06076_

Size: px

Start display at page:

Download "06076_"

规鳗高
5 years ago
Views:

1 基於規則分類的網路入侵偵測系統之效能分析與改善張浩置國立高雄師範大學資訊教育研究所研究生投稿議題 : ICT 治理與安全管理投稿編號 : 聯絡地址 : 高雄市三民區十全一路 100 號電話 : peterchang72@gmail.com 楊中皇國立高雄師範大學資訊教育研究所教授 chyang@nknucc.nknu.edu.tw 林志鴻資策會網多所經理 chlin@iii.org.tw

2 基於規則分類的網路入侵偵測系統之效能分析與改善張浩置國立高雄師範大學資訊教育研究所研究生楊中皇國立高雄師範大學資訊教育研究所教授林志鴻資策會網多所經理摘要在享受網際網路之便利與快速發展下, 卻也隱藏許多網路安全危機網路入侵偵測系統 (Network-based Intrusion Detection System,NIDS) 的規則資料庫日漸龐大, 在新的世代裡將面臨更多的挑戰本研究分析開放原始碼 (open source) Snort 網路入侵偵測系統 (Network-based Intrusion Detection System,NIDS), 依主機與網路環境之不同將其規則檔 (rules) 重新進行調整分類, 嘗試找出最適合的規則與設定, 並據此調校部署 NIDS 在調校 Snort 之後, 我們以先前蒐集之攻擊程式與惡意程式 (malware) 進行實驗, 比較分類前後的系統資源, 驗證調校的效果經實驗證實, 採用本研究新的規則分類, 可節省使用記憶體 (swap) 23%, 也節省 CPU 的負載 (load average) 17% 單位效能本研究更進一步發現, 規則的數量, 會影響記憶體的使用率 ;Snort 的規則比對符合與否, 會影響 CPU 的負載 (load average) 所以本研究的分類規則, 能有效的減少系統資源的浪費, 進而提升 Snort 執行的效率關鍵字 : 入侵偵測規則 IDS Snort NIDS 一前言網際網路應用已普及於我們的日常生活中, 網路活動越來越頻繁, 然而層出不窮之資安事件, 處處潛藏著危機, 在這開放的網路環境下, 充斥著許多惡意的攻擊, 安全問題顯得日益重要, 影響個別的網路使用者與大眾生活當網路系統遭受攻擊時, 就需依賴各種類型的網路安全防護設施或軟體來防禦, 如部署於網路外層的誘捕系統 (Honeypot) 中層的入侵偵測系統 (Intrusion Detecting System,IDS), 以及內層的防火牆 (Firewall) 等等 [14] IDS 可做網路行為的監控, 藉以了解攻擊者的入侵手法, 使系統管理者, 可依據入侵偵測報告, 進行系統漏洞之修補, 加強系統安全, 免於遭受相同攻擊 [6] NIDS 為了有效偵測各式各樣的入侵, 利用特徵值資料庫比對現行規則, 須處理的規則極多, 從數千條到上萬條不等, 再加上設定檔中有許多參數需要設定, 使得 NIDS 的管理成為一件複雜的工作

3 要能精確的對特定環境找出最適合的規則和設定, 不但需要複雜的人工參與, 而且也很難即時反應當前網路與主機的狀態有鑑於此, 本研究將對 NIDS 規則依其相關的作業系統應用軟體安全漏洞網路環境等進行分類, 並對網路與主機環境進行偵測透過偵測的結果, 找出個別環境最適合的規則集合與設定, 並據此調整各地 NIDS 的規則與設定這樣不但可以減輕管理人員的負擔, 且能提升 NIDS 的效能與精確度二文獻探討 1. IDS 入侵偵測系統源起於 1980 年代之美國政府與軍方單位, 為了要監控網路上違反安全行為活動而設計, 於 1990 年代中期之後逐漸風行入侵偵測系統依其設計之方式, 可分為三種 [7]: (1). 網路式入侵偵測系統 (NIDS): 將網路上傳遞的封包, 擷取下來, 再與內建的專家系統進行模式比對, 需具備強大的運算功能, 市售商用入侵偵測系統, 幾乎皆為硬體架構此系統之優點為易於部署,NIDS 以被動式監聽網路上之活動, 並且加以分析 ; 成本較低, 在大型的環境中, 僅需在數個較為敏感的地方, 部署 sensor, 即可監控大範圍的網路 ; 偵測範圍, 透過監控網路封包, 並加以分析, 即可偵測到異常的活動 [21] (2). 主機式入侵偵測系統 (Host-based Intrusion Detection System): 用來監控較為重要的主機系統, 監控主機上的使用者系統活動與攻擊行為, 更進階的系統也提供了政策稽核管理資料鑑識存取控制等功能此系統之優點是提供更詳細的日誌, 監控該部主機的系統日誌, 其日誌分析原因與監控內容較 NIDS 更為詳細, 監控效率更高 (3). 分散式入侵偵測系統 (Distributed Intrusion Detection System): 其運作方式與網路式相同, 其不同點在於偵測系統會將監控的日誌, 交由後端的統一管理主機分析, 其適合更大型的網路環境而入侵偵測統依其偵測方式, 又可細分為三種 [5, 6]: (1). 特徵型入侵偵測 (Signature-based Intrusion Detection System): 特徵值是指由專家分析先前攻擊的訊息中所建構的, 其原理是利用特徵值來與封包做比對此優點能偵測已知的攻擊低誤警率 (low false alarms) 及效率較高 ; 缺點是無法偵測未知的攻擊, 需時常更新特徵資料庫 (2). 異常型入侵偵測 (Anomaly-based Intrusion Detection System): 利用進階的演算技術如資料探勘統計類神經網路等, 對監控環境決定出可容忍之正常行為標準, 與一定程度的偏移範圍, 若發現行為超出此容忍範圍, 則判斷為異常行為而採取相關回應動作此優點能偵測未知的攻擊手法 ; 缺點為誤報率較高, 效率較低 (3). 混合型入侵偵測 (Hybrid Intrusion Detection System): 整合多種不同特徵的入侵偵測技術集合到單一的系統, 使其產生更強大的入侵偵測方式, 此系統並非最好的系統, 但能讓這些不同的技術成功和有效地進行互動, 試圖讓

4 入侵偵測的能力最大化, 同時盡量減少其缺點因此混合型入侵偵測系統, 為融合特徵型及異常型的特色而成 [1, 16] 2. Snort Snort 是 Marty Roesch 於 1998 年所發展出來的輕量級入侵偵測系統, 一開始是遵循 GPL 授權規範的開放原始碼軟體,Snort 在運作上, 提供三種模式類型, 如下 : (1). 嗅探器模式 (Sniffer mode) [3, 7, 22]: 資訊監聽並截取正在網路上傳送的封包, 可利用 libpcap 函式庫 [24] 進行過濾與解析封包 (2). 封包記錄器模式 (Packet Logger mode): 將封包資訊存成 ASCII 編碼的日誌檔, 或 tcpdump 二進位格式檔 [24], 可結合 MySQL 或 PostgreSQL 儲存到資料庫中 [7, 10] (3). 網路入侵偵測系統模式 (NIDS mode): 其最主要的功能, 是可執行網路通訊協定分析內容搜尋及比對, 並能夠偵測各種不同的網路攻擊與入侵探測 Snort 運算效率良好且為開放原始碼, 是目前開放式平台裡, 相當普及的 IDS 之一在特徵式入侵偵測系統中, 其最重要的特色需時常更新其特徵資料庫此外,Snort 設計了一套規則語言, 若使用者熟悉此套語言, 可自行建構所需要的特徵檔 Snort 系統各模組作業方式 [3, 21], 敘述如下 : (1). 拆解封包 : Snort 底層利用 PCAP 函式庫 [24] 來擷取網路上傳送接收的封包, 擷取內容有擷取的時間封包長度連結類型, 並建立一個可直接指向該封包的指標, 加速 Snort 分析封包的速度 (2). 預先處理器 : 擷取封包後,Snort 會將封包傳送到預先處理器, 進行封包重組, 以及依各協定的封包格式進行正規化, 預先處理器還可作到封包流量的統計分析, 以及非規則式攻擊偵測 (3). 偵測引擎 : 偵測引擎為 Snort 的核心, 從官方網站下載所釋出的特徵資料庫, 搭配適當的設定, 可以有效偵測網路攻擊, 當系統將所擷取到的封包與特徵規則比對符合者, 將產生攻擊警訊送至稽核日誌 (4). 稽核日誌 : 當系統判定攻擊時, 會將當時攻擊的相關資訊及所判定的攻擊行為, 產生日誌及警訊, 讓系統管理者進行排除攻擊行為, 可對警訊做較好的輸出 (5). 輸出模組 : Snort 支援多項輸出模組, 使用者可依環境, 自行訂定輸出目的地, 例如 :Default Logging PCAP Logging S Alerting SNMP traps SnortDb Syslog XML Logging Unified Log [3, 10]

5 Snort 主要有兩個功能, 分別為 sniffer 及 inline 模式 sniffer 模式在封包通過網路介面時, 偵測到符合的 rule, 便會產生 log, 但是不能做封鎖之後續防護 [4] 另一個是 Snort 在 RC1 版之後新增的 inline 模式 [24] 主要差異在於不會另外複製一份 switch 流量, 而直接對封包的內容掃描, 決定做取代拒絕通過等動作, 亦可設定對管理者告警 Inline 模式一開始是由 Snort 的原始碼獨立發展的專案, 之後才整合到 Snort 程式裡 [2, 23] 3. 惡意程式惡意程式 (Malware) 是指任何惡意未經授權存取不符合預期的程式 [20], 是一種通用的術語, 如電腦病毒 (viruses), 蠕蟲 (worms), 特洛伊木馬 (Trojan horses), 間諜程式 (spyware), 廣告程式 (adwares) 危險程式(riskwares) 和殭屍程式 (bots) 等等, 已被公認為在網際網路上主要的安全威脅 [9] 根據賽門鐵克 (Symantec) 第 13 期網路安全威脅研究報告裡 [25],2007 年偵測到 711,912 件全新的威脅, 相較 2006 年增加了 468%, 至 2007 年底所偵測到之惡意程式威脅總數已達 1,122,311 件卡巴斯基 (Kaspersky) 在 2008 年惡意軟體發展報告中指出 [13], 惡意程式在竊取密碼的呈現穩步上升,2008 年 100,397 件在新遊戲木馬確定了比 2007 年的 32,374 件增加了三倍之多 Symantec 更在 2009 年資訊安全趨勢展望提及, 惡意程式變種呈爆炸式增長, 此類型的惡意程式包含了數百萬不同的威脅這導致大量獨特的惡意程式攻擊情形, 資料顯示目前惡意程式的開發數量已經遠超過合法程式三系統系統實驗 1. 原始運作方式一般而言,Snort 在進行運作時, 為了有效偵測各式各樣的入侵, 會將數千條到上萬條不等之 rule 規則, 執行 include 程序, 管理眾多的規則, 額外再針對設定檔進行參數設定,Snort 會將所擷取之封包與特徵規則, 進行一一比對 [10] 然而, 這些規則和設定的選擇, 往往會影響 Snort 的效能和精確度甚鉅不良的規則和設定可能會減慢 Snort 效能, 並造成不必要的誤警假使網路環境中不存在 Apache Web Server,Snort 在執行時無須花時間執行 Apache Server 相關的分析規則, 即使出現 Apache Server 的攻擊也無需理會若所處之環境僅有 Windows 之平台或服務, 已被 include 的 Unix-like 作業環境之 rule, 不論提供服務與否, 全部都會被比對過, 往往造成資源的浪費 2. Rule 分類比較我們將 Snort 的原始規則檔, 共有 54 個檔案, 依照規則檔所扮演的特性, 大致區分為通訊協定偵測類攻擊類其他類 ( 包含內容過濾病毒等內容 ) [2, 10], 如表一所示表一 : Snort 的原始規則檔案 ( 本研究自行整理 )

6 特性 rule 內容總數 chat.rules mysql.rules rservices.rules 通 dns.rules netbios.rules smtp.rules 訊 finger.rules nntp.rules snmp.rules 協 ftp.rules oracle.rules sql.rules 定 icmp.rules p2p.rules telnet.rules 偵 icmp-info.rules pop2.rules tftp.rules 測 imap.rules pop3.rules voip.rules 類 multimedia.rules rpc.rules x11.rules 24 attack-responses.rules shellcode.rules web-client.rules backdoor.rules specific-threats.rules web-coldfusion.rules 攻 ddos.rules spyware-put.rules web-frontpage.rules 擊 dos.rules web-activex.rules web-iis.rules 類 exploit.rules web-attacks.rules web-misc.rules 18 scan.rules web-cgi.rules web-php.rules bad-traffic.rules info.rules policy.rules 其 content-replace.rules local.rules porn.rules 他 deleted.rules misc.rules scada.rules 類 experimental.rules other-ids.rules virus.rules 12 總計 54 本研究將進行 Snort 分類後之規則調整, 測試影響 Snort 主機 (server) 運作效能之多寡, 並且觀察 CPU 效能記憶體使用效率之變化進行實作之 Snort 版本為 ,Rules 版本為 , 由 Snort 官方網站在 2009 年 3 月份提供下載得之 [22] 將 Snort 的 rule 全部重新整理, 共彙編了 14,343 條 rule 集本研究將針對作業系統之分類, 分別整理成三種類型 Windows 類別 (8,457) Unix-like 類別 (917) 及 other 類別 (4,969), 如表二重新分類之 Snort 規則類別 A1 A2 及 A3 分別代表不同的人員, 並將所有的 rules 區分為三個 rules 分類項目表二 : 重新分類之 Snort 規則類別 ( 本研究自行整理 ) rules 類別 A1 A2 A3 總計 Other 691 2,061 2,217 4,969 Unix-like Windows 3,055 5, ,457 總計 14, 實驗環境

7 本研究建置了測試環境, 包含網路設備被攻擊主機 (victim) Snort 主機 ( 規格 - 甲規格 - 乙 ) Client 端電腦配備在攻擊來源方面, 借由三部安裝 Windows XP 的 Client 端電腦, 執行 DDoS 等攻擊程式, 並指定 Unix 或 Windows Base 類型的攻擊方式經實際測試發現, 不管使用何種作業系統類型, 針對攻擊方式, 此三種分類方法皆屬於 Snort 規則之 other 類別 [15, 17] 為了驗證硬體差異性所產生的改變, 本研究另行準備一台 Snort 的主機 ( 規格 - 乙 ), 將硬體規格提升 CPU 為 Pentium4-3.0GHz RAM 提升為 1024 之等級進行測試, 如表三實驗設備規格表所示 [18] 表三 : 實驗設備規格 ( 本研究自行整理 ) (1) 網路設備設備規格 IP 網路交換機 Cisco 2912/ L2 switch (2) 被攻擊主機 (victim) 設備規格 IP CPU Pentium GHz RAM 768 OS Ubuntu Server (3) Snort 主機 ( 規格 - 甲規格 - 乙 ) 設備規格 - 甲規格 - 乙 IP CPU Pentium III- 550 MHz Pentium GHz RAM OS Ubuntu Server Snort 版本 Rules 版本安裝套件 Snort 監控及資料庫套件 (4) Client 端電腦設備規格 IP CPU Pentium M- 1.4 GHz RAM OS Windows XP Professional SP 安裝套件 DDoS 等相關攻擊程式 4. 測試架構本研究小節簡單說明 sniffer mode 和 inline mode 兩種測試架構的建置環境, 以及實驗測試時所使用的網路設備, 包括 Client 端 ( 攻擊端電腦有 Attacker A B C 三台電腦 ) Server 端 (Snort Victim 兩部主機 ) 等電腦配置與關聯架構圖一為 sniffer mode 網路架構圖, 由此監測網路流量, 採用即時性的觀測方式, 將 switch 流量複製一份到另一張網卡 [16]

8 圖一 : Sniffer mode 網路架構圖此外, 為驗證 inline mode 之流量監測數據之變化, 本研究另外建置 inline mode 架構環境, 進行測試, 將網卡串聯 (bridge mode), 讓流量經過串聯而成之網卡, 即時觀測相關數據, 如圖二之網路架構圖二 : Inline mode 網路架構圖 5. 實驗結果實驗過程, 我們先將 Snort 主機 ( 規格 - 甲 ) 載入全部 rule 的規則集, 先針對 other 類別的規則集, 將通過網路之封包, 複製一份流量監控到 Snort 主機, 經觀測 30 分鐘後, 在 sniffer mode 架構下, 主機的 loading 狀態本研究觀測系統平均負載為在特定時間間隔內, 執行順序中的平均處理程序, 統計在過去分鐘內, 執行順序中的平均處理程序數量經實驗發現, 所得到的主機 CPU 平均負載 (load average),x 軸為時間,Y 軸為 CPU 的處理執行順序 (processes in run queue) 單位 [14],log 記錄的時間為 21:34 分攻擊開始至 22:04 分攻擊結束之區間, 所測得之 CPU loading 狀態, 呈現之數據為, 在單位時間內 CPU 正在處理以及等待 CPU 處理的行程數之和的統計資訊, 此區間平均 1 分鐘為 0.86 單位平均 5 分鐘為 0.40 單位平均 15 分鐘為 0.30 單位與分類前相差 0.06 個單位, 約提升了 6% 的單位效能, 如圖三所呈現經實驗後, 本研究將 log 記錄, 利用圖形化監控介面 cacti 流量監控工具以圖形數據時間方式呈現成果 [11]

圖三 : Snort 主機載入 other 類 rule 之平均負載 (load average) 本研究為了進一步比較 sniffer mode 與 inline mode 兩種網路架構, 在運作效能上的差異在記憶體使用 (memory usage) 項目, 以 Snort 之 inline mode 網路環境進行測試, 載入 rule 屬 other 類別的規則集, 進行差異比較 X

9 圖三 : Snort 主機載入 other 類 rule 之平均負載 (load average) 本研究為了進一步比較 sniffer mode 與 inline mode 兩種網路架構, 在運作效能上的差異在記憶體使用 (memory usage) 項目, 以 Snort 之 inline mode 網路環境進行測試, 載入 rule 屬 other 類別的規則集, 進行差異比較 X 軸為時間,Y 軸為 memory usage 單位,log 記錄的時間為 23:27 分攻擊開始至 23:57 分攻擊結束之區間, 觀測 30 分鐘的變化, 所測得之記憶體使用狀況, 呈現的數據為此區間平均記憶體使用 (swap) 的容量為 , 平均剩餘記憶體 (free memory) 的容量為數據上並無明顯之波動, 如圖四所示圖四 : Snort 主機載入 other 類 rule 之記憶體使用 (memory usage) 本研究實驗結果,CPU 負載 (load average) 項目, 在 sniffer mode 的狀態, 由 0.36 單位改變為 0.30 單位, 與分類前相差 0.06 個單位 ( 處理執行順序,processes in run queue), 約提升 6% 單位效能 ; 另外, 在 inline mode 的數據, 由 0.38 單位改變為 0.21 單位, 與分類前相差 0.17 個單位, 約提升 17% 單位效能記憶體使用 (memory usage) 項目, 數據上較無明顯之波動, 相關數據為餘記憶體 (free memory) 方面, 在 sniffer mode 的狀態, 由 9.90 改變為 9.52;Inline mode 狀態, 由改變為記憶體使用(swap) 方面, 在 sniffer mode 的狀態, 由改變為 , 相差 41.71;Inline mode 狀態, 由改變為 , 相差研究結果發現, 餘記憶體 (free memory) 方面,Snort 載入 other 規則檔後, 容量由 125 改變為 58, 馬上減少 66, 約 52.%; 記憶體使用 (swap) 方面, 實驗後 swap 會上升約

60 實驗更發現,Snort 於載入規則檔後, 便決定好所需容量大小, 不論何種模式 (sniffer mode 或 inline mode) swap 皆不受影響實驗過程, 記憶體使用 (memory usage) 項目之數據, 較無明顯的波動如表四 Sniffer mode 與 inline mode 分類前後之比較狀態所示表四 : Sniffer mode 與 inline

50 0.64 0.45 0.27 0.38 0.21 Memory 10.03 usage 453.66 10.82 485.25 本研究為求證硬體等級之差異, 是否影響 Snort 運作效能之變化, 以 Snort 主機 ( 規格 - 乙 ) 之硬體等級進行實驗,CPU 負載 (load average) 項目, 透過 sniffer mode 狀態下,CPU loading 也下降 0.

10 60 實驗更發現,Snort 於載入規則檔後, 便決定好所需容量大小, 不論何種模式 (sniffer mode 或 inline mode) swap 皆不受影響實驗過程, 記憶體使用 (memory usage) 項目之數據, 較無明顯的波動如表四 Sniffer mode 與 inline mode 分類前後之比較狀態所示表四 : Sniffer mode 與 inline mode 分類前後比較狀態 ( 本研究自行整理 ) (1) Sniffer mode 狀態項目規則未分類 other 分類規則數據 CPU loading Memory 9.90 usage (2) Inline mode 狀態項目規則未分類 other 分類規則數據 CPU loading Memory usage 本研究為求證硬體等級之差異, 是否影響 Snort 運作效能之變化, 以 Snort 主機 ( 規格 - 乙 ) 之硬體等級進行實驗,CPU 負載 (load average) 項目, 透過 sniffer mode 狀態下,CPU loading 也下降 0.06 個單位, 約提升 6% 單位效能 ; 而在 inline mode 的狀態下,CPU loading 也下降 0.11 個單位, 約提升 11% 單位效能與規格 - 甲之硬體等級之 0.06 個單位 0.17 個單位比較, 變化較小記憶體使用 (memory usage) 項目, 在 free memory 方面,sniffer mode 由平均 76.5 下降為 23.3, 相差 53.2 ; inline mode 由平均下降為 28.73, 相差 48.4 在 swap 方面, 並無明顯之波動研究發現, 使用硬體等級好壞與否, 仍會對實驗之數據有所影響為了測試分類後規則的差異, 本研究進一步整理出 Windows 及 Unix-like 分類後的所有規則集, 進行實測本實驗之攻擊工具歸類在 other 類型,Snort 比對規則吻合與否, 規則讀取經比對後, 未符合便不處理, 此分類明顯影響 CPU loading 項目的表現,other 類別規則之實驗數據, 皆大於 Winodws/Unix-like 類別 (sniffer mode 為 0.30>0.20>0.16 及 inline

11 mode 為 0.21>0.19), 故呈現出來之數據, 皆相對低於 other 分類的數據 ; 記憶體使用項目, 並無明顯之波動, 相關數據如表五 Snort 不同模式分類前後實測數據所示項模式 (1) Sniffer mode 表五 : Snort 不同模式分類前後實測數據 ( 本研究自行整理 ) 標數量 14,343 4,969 8, 目準類別未分類 other Windows Unix-like 平均 1 分鐘 CPU 平均 5 分鐘 loading 平均 15 分鐘 Memory 平均 Free M usage 平均 Swap M (2) Inline mode CPU loading Memory 平均 1 分鐘平均 5 分鐘平均 15 分鐘平均 Free M usage 平均 Swap M 四結論結論與未來研究面對日益嚴重的網路入侵威脅, 及日漸龐大的規則資料庫, 本研究將 Snort 的規則重新進行分類, 嘗試找出最適合的規則與設定, 並且比較重新分類前後的系統資源, 驗證本研究所使用的分類規則, 能有效的減少系統資源的浪費, 進而提升 Snort 執行的效率在記憶體表現方面, 實驗發現不論何種模式 (sniffer mode 或 inline mode) 記憶體的使用量皆不受影響在記憶體使用量的測試過程中, 我們發現, 在載入 Snort 後, 剩餘記憶體的容量會短少 66 實驗結束時, 使用記憶體 (swap) 會上升 60, 增加了 23% 在 sniffer mode 狀態下, 我們測得降低 4% 的記憶體使用率 ; 而在 inline mode 之狀態下, 降低 3.7% 的記憶體使用率, 兩者並無明顯的差距 CPU 負載 (load average) 方面, 在 sniffer mode 狀態下, 相較於載入全部的規則檔, 在僅載入 other 此規則檔時,CPU Load Average( 在單位時間內 CPU 正在處理以及等待 CPU 處理的行程數之和的統計資訊 ) 下降了 0.06 個單位, 約提升 6% 單位效能 ; 在 inline mode 的狀態下, 在同樣的環境中,CPU load average 也下降 0.17 個單位, 約提升 17% 單位效能研究發現 CPU 等級也會影響此一表現最後, 經過實驗證實, 我們所得獲得數據的結論為 (1) 規則的數量, 會影響記憶體的使用率 (2)Snort 的 rule 比對符合與否, 則會影響 CPU 的負載 (load average) 經過實驗的驗證後, 我們將來的工作重點將放在規則檔的再細分, 讓管理者只需載入真正所需的規則檔, 從而提供 Snort 的執行效率, 增加效能

12 五參考文獻 1. 台灣電腦網路危機處理中心, IDS 偵測網路攻擊方法之改進, 台灣電腦網路危機處理中心通訊, 第 75 期, 民國 94 年 1 月, 本期專欄 2. 李常友, 入侵防禦系統簡介, 台灣電腦網路危機處理中心通訊, 第 90 期, 民國 95 年 4 月, 本期專欄 3. 沈宗享楊中皇, 結合 ModSecurity Core Rule 以提供 Snort 偵測網頁攻擊能力,2009 年資訊科技國際研討會論文集, 民國 98 年, 頁林盈達, 建置入侵偵測防禦系統以及弱點偵測掃瞄系統, 計算機網路實驗, 資訊安全, 民國 95 年 5. 陳一郎, Taiwan Honeynet Project,2009 第一屆台灣區 Botnet 偵測與防治技術研討會論文集, 民國 98 年, 頁葉昭熙楊中皇, 以開放原始碼為基礎的蜜罐系統設計與實現,2007 年開放原始碼技術與應用研討會, 民國 96 年 7. 楊中皇, 網路安全 : 理論與實務, 台北 : 學貫行銷公司, 民國 97 年 8. 薛宇盛, 網路入侵偵測系統實務 :WinSnort for Wireless 加強版, 台北 : 文魁資訊公司, 民國 97 年 9. Bailey, M. et al., Automated Classification and Analysis of Internet Malware, RAID 2007, 10th International Symposium, Vol. 4637, pp April Baker, A., Beale, J. & Caswell, B., Snort Intrusion Detection and Prevention Toolkit, Syngress, Burlington, Cacti, Crothers, T., Implementing Intrusion Detection Systems: A Hands-On Guide for Securing the Network, Wiley, Etobicoke, Gostev, A., Zaitsev, O., Golovanov, S. & Kamluk, V., Kaspersky Security Bulletin Malware Evolution 2008, Kaspersky Lab, April Gunther, N. J., Linux Load Average, Performance Dynamics Company, February Hansman, S. & Hunt, R., A taxonomy of network and computer attacks, Computers and Security, Vol. 24, pp February Hwang, K., Cai, M., Chen, Y. & Qin, M., Hybrid Intrusion Detection with Weighted Signature Generation over Anomalous Internet Episodes, IEEE Trans. Dependable and Secure Computing, Vol. 4, No. 1, pp January McClure, S., Scambray, J. & Kurtz, G., Hacking Exposed: Network Security Secrets and Solutions, Sixth Edition, McGraw-Hill, Emeryville, Neal, C., Snort Install on Win2000/XP with Acid, and MySQL, SANS Institute, Provos, N. & Holz, T., Virtual Honeypots: From Botnet Tracking to Intrusion Detection, Addison-Wesley, Qattan, F. & Thernelius, F., Deficiencies in Current Software Protection Mechanisms and Alternatives for Securing Computer Integrity, Master thesis, Royal Institute of Technology, Scott, C., Wolfe, P. & Hayes, B., Snort For Dummies, Wiley, Hoboken, Snort, Snort Inline, Snort Users Manual 2.8.4, Turner, D. et al., Symantec Global Internet Security Threat Report, Trends for July December 07, Symantec Enterprise Security, Vol. 13, April 2008.

<4D6963726F736F667420506F776572506F696E74202D2030325FC2B2B3F85FA44AAB49B0BBB4FABB50B977A8BEA874B2CEC2B2A4B6BB50C0B3A5CE2E707074>

<4D6963726F736F667420506F776572506F696E74202D2030325FC2B2B3F85FA44AAB49B0BBB4FABB50B977A8BEA874B2CEC2B2A4B6BB50C0B3A5CE2E707074> 入侵偵測與預防系統簡介與應用蕭翔之講師 BS 7799 LA 課程大綱第一章認識入侵偵測與預防系統第二章入侵偵測與預防系統的功能分類偵測技術第三章入侵偵測與預防系統部署架構第四章入侵偵測與預防系統的應用效益第五章結