入侵检测系统实训教程

异常检测技术——异常检测技术假定所有入侵行为都是与正常行为不同的。如果 建立系统正常行为的轨迹，那么理论上可以把所有与正常轨迹不同的系统状态视为可疑 企图。对于异常阀值与特征的选择是异常发现技术的关键。比如，通过流量统计分析将 异常时间的异常网络流量视为可疑。异常检测技术的局限是并非所有的入侵都表现为异 常，而且系统的轨迹难于计算和更新。
传感器管理端口在后续硬件版本中可能不仅只有两个端口。可根据实际情况任 选一个端口作为管理端口，其余端口均可同时作为监控端口连接到网络中。
18
任务2 IDS软件支持系统安装配置
2.1 任务目的 1．掌握DC NIDS系统软件的安装流程。
2.2 任务设备及要求 1. 安装IDS分布式管理系统软件并进行合理配置； 2. 启动各软件服务
IDS是防火墙之后的第二道安全闸门。 必要性
传统的防火墙在工作时，存在两方面的不足： 一、防火墙完全不能阻止来自内部的攻击； 二、由于性能的限制，防火墙通常不能提供主动的、实时的入侵检测能力。 入侵检测系统可以弥补防火墙的不足，为网络安全提供实时的入侵检测及采取相 应的防护手段。
2
入侵检测系统实训教程
10
任务1 IDS传感器安装配置
1.1 任务目的 1. 理解DC NIDS系统构成； 2. 掌握DC NIDS传感器的配置要点。
1.2 任务设备及要求 设备： DCNIDS-1800 系列设备一台; 要求：使用串口连接硬件设备的命令行界面，掌握IDS传感器的配置要点。
11
任务1 IDS传感器安装配置
IDS
终端
服务器
8
入侵检测系统实训教程
• 单元1 IDS系统部署 • 单元2 查询工具的安装与使用 • 单元3 安全响应策略的配置及联动 • 部署
• 任务1 IDS传感器安装配置 • 任务2 IDS软件支持系统安装配置 • 任务3 IDS监控与管理环境搭建
（12） （14）
22
任务2 IDS软件支持系统安装配置
2.3.2 安装LogServer ① 双击光盘中的LogServer安装文件，即开始LogServer的安装过程。
据源保护所在的系统，一般只能检测该主机上发生的入侵。 2. 基于网络的入侵检测系统（NIDS） ：其输入数据来源于网络的信息流，能够检
测该网段上发生的网络入侵。
4
入侵检测系统实训教程
工作流程 入侵检测系统为了分析、判断特定行为或者事件是否为违反安全策略的异常行为
或者攻击行为，需要经过四个过程。 （1）数据采集阶段—— 网络入侵检测系统（NIDS）或者主机入侵检测系统
功能任务 1. 实时检测 实时监视、分析网络中所有的数据报文； 发现并实时处理所捕获的数据报文； 2.安全审计 对系统记录的网络事件进行统计分析； 发现异常现象； 得出系统的安全状态，找出所需要的证据； 3.主动响应 主动切断连接或与防火墙联动，调用其他程序处理。
3
入侵检测系统实训教程
分类 入侵检测系统基本分为2类： 1. 基于主机的入侵检测系统（HIDS）：以操作系统日志、应用程序日志等作为数
17
任务1 IDS传感器安装配置
1.4 任务思考与练习 IDS硬件设备配置中涉及两类密钥，一个是管理员密钥，一个是管理通道密钥，
任务中注意不要修改管理员密钥，否则会因丢失密钥导致设备返厂维修。而管理通 道密钥的设置则必须与其未来软件服务平台的相应密钥对应方可正常使用此传感器。 因此须记清楚管理通道密钥以备后续配置使用。
19
任务2 IDS软件支持系统安装配置
2.3 任务步骤 2.3.1安装数据库
① 选择“安装SQL Server 2000组件”。 ② 选择“安装数据库服务器”。
①
②
20
任务2 IDS软件支持系统安装配置
③ ⑤ ⑦
④ ⑥
⑧
21
任务2 IDS软件支持系统安装配置
⑨
（11） （13）
（15）
⑩
本任务设置SA 密码为123456
6
入侵检测系统实训教程
网络入侵检测技术 模式匹配技术 ——假定所有入侵行为和手段（及其变种）都能够表达为一种模式
或特征，那么所有已知的入侵方法都可以用匹配的方法发现。模式匹配的关键是如何表 达入侵的模式，把真正的入侵与正常行为区分开来。模式匹配的优点是误报少，局限是 只能发现已知的攻击，对未知的攻击无能为力。
⑦ ⑧
14
任务1 IDS传感器安装配置
1.3.2 配置传感器 按键盘任意键启动传感器的登录界面。 输入出厂默认的传感器密码：admin，即可登录传感器主菜单。
15
任务1 IDS传感器安装配置
1．配置管理信息和时间
16
任务1 IDS传感器安装配置
2．配置传感器网络参数
本任务设置为 “dcids”
入侵检测系统实训教程
1
入侵检测系统实训教程
定义 入侵检测系统（Intrusion Detection System, IDS）是一种安全设备，它依照一定的
安全策略，通过软件、硬件，对网络、系统的运行状况进行监视，尽可能发现各种攻击 企图、攻击行为或者攻击结果，以保证网络系统资源的机密性、完整性和可用性。
(HIDS) 都需要采集必要的数据用于入侵分析。 （2）数据过滤及缩略——根据预定义的设置，进行必要的数据过滤及缩略，从而
提高检测、分析的效率。 （3）检测/分析——根据定义的安全策略，进行检测/分析。
（4）报警及响应 ——一旦检测到违反安全策略的行为或者事件，进行报警及响应。
5
入侵检测系统实训教程
1.3 任务步骤 1.3.1 连接硬件设备，进行拓扑环境搭建
（1）连接好配置线缆与PC机的COM口后，打开传感器的电源开关，启动设备。
集中管理及控制台 PC2
控制口
检测口
PC1
IDS系统连接拓扑示意
12
任务1 IDS传感器安装配置
（2） 启动超级终端，连接Sensor。 ①
③ ④
⑤
②
⑥
13
任务1 IDS传感器安装配置
协议分析技术——协议分析是目前最先进的检测技术，通过对数据包进行结构化 协议分析来识别入侵企图和行为。协议分析是根据构造好的算法实现的，这种技术比模 式匹配检测效率更高，并能对一些未知的攻击特征进行识别，具有一定的免疫功能。
7
入侵检测系统实训教程
案例拓扑图图标
二层百兆交换机
高端路由交换机
路由器
防火墙