文件的访问、授权和认证信息等内容.很显然地,对用户活动来讲,不正常的或不期望的行为就是重复登录失败、登录到不期望的位置以及非授权的企图访问重要文件等等.
2.目录和文件中的不期望的改变
网络环境中的文件系统包含很多软件和数据文件,包含重要信息的文件和私有数据文件经常是黑客修改或破坏的目标.目录和文件中的不期望的改变（包括修改、创建和删除）,特别是那些正常情况下限制访问的,很可能就是一种入侵产生的指示和信号.黑客经常替换、修改和破坏他们获得访问权的系统上的文件,同时为了隐藏系统中他们的表现及活动痕迹,都会尽力去替换系统程序或修改系统日志文件.
3.程序执行中的不期望行为
网络系统上的程序执行一般包括操作系统、网络服务、用户起动的程序和特定目的的应用,例如数据库服务器.每个在系统上执行的程序由一到多个进程来实现.每个进程执行在具有不同权限的环境中,这种环境控制着进程可访问的系统资源、程序和数据文件等.一个进程的执行行为由它运行时执行的操作来表现,操作执行的方式不同,它利用的系统资源也就不同.操作包括计算、文件传输、设备和其它进程,以及与网络间其它进程的通讯.
一个进程出现了不期望的行为可能表明黑客正在入侵你的系统.