資訊與網路安全技術 第 十一章 入侵偵測與網路病毒  上一頁      下一頁

 

11-5 入侵偵測系統

內容:

  • 11-5-1 入侵偵測系統 - 功能

  • 11-5-2 入侵偵測系統 - 元件

  • 11-5-3 入侵偵測系統 - 事件

11-5-1 入侵偵測系統功能

『入侵』(Intrusion的概念而言,不僅包括攻擊者取得超出合法的系統控制權範圍,還包含收集系統漏洞,避免造成阻斷服務(DoS)等可能造成危害電腦系統的行為。『入侵偵測』(Intrusion Detection即表示對入侵行為的發覺;它透過網路或主機系統中得到若干關鍵點收集資料,並進行比對及分析,從中發現系統中是否有違反安全策略的行為,從中找出被攻擊的軌跡。進行入侵偵測的專屬設備(含硬體與軟體),一般稱之為『入侵偵測系統』(Intrusion Detection System, IDS。基本上,其入侵偵測系統主要的功能有:

  • 監視並分析用戶與系統的活動。

  • 檢查系統配置與漏洞。

  • 評估系統關鍵性資源與資料的完整性。

  • 辨識已知的攻擊行為。

  • 統計及分析異常行為。

  • 管理作業系統之日誌檔案,並識別違反安全政策的存取行為。

11-5-2 入侵偵測系統 - 元件

11-3 為入侵偵測系統的典型模型,其中包含四個主要元件:事件產生器(Event Generators事件分析器(Event Analysis事件資料庫(Event Database反應元件(Response Units等。以下分別敘述這四個元件之功能。

11-3 入侵偵測系統的典型模型

【(A)事件產生器】

我們將 IDS 所欲分析的資訊稱為『事件』(Event,它可能來自使用者存取系統的動作程序,或是系統資料被存取的記錄,也可能擷取自網路之間的訊務內容,甚至來自與電腦系統無關的社交行為、電話錄音等等。事件產生器儘可能收集有關入侵行為,或被入侵後所留下的軌跡,並將這些訊息格式化,以標準資料型態表現出來。也就是說,事件產生器是所有入侵偵測資料的來源,針對不同型態的 IDS,有不同事件收集方法,如主機型 IDS 較偏重被入侵後所留下的軌跡,而網路型 IDS 的事件產生則較著重於傳輸訊務的內容。

【(B)事件分析器】

如何從多個事件之中找出可疑的入侵對象,是事件分析器的主要工作,基本上,分析的方法分『特徵型』(Signature-based『異常型』(Anomaly-based兩種(容後介紹)。

【(C)事件資料庫】

將可疑或已確定的入侵事件儲存於『事件資料庫』之中,日後如果有相同事件發生時,便可直接判斷入侵已發生。這種做法非常類似目前的防毒系統,隨著各種病毒的出現,病毒防範公司通常製造許多病毒的特徵,隨時下載到用戶電腦上;用戶每次收到訊息時,再由病毒資料庫中比對是否有相同的資料,如果有則隔離該資料(視同病毒)進入系統。目前許多入侵軟體皆可自由下載取

11-5-3 入侵偵測系統事件

入侵偵測的第一步是事件資訊的收集,內容包括系統、網路、資料、以及用戶活動的狀態與行為。也就是說,IDS 是否可以精準的找出入侵者,多半取決於事件收集的正確性與完整性,尤其訊息收集地點也會直接影響到它的有效性。基本上,事件訊息的收集有下列五種方法:

【(A)系統和網路日誌】

『系統日誌』(System Log)是記錄所有存取系統資源的行為;『網路日誌』(Network Log)則記錄主機上網路通訊的行為。充分利用系統與網路日誌資料是偵測入侵的必要條件,日誌檔案包含網路與系統發生不尋常的活動記錄,由這些記錄中可以瞭解是否有人試圖入侵或已入侵成功,並可以即時啟動相對應的防護措施。日誌檔案記錄各種行為的類型,每個類型包含不同資訊,如『用戶活動』類型的日誌,就包含登入、用戶變更密碼、用戶存取那些文件、用戶授權與認證資訊等等。一般來講,系統日誌會將所有系統的運作做記錄,如此一來,日誌檔案勢必非常的大,尤其在高流通量的網路系統裡,IDS 要找出可疑的事件發生可不容易,因此,利用『稽核』(Audit)可能較容易達成。

【(B)目錄及檔案稽核】

駭客入侵系統最主要的目是要盜取或破壞內部的資料,如果記錄了所有資料或目錄被存取的過程,則該日誌檔案勢必變得非常大,甚至許多 IDS 來不及處理日誌檔案便將一些記錄拋棄掉,如此一來大大減低 IDS 的偵測能力。因此,我們可以將某些較關鍵性的檔案設定『稽核』(Audit)條件,譬如,某一檔案被讀取時,便會記錄讀取者的用戶識別名稱及時間,並且累計該目錄或檔案被讀取的次數。IDS 週期性檢視稽核檔案,從中發現是否有異常的存取行為,再評估是否為駭客入侵行為。譬如說,如果發現某一個不起眼的檔案連續多次被存取的話,也許該檔案就是有心人士故意建立的,接著再追查存取該檔案的用戶,並追查存取該檔案的意圖如何。另外,當用戶發生異常登入失敗、逾時登入、登入期間過長、或存取超出權限的資料時,都是安全稽核的記錄要項。

【(C)程式執行稽核】

網路系統上所執行的程式,如作業系統、網路服務、用戶啟動程式、以及應用程式等等,每一個程式多半由多個程序(Process)共同來完成,並且每一個程序都應該在他被允許的環境中運作,此環境控制程序可以存取那些資源、程式或資料檔案。當某個程序有異常的存取行為發生時,這就意味可能是駭客已入侵該系統,因此,可由程式執行的稽核記錄中,追查出發出該程序的用戶,並找出入侵對象。

【(D)訊務收集】

『訊務收集』(Traffic Collection)表示收集網路上所流通的封包,從中搜尋出可疑的入侵訊息。一般網路是以 IP 封包為傳輸單位,所以可利用網路監視器收集可疑的 IP 封包,再分析找出入侵對象。

【(D)反應元件】

當事件分析系統找出入侵的可疑對象之後,必須立即通知系統管理員做適當的回應。反應單元有兩種做法,一者為通知系統管理員,另一者為自動處理入侵事件。目前 IDS 最大的困擾是誤報情況過多,讓許多管理人員不堪負荷;另外,當入侵事件發生時,如管理人員怠慢處理,則可能會遭受嚴重損失。比較折衷的辦法是,IDS 如能肯定某一訊息確是入侵事件的話(如比對事件資料庫),則直接切斷該入侵連線,並做適當的補救措施(如關閉某些服務),若僅是懷疑某一連線為入侵事件,再通知管理人員處理。

【(E)實體網路架構】

駭客欲透過網路入侵目標系統,無論從何觀點來看都是不容易的事,再說許多防火牆也都著重於網路攻擊。於是乎,何不乾脆找一部電腦偷偷地安裝在目標網路內,雖然有點過分,但利用實體網路入侵並非不可能,尤其針對無線網路則更容易不過。一般私有網路對於網路的連線,多半不會特別注意每個細節,駭客只要安裝一部電腦作為內應,如此一來,再嚴謹的安全政策也是枉然。因此,IDS 除了監視外部訊息之外,還必須監視內部是否有非管轄內的電腦出現,所以系統管理員必須擁有整體網路的實體配置圖,方便定期檢查是否有盜接網路,或不明電腦出現。

主講人:粘添壽博士

 

資訊與網路安全技術