入侵檢測系統(tǒng)的設(shè)計原理-

6.2

入侵檢測系統(tǒng)的設(shè)計原理基于主機系統(tǒng)的結(jié)構(gòu)基于網(wǎng)絡(luò)系統(tǒng)的結(jié)構(gòu)基于分布式系統(tǒng)的結(jié)構(gòu)6.2

入侵檢測系統(tǒng)的設(shè)計原理入侵檢測系統(tǒng)需求特性入侵檢測框架簡介6.2

入侵檢測系統(tǒng)的設(shè)計原理入侵檢測系統(tǒng)(IDS)可以用來保護不同的對象，有的IDS僅用來保護某臺主機的安全；有的IDS用來檢測內(nèi)部用戶對內(nèi)部網(wǎng)絡(luò)的攻擊行為；有的IDS用來檢測外部網(wǎng)絡(luò)用戶對內(nèi)部網(wǎng)絡(luò)的攻擊；還有的采用分布式入侵檢測系統(tǒng)結(jié)構(gòu)，即在多個點部署IDS，進(jìn)而在不同的層次、不同的區(qū)域使用入侵檢測技術(shù)。6.2

入侵檢測系統(tǒng)的設(shè)計原理6.2.1

其于主機系統(tǒng)結(jié)構(gòu)基于主機的入侵檢測系統(tǒng)(HIDS)通常從主機的審計記錄和日志文件中獲得所需要的主要數(shù)據(jù)，并輔助以主機上的其他信息。6.2

入侵檢測系統(tǒng)的設(shè)計原理6.2.2

基于網(wǎng)絡(luò)系統(tǒng)的結(jié)構(gòu)基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)(NIDS)，如圖所示，它在共享式網(wǎng)絡(luò)上對通信數(shù)據(jù)進(jìn)行偵聽并采集數(shù)據(jù)，分析可疑現(xiàn)象。與主機系統(tǒng)相比，這類系統(tǒng)對入侵者而言是透明的。6.2

入侵檢測系統(tǒng)的設(shè)計原理6.2.3基于分布式系統(tǒng)的結(jié)構(gòu)在大范圍網(wǎng)絡(luò)中部署有效的IDS推動了分布式入侵檢測系統(tǒng)的誕生和不斷發(fā)展。分布式入侵檢測系統(tǒng)一般具有如圖所示的體系結(jié)構(gòu)。6.2

入侵檢測系統(tǒng)的設(shè)計原理6.2.4入侵檢測系統(tǒng)需求特性入侵檢測的部署與實現(xiàn)是和用戶的需求密切相關(guān)的入侵檢測系統(tǒng)應(yīng)該具有以下特點：可靠性。檢測系統(tǒng)必須可以在無人監(jiān)控的情況下持續(xù)運行。容錯性。入侵檢測系統(tǒng)必須是可容錯的，即使系統(tǒng)崩潰，檢測系統(tǒng)本身必須能保留下來，而且不必在重啟系統(tǒng)時重建知識庫。6.2

入侵檢測系統(tǒng)的設(shè)計原理6.2.4入侵檢測系統(tǒng)需求特性入侵檢測的部署與實現(xiàn)是和用戶的需求密切相關(guān)的入侵檢測系統(tǒng)應(yīng)該具有以下特點：可用性。入侵檢測系統(tǒng)所占用的系統(tǒng)資源要最小，這樣不會嚴(yán)重降低系統(tǒng)性能?？蓹z驗性。入侵檢測系統(tǒng)必須能觀察到非正常行為。5.對觀察的系統(tǒng)來說必須是易于開發(fā)的。6.2

入侵檢測系統(tǒng)的設(shè)計原理6.2.4入侵檢測系統(tǒng)需求特性入侵檢測的部署與實現(xiàn)是和用戶的需求密切相關(guān)的入侵檢測系統(tǒng)應(yīng)該具有以下特點：6.可適應(yīng)性。檢測系統(tǒng)應(yīng)能實時追蹤系統(tǒng)環(huán)境的改變，7.準(zhǔn)確性。檢測系統(tǒng)不能隨意發(fā)送誤警報和漏報。8.安全性。檢測系統(tǒng)應(yīng)不易于被欺騙，能保護自身系統(tǒng)的安全。6.2

入侵檢測系統(tǒng)的設(shè)計原理6.2.5入侵檢測框架簡介入侵檢測框架包括通用入侵檢測框架CIDF和入侵檢測交換格式IDDEF。1．通用入侵檢測框架CIDFCIDF的主要工作在于集成各種IDS使之協(xié)同工作，實現(xiàn)各IDS之間的組件重用，所以CIDF也是構(gòu)建分布式IDS的基礎(chǔ)。6.2

入侵檢測系統(tǒng)的設(shè)計原理6.2.5入侵檢測框架簡介CIDF的體系結(jié)構(gòu)6.2

入侵檢測系統(tǒng)的設(shè)計原理6.2.5入侵檢測框架簡介入侵檢測框架包括通用入侵檢測框架CIDF和入侵檢測交換格式IDDEF。2．入侵檢測交換格式IDE