物聯網信息安全 課件 第2章 入侵檢測技術

2.6入侵檢測技術12入侵檢測的概念入侵檢測系統指的是一種硬件或軟件系統，該系統對系統資源的非授權使用能夠做出及時的判斷，記錄和報警。入侵可以分為兩類：外部入侵和內部入侵入侵檢測系統3入侵檢測是對防火墻的合理補充，他幫助系統對付網絡攻擊，擴展了系統管理員的管理能力，提高了信息基礎結構的完整性。4入侵檢測的方法異常入侵檢測技術誤用入侵檢測技術入侵檢測的步驟5信息收集數據分析響應入侵檢測系統結構6基于主機系統的結構基于網絡系統的結構基于分布式系統的結構幾種常見的入侵檢測系統CyberCop入侵檢測系統ISS公司的RealSerure2.0forWindowsNTAbirnet公司的Session-Wall-32.1Anzen公司的NFRIBM公司的IERS系統“天眼”入侵檢測系統啟明星辰公司的黑客入侵檢測與預警功能網咯入侵檢測系統Snort7入侵檢測Snort的使用8Snort簡介Snort是一個用C語言編寫的開放源代碼軟件，符合GPL（GNUGeneralPublicLicense）的要求，當前的最新版本是2.8，其作者為MartinRoesch。Snort是一個跨平臺、輕量級的網絡入侵檢測軟件，實際上它是一個基于libpcap的網絡數據包嗅探器和日志記錄工具，可以用于入侵檢測。從入侵檢測分類上來看，Snort是一個基于網絡和誤用的入侵檢測軟件。9Snort的工作模式嗅探器Snort–v–d-e數據包記錄器Snort–vde–lc:\snort\log網絡入侵檢測系統Snort–vde–lc:\snort\log–cc:\snort\etc\snort.conf10底層庫的安裝與配置安裝Snort所需的底層庫有三個：

Libpcap，提供的接口函數主要實現和封裝了與數據包截獲有關的過程。Libnet，提供的接口函數主要實現和封裝了數據包的構造和發(fā)送過程。NDISpacketcaptureDriver，是為了方便用戶在Windows環(huán)境下抓取和處理網絡數據包而提供的驅動程序。在Linux和Solaris環(huán)境下，必須首先安裝Libpcap，然后才能安裝Snort，如果需要還應該安裝Libnet；在Windows環(huán)境下，必須首先安裝NDISpacketcaptureDriver(可用Winpcap代替)，然后才能安裝Snort。11Snort的安裝Win32環(huán)境下的安裝方法一解開snort-2.1-win32-source.zip用VC++打開位于snort-2.1-win32-source\snort-2.1\win32-Prj目錄下的snort.dsw文件選擇“Win32Release”編譯選項進行編譯在Release目錄下會生成所需的Snort.exe可執(zhí)行文件Win32環(huán)境下的安裝方法二直接執(zhí)行SnortWindows安裝包SWIB12Snort的配置配置Snort并不需要自已編寫配置文件，只需對Snort.conf文件進行修改即可設置網絡變量varDNS_SERVERS配置預處理器配置輸出插件配置所使用的規(guī)則集varRULE_PATHc:\snort\rules13操作實例輸出IP和TCP/UDP/ICMP的包頭信息14輸出TCP/IP信息包啟用windows下的運行窗口輸入cmd進入DOS界面進入c:\snort\bin文件夾cmdcmd15cdc:\snort\bin16輸出TCP/IP信息包進入c:\snort\bin文件夾輸入命令snort–v掃描信息包17snort-v18掃描中的界面19輸出TCP/IP信息包進入c:\snort\bin文件夾輸入命令snort–v掃描信息包snort-vCtrl+c退出Snort運行并顯示掃描統計信息20掃描后的統計界面21操作實例同時顯示IP和TCP/UDP/ICMP的包頭信息、應用層數據信息、數據鏈路層的信息并將掃描的信息記錄進c:\snort\log文件夾內22指定網段輸出多層信息包并保存到指定文件夾進入c:\snort\bin文件夾輸入命令snort–vde–lc:\snort\log掃描信息包23snort–vde–lc:\snort\logsnort–v–d–e–lc:\snort\log或輸入24輸入命令后的開始界面25掃描中的界面26進入c:\snort\bin文件夾snort-vCtrl+c退出Snort運行并顯示掃描統計信息輸出