目录 1 概述网络面临的主要威胁入侵检测系统 IDS, 消除网络威胁 NetEye IDS 2.2, 给您提供全面的安全系统结构检测引擎 NetEye IDS 管理主机功能

Size: px

Start display at page:

Download "目录 1 概述网络面临的主要威胁入侵检测系统 IDS, 消除网络威胁 NetEye IDS 2.2, 给您提供全面的安全系统结构检测引擎 NetEye IDS 管理主机功能"

岚糜
5 years ago
Views:

1 NetEye IDS 东软入侵检测系统 NetEye IDS 技术白皮书

2 目录 1 概述网络面临的主要威胁入侵检测系统 IDS, 消除网络威胁 NetEye IDS 2.2, 给您提供全面的安全系统结构检测引擎 NetEye IDS 管理主机功能模块简介网络攻击与入侵检测功能多种通信协议内容恢复功能应用审计和网络审计功能图表显示网络信息功能报表功能实时网络监控功能网络扫描器数据备份恢复功能其它辅助管理, 配置工具技术特点典型应用示例简单区域网应用示例分布式监测应用示例

3 1 概述由于互联网络的发展, 整个世界经济正在迅速地融为一体, 而整个国家犹如一部巨大的网络机器计算机网络已经成为国家的经济基础和命脉计算机网络在经济和生活的各个领域正在迅速普及, 一句话, 整个社会对网络的依赖程度越来越大众多的企业各种组织政府部门与机构都在组建和发展自己的网络, 并连接到 Internet 上, 以充分利用网络的信息和资源网络已经成为社会和经济发展强大动力, 其地位越来越重要伴随着网络的发展, 带来了很多的问题, 其中安全问题尤为突出了解网络面临的各种威胁, 防范和消除这些威胁, 实现真正的网络安全已经成了网络发展中最重要的事情网络面临的主要威胁日益严重的网络信息安全问题, 不仅使上网企业机构及用户蒙受巨大的经济损失, 而且使国家的安全与主权面临严重威胁要避免网络信息安全问题, 首先必须搞清楚触发这一问题的原因总结起来, 主要有以下几个方面原因 : (1) 黑客的攻击 : 黑客对于大家来说, 不再是一个高深莫测的人物, 黑客技术逐渐被越来越多的人掌握和发展目前, 世界上有 20 多万个黑客网站, 这些站点介绍一些攻击方法和攻击软件的使用以及系统存在的一些漏洞, 因而系统站点遭受攻击的可能性就变大了尤其是现在还缺乏针对网络犯罪卓有成效的反击和跟踪手段, 使得黑客攻击的隐蔽性好, 杀伤力强, 是网络安全的主要威胁 (2) 管理的欠缺 : 3

4 网络系统的严格管理是企业机构及用户免受攻击的重要措施事实上, 很多企业机构及用户的网站或系统都疏于这方面的管理据 IT 界企业团体 ITAA 的调查显示, 美国 90% 的 IT 企业对黑客攻击准备不足目前, 美国 75%-85% 的网站都抵挡不住黑客的攻击, 约有 75% 的企业网上信息失窃, 其中 25% 的企业损失在 25 万美元以上 (3) 网络的缺陷 : 因特网的共享性和开放性使网上信息安全存在先天不足因为其赖以生存的 TCP/IP 协议族, 缺乏相应的安全机制, 而且因特网最初的设计考虑是该网不会因局部故障而影响信息的传输, 基本没有考虑安全问题, 因此它在安全可靠服务质量带宽和方便性等方面存在着不适应性 (4) 软件的漏洞或后门 : 随着软件系统规模的不断增大, 系统中的安全漏洞或后门也不可避免的存在, 比如我们常用的操作系统, 无论是 Windows 还是 UNIX 几乎都存在或多或少的安全漏洞, 众多的各类服务器浏览器一些桌面软件等等都被发现过存在安全隐患可以说任何一个软件系统都可能会因为程序员的一个疏忽设计中的一个缺陷等原因而存在漏洞, 这也是网络安全的主要威胁之一 (5) 网络内部用户的误操作, 资源滥用和恶意行为 : 再完善的防火墙也无法抵御来自网络内部的攻击, 也无法对网络内部的资源滥用做出反应入侵检测系统 IDS, 消除网络威胁入侵检测技术 IDS 是一种主动发现网络隐患的安全技术作为防火墙的合理补充, 入侵检测技术能够帮助系统对付网络攻击, 扩展了系统管理员的安全管理能力 ( 包括安全审计监视攻击识别和响应 ), 提高了信息安全基础结构的完整性它从计算机网络系统中的若干关键点收集信息, 并分析这些信息入侵检测被认为是防火墙之后的第二道安全闸门, 在不影响网络性能的情况下能对网络进行监测它可以防止或减轻上述的网络威胁 : 4

5 (1) 识别黑客常用入侵与攻击手段入侵检测技术通过分析各种攻击的特征, 可以全面快速地识别探测攻击拒绝服务攻击缓冲区溢出攻击电子邮件攻击浏览器攻击等各种常用攻击手段, 并做相应的防范一般来说, 黑客在进行入侵的第一步探测收集网络及系统信息时, 就会被 IDS 捕获 (2) 监控网络异常通信 IDS 系统会对网络中不正常的通信连接做出反应, 保证网络通信的合法性 ; 任何不符合网络安全策略的网络数据都会被 IDS 侦测到并警告 (3) 鉴别对系统漏洞及后门的利用 IDS 系统一般带有系统漏洞及后门的详细信息, 通过对网络数据包连接的方式, 对连接端口以及连接中特定的内容等特征进行分析, 有效地发现网络通信中针对系统漏洞进行的非法行为 (4) 完善网络安全管理 IDS 通过对攻击或入侵的检测及反应, 可以有效地发现和防止大部分的网络犯罪行为, 给网络安全管理提供了一个集中方便有效的工具使用 IDS 系统的数据监测主动扫描网络审计统计分析功能, 可以进一步监控网络故障, 完善网络管理 NetEye IDS 2.2, 给您提供全面的安全 NetEye IDS 2.2 是东软股份最新开发的具有自主版权的网络入侵监测系统利用独创的数据包截取技术对网络进行不间断的监控, 扩大网络防御的纵深, 同时采用先进的基于网络数据流实时智能分析技术判断来自网络内部和外部的入侵企图, 进行报警响应和防范是防火墙之后的第二道安全闸门同时具备强大的网络信息审计功能, 可对网络的运行, 使用情况进行全面的监控记录审计和重放, 使用户对网络的运行状况一目了然并且提供网络嗅探器和扫描器用于分析网络的问题, 定位网络的故障不但保障网络的安全, 同时保障网络的健康运行 NetEye 入侵检测系统可对自身的数据库进行自动维护, 不需要用户的干预学习和使用及其简易, 不对网络的正常运行造成任何干扰, 是完整的网络审计, 监测, 分析和管理系统 NetEye IDS 5

6 可方便的进行大规模部署, 便于进行集中管理 NetEye 入侵检测系统可与防火墙联动, 自动配置防火墙策略, 配合防火墙系统使用, 可以全面保障网络的安全, 组成完整的网络安全解决方案全面高效, 可靠易用的网络综合健康管理平台是 NetEye IDS 的设计理念 2 系统结构机组成 NetEye IDS 2.2 采用客户 / 服务器结构, 由检测引擎和管理主检测引擎检测引擎是一个高性能的专用硬件, 运行专用的安全操作系统, 对网络中的所有数据包进行记录和分析在重组网络数据流的基础上, 综合利用模式匹配, 异常识别, 统计分析, 协议分析, 行为分析等多种方法判断是否有异常事件发生, 并及时报警和响应同时记录网络中发生的所有事件, 以便事后重放和分析 NetEye IDS 管理主机运行于 Windows 操作系统的中文图形化管理软件使用加密通道和检测引擎安全通信, 可以查看分析一个或多个检测引擎, 进行策略配置, 系统管理显示攻击事件的详细信息和解决对策恢复和重放网络中发生的事件提供工具分析网络运行状况并可产生图文并茂的报表输出 3 功能模块简介 NetEye IDS 入侵监测系统 2.2 主要包括以下主要功能模块 : 6

7 NetEye IDS 入侵监测系统 2.2 主要包括以下主要功能模块 : 网络攻击与入侵检测功能利用数据流智能重组, 轻松处理分片和乱序数据包综合使用模式匹配, 异常识别, 统计分析, 协议分析, 行为分析等多种方法综合检测 3700 种以上的攻击与入侵行为系统提供默认策略, 用户也可以方便的定制策略系统自带数据库存储攻击与入侵信息以便随时检索系统还提供详细的攻击与入侵信息, 包括发生时间发起主机与受害主机地址攻击类型以及针对此类型攻击的详细解释与解决办法并可采取实时报警, 声音报警, 记录到数据库, 电子邮件报警,SysLog 报警,SNMP Trap 报警,Windows 日志报警,Windows 消息报警, 切断攻击连接, 以及和防火墙联动, 运行自定义程序等多种响应方式管理员可根据检测到的攻击信息加强系统安全, 并追究攻击者责任举例如下 : 策略编辑 : 用户可根据自身网络状况定义相应策略有效的提高了入侵检测的针对性和有效性同时, 用户也可自定义攻击检测规则, 扩充检测范围 7

8 攻击事件查询 : 查询历史攻击事件, 分析攻击者的行为多种通信协议内容恢复功能 NetEye IDS 2.2 入侵监测系统针对多种常用的应用协议 (HTTP FTP SMTP POP3 TELNET,NNTP, IMAP, DNS, Rlogin, Rsh, MSN, Yahoo MSG) 数据连接的内容恢复的功能, 能够完全记录通信的过程与内容, 并将其回放并可自定义协议, 便于扩充此功能对于了解攻击者的攻击过程, 监控内部网络中的用户是否滥用网络资源, 发现未知的攻击具有很大的作用举例如下 : HTTP 通信内容恢复 : 可恢复 HTTP 通信的所有内容, 包括文本和图形包括原始的会话信息便于分析基于 HTTP 协议的攻击行为 8

9 POP3 或 SMTP 协议内容恢复可完整的恢复电子邮件的标题, 正文, 附件, 会话信息并可根据管理员权限决定是否显示邮件内容, 做到安全和用户隐私的兼顾 9

10 TELENT 协议内容回放对 TELENT 等协议的会话进行完整重放, 便于管理员了解攻击者或恶意用户做过的操作应用审计和网络审计功能全面审计网络中发生的所有应用和连接, 是完整的网络审计日志 10

11 图表显示网络信息功能解网络状况用多种图表全面显示网络的安全和使用状况, 便于管理员直观的了 11

12 报表功能 NetEye IDS 2.2 入侵监测系统提供灵活, 方便, 图文并茂的报表功能便于管理员检索和保存信息举例如下 : 12

13 实时网络监控功能实时连接监控实时监控网络当前连接, 显示网络用户信息, 可随时断开可疑连接, 最大限度的保证网络安全 13

14 实时网络流量监控障实时监控网络当前流量状况, 便于用户发现网络异常, 定位网络故网络嗅探器对网络中的数据包进行分析, 解码查找网络问题 14

15 网络用户信息收集全面收集网络用户信息, 包括 IP 地址,MAC 地址, 用户名, 组名, 便于确定攻击者身份, 并可方便的解决 IP 地址冲突等网络故障网络扫描器主动扫描网络, 发现网络问题 15

16 数据备份恢复功能审计采用多种策略, 手动备份或自动备份事件数据库, 完成全面的信息其它辅助管理, 配置工具 16

17 4 技术特点 NetEye IDS 2.2 采用了多种先进技术, 在实用的基础上做到了稳定高效, 易用易维护高效独特的数据截取技术直接从内核接收网络数据, 减少中间环节, 缩短了系统调用时间, 从而提高截取网络数据包的速度和效率, 系统运行效率高, 可以监测高速网络, 丢包率极低经各种测试证明,NetEye IDS 性能极为优秀完整的数据流恢复技术完整的数据重组, 恢复技术把网络连接作为数据流分析, 而不是一个个孤立的数据包完全处理数据分片和乱序的问题网络通信完全监测记录网络上的一切数据包尽量做到实时分析, 当遇到网络流量高峰的时候, 可以根据记录下来的数据流进行事后分析入侵活动可以具有很大的时间跨度和空间跨度, 有预谋的入侵活动往往有较周密的策划试探和技术性准备, 一个入侵活动的各个步骤有可能在一段相对长的时间跨度和相当大的空间跨度之上分别完成, 给预警带来困难事后分析可以全面完整的处理此类攻击事件中文图形化管理提供基于 WINDOWS 系统的中文图形化管理工具, 使一切信息查看管理和配置都变得极其方便, 简单易学全部攻击与入侵事件的描述都使用中文, 清楚明了整体的设计使其非常适合中国人使用使用模式匹配, 异常识别, 统计分析, 协议分析, 行为分析等多种方法识别入侵系统拥有入侵事件及入侵模式数据库, 可以检测 3700 多种网络入侵和攻击行为采用多种方法全面分析攻击而不是依赖单一的检测手段系统漏洞系统后门 CGI 漏洞系统扫描缓冲区溢出攻击蠕虫病毒等各种危害系统的入侵和攻击都可轻易识别入侵模式数据库可非常容易的进行升级以检测最新攻击 17

18 操作简单, 自动维护, 不需用户干预系统智能程度相当高, 可用性极好操作简单, 易于掌握, 自身维护自身数据库, 自动处理各种异常情况, 无须用户干预, 维护代价小系统预装默认监控规则, 无须用户编写和加载可以说是最容易使用的 IDS 接入简便, 不需改变现有网络拓朴结构系统的接入非常方便, 只需根据网络的物理结构将它连接到交换机的广播口或共享式 HUB 上即可立即开始工作, 支持 802.1q 和 PPPOE 等协议解码支持多监听端口和网桥接入等监听方式而不需要改变网络的物理结构及网络逻辑划分和配置, 原有网络拓朴结构依然完好无损, 网络通信毫无影响支持多用户分权管理和分布式部署, 便于监控大型网络管理权限细分, 可进行多级用户分权管理可安装于大型网络的各个物理子网中, 分布式监控网络的各个部分, 可进行多级分布式管理, 达到分布安装, 全网监控, 集中管理实时监控网络当前运行状况, 为用户人为监控和分析提供有力工具提供实时连接报告, 当前网络中用户行为一目了然, 可以实时地从中直接发现网络中用户滥用网络资源的情况, 如访问未授权的服务器等另外, 网络扫描等异常行为也可从中看出多样的攻击响应方式可提供实时报警, 声音报警, 记录到数据库, 电子邮件报警, SysLog 报警,SNMP Trap 报警,Windows 日志报警, Windows 消息报警, 切断攻击连接, 以及和防火墙联动, 运行自定义程序等多种响应方式, 便于管理员快速准确的对攻击做出反应全面的内容恢复, 支持多种常用协议除了可以对已知的入侵行为进行监测外, 系统还可以对网络应用层的协议进行恢复, 目前实现的主要协议有 :HTTP FTP SMTP POP3 TELNET,NNTP, IMAP, DNS, Rlogin, Rsh, MSN, Yahoo 18

19 MSG 还可自定义协议, 便于扩充管理员可以很直观地看到任何人的信件内容 ( 包括附件 ) TELNET 或者 FTP 用户所作的操作都去过哪些网站和看过哪些内容 ( 包括文字和图片的再现 ) 通过此功能不但可以简单的发现攻击事件, 而且可以重现整个攻击过程 ; 不但可以发现外部黑客的攻击, 而且可以发现内部用户的恶意行为 ; 不但可以发现已知攻击, 而且可以发现未知攻击灵活的查询, 报表功能可对网络中的攻击事件, 访问记录进行灵活的查询, 并可根据查询结果输出图文并茂, 美观的报表自身的高度安全性和隐蔽性系统本身采用专用硬件, 运行安全的操作系统, 检测引擎和管理主机之间通讯采用 128 位加密检测引擎为黑洞式结构, 监测口无 IP, 攻击者无法发现, 保证了自身的安全性和隐蔽性集成的网络管理和诊断平台系统集成多种网络分析, 诊断工具, 便于发现网络故障, 定位网络问题强大的信息审计功能全面审计网络信息, 并可方便的进行备份和恢复全面的网络健康管理平台依靠单一的技术无法处理日益复杂的网络安全和故障问题 NetEye IDS 综合采用多种技术全面处理网络风险通过被动监听和主动发现方式的结合, 攻击识别和内容恢复的结合, 实时监控和事后审计的结合检测攻击和检测网络故障的结合 NetEye IDS 构成了全面的网络健康管理平台入侵规则库兼容 CVE 和 BID 标准, 并在相对应的事件中添加相应的 CVE 和 BID 编号 5 典型应用示例 19

20 Neteye SOC 简单区域网应用示例此种区域网连接较为简单, 内部网络中各机构的主机使用共享式 HUB 连接到交换机上, 或主机直接连接到交换机上, 交换机不设 VLAN, 交换机再通过路由器接入 INTERNET 这种情况下, 将 NetEye IDS 监测主机接到交换机的广播口 ( 监听口 ) 即可监听到内部网络间的所有通信及内部网络到 INTERNET 的所有通信分布式监测应用示例网络结构相对复杂, 内部网络中各机构间使用交换式 HUB 或从交换机连接到主交换机上, 通过主交换机连接路由器接入 INTERNET, 此时, 在主交换机的广播口 ( 监听口 ) 上无法监听到从交换机上的机器间的通信, 为了全面监控网络, 捕捉内部网间的恶意攻击与入侵行为, 就需要将 NetEye IDS 监测主机接到从交换机上这种情况下的网络结构示意图如下 : 用户服务器 NetEye IDS 管理主机交换机 NetEye IDS 检测引擎路由器 INTERNET 20

21 分布式监测应用示例网络结构相对复杂, 内部网络中各机构间使用交换式 HUB 或从交换机连接到主交换机上, 通过主交换机连接路由器接入 INTERNET, 此时, 在主交换机的广播口 ( 监听口 ) 上无法监听到从交换机上的机器间的通信, 为了全面监控网络, 捕捉内部网间的恶意攻击与入侵行为, 就需要将 NetEye IDS 监测主机接到从交换机上这种情况下的网络结构示意图如下 : INTERNET 路由器 NetEye IDS 管理主机交换机 3 NetEye IDS 检测引擎 A NetEye IDS 检测引擎 C 公共服务器群 NetEye IDS 检测引擎 A 21

Chapter #

Chapter # 第三章 TCP/IP 协议栈本章目标通过本章的学习, 您应该掌握以下内容 : 掌握 TCP/IP 分层模型掌握 IP 协议原理理解 OSI 和 TCP/IP 模型的区别和联系 TCP/IP 介绍主机主机 Internet TCP/IP 早期的协议族全球范围 TCP/IP 协议栈 7 6 5 4 3 应用层表示层会话层传输层网络层应用层主机到主机层 Internet 层 2 1 数据链路层

目录 1 概述 网络面临的主要威胁 入侵检测系统 IDS, 消除网络威胁 NetEye IDS 2.2, 给您提供全面的安全 系统结构 检测引擎 NetEye IDS 管理主机 功能

目录 1 概述网络面临的主要威胁入侵检测系统 IDS, 消除网络威胁 NetEye IDS 2.2, 给您提供全面的安全系统结构检测引擎 NetEye IDS 管理主机功能