锐捷安全专项认证课程-IDS技术

IDS技术学习目标通过本章的学习，希望您能够：了解什么是IDS了解IDS的工作原理了解数据捕获方式了解IDS、IPS、防火墙的区别部署与配置RG-IDS本章内容什么是IDSIDS工作原理数据捕获方式IDS、IPS、防火墙的区别课程议题什么是IDS什么是IDS？IDS（IntrusionDetectionSystem）的概念IDS是硬件或软件用于检测对网络的攻击对攻击的积极响应好人坏人什么是IDS？（续）IDS的起源与发展概念的诞生—1980年美国空军做了题为《计算机安全威胁监控与监视》，第一次详细阐述了入侵检测的概念模型的发展—1984~1986年乔治敦大学的DorothyDenning和SRI公司的计算机科学实验室PeterNeumann研究出了一个入侵检测模型，取名为IDES（入侵检测专家系统）。它独立于特定的系统平台、应用环境、应用弱点以及入侵类型真正提出的入侵检测思想百花齐放—1990年美国加州大学第一次将网络数据流作为审计来源分析入侵活动，为入侵检测技术翻开新的一页。从此入侵检测技术分为网络入侵检测技术和主机入侵检测技术，并且两种方式不断壮大起来里程碑—2000年分布式IDS出现HIDS（HostIDS）Internet网络服务器1客户端网络服务器2X检测内容：系统调用、端口调用、系统日志、安全审记、应用日志HIDSXHIDSHIDS（续）在最终目的进行分析对网络的视野有限性能问题部署问题NIDS（NetworkIDS）InternetNIDS网络服务器1数据包=包头信息+有效数据部分客户端网络服务器2X检测内容：包头信息+有效数据部分NIDS（续）视野开阔易于部署带宽、性能问题加密问题课程议题IDS的工作原理IDS警报什么是警报IDS检测到入侵活动时，都必须产生一些警报以发出信号由于IDS没有100%的正确率，所以IDS警报分为两大类错误警报误报漏报正确警报正确命中正确拒绝IDS检测方式异常检测模式匹配（签名匹配）协议分析异常检测概念也称为模型检测，需要为用户习惯建立模型。模型为用户定义了行为特征，以及为用户执行正常任务定义了一个基线优点检测以前未发布的攻击缺点用户习惯改变时，必须更新用户模型很难把特定的攻击与警报相关联模式匹配概念也称为滥用检测，探测与具体特征相匹配的入侵行为，将收集到的信息与特征库匹配优点基于已知的入侵行为安装后立刻就能进行检测缺点需要更新签名库（特征库）有些攻击能绕过IDS无法检测未知攻击模式匹配（续）张三命中协议分析协议分析（续）ETHERARPIPRARPICMPIGMPTCPUDPPOP3FTPHTTP。。。DNS第一步——直接跳到第13个字节，并读取2个字节的协议标识。如果值是0800，则说明这个以太网帧的数据域携带的是IP包，基于协议解码的入侵检测利用这一信息指示第二步的检测工作。第二步——跳到第24个字节处读取1字节的第四层协议标识。如果读取到的值是06，则说明这个IP帧的数据域携带的是TCP包，入侵检测利用这一信息指示第三步的检测工作。第三步——跳到第35个字节处读取一对端口号。如果有一个端口号是0080，则说明这个TCP帧的数据域携带的是HTTP包，基于协议解码的入侵检测利用这一信息指示第四步的检测工作。第四步——让解析器从第55个字节开始读取URL。URL串将被提交给HTTP解析器，在它被允许提交给Web服务器前，由HTTP解析器来分析它是否可能会做攻击行为。协议分析（续）0800[13字节]06[24字节]0800[35字节]55字节张三匹配基于状态的检测IDSPC-A1.1.1.1源地址目标地址源端口目标端口初始序列号ACK标记1.1.1.12.2.2.2103380350771syn1.1.1.12.2.2.2103380350772133076syn-ack1.1.1.12.2.2.2103380350773133077ack①②③状态表源地址目标地址源端口目标端口序列号IDS响应技术报警记录日志TCPreset联动SNMPTrap邮件通知IDS逃避技术泛洪使IDS产生大量警报，隐藏真正攻击消耗IDS系统资源分片消耗IDS系统资源加密迷惑使用不同的字符表达方式课程议题数据捕获方式HUB物理层设备将流量向所有端口复制安全问题流量镜像SPAN（SwitchPortAnalyzer）交换机的端口监控功能将一个或多个来自某端口或VLAN的数据镜像到另一个目的端口目的端口常用来连接网络分析仪安全性高配置SPAN配置端口镜像的源端口monitorsessionsession-numbersourceinterfaceinterface{both|rx|tx}Switch(config)#monitorsessionsession-numberdestinationinterfaceinterfaceSwitch(config)#配置端口镜像的目的端口以太网接口的工作模式正常模式只接收目的MAC与自己MAC匹配的报文接收广播报文混杂模式接收所有报文（目的MAC非自身MAC的报文）IDS接口为混杂模式课程议题IDS、IPS与防火墙的区别IDS、IPS、防火墙对比防火墙可以检测20%的攻击IDS可以检测80%的攻击IPS可以检测50%的攻击IDS、IPS、防火墙对比（续）特征IDSIPSFirewall部署方式旁路在线在线优势性能结合IDS/FW严格的安全规则检测层次L3以上L3以上L3/L4成熟度很成熟不成熟非常成熟课程议题部署与配置RG-IDS安装组件步骤安装RGIDSSensor安装DataBase安装RGIDSLogServer安装RGIDSEvent-Collector安装RGIDSConsole安装RGIDSReport安装顺序配置SensorSENSOR显示的当前状态输入管理员密码，进入管理窗口配置SENSOR的网络连接状态配置DataBase安装微软MSDE组件初始配置计算机重启安装LogServer配置LogServer安装完成，出现“数据服务初始化配置”窗口也可以通过点击“开始—程序—入侵检测系统—入侵检测系统（网络）—RGIDS数据服务安装”进入此窗口配置Event-Collector安装License安装许可证配置Event-Collector在应用服务管理器中启用事件收集服务主要功能：后台服务的启动管理收集组件的状态调试信息配置用户控制台登录界面对用户做管理及审计信息添加组件组件管理——添加组件添加传感器组件配置窗口添加传感器同步签名、应用策略、重启引擎应用策略后会出现断开标志；大约2分钟时间，后出现编译签名标志；整个同步签名需要大约需要20分钟时间。添加LogServer添加LogServer策略编辑策略编辑器窗口添加特殊事件添加特殊事件进入“策略”——“告警策略”窗口展开“一般事件树”右键点击某个攻击签名，在出现的菜单中选择“添加到特殊事件窗口”在弹出的窗口中，输入新建事件组的名称点击“确定”按钮，该攻击签名将出现在特殊事件窗口中事件统计图一般事件统计图表窗口事件风险一般事件风险列表窗口系统日志系统日志窗口配置Report报表的登录界面配置Report安全事件报表、系统事件报表、审计事件报表配置Report报表的数据服务器信息设置界面配置Report数据服务器信息课程回顾什么是IDSIDS工作原理数据捕获方式IDS、IPS、防火墙的区别部署与配置RG-IDS