信息安全系统工程入侵检测.pptx

一、概述;入侵检测系统的预警功能;IDS的特点;入侵检测的部署方式和位置;IDS的功能;IDS常用的评价指标;二、入侵检测的基本原理;IDS的工作过程;IDS的工作过程（续）;IDS的工作过程（续）;IDS的基本结构;CIDF的体系结构;CIDF包含的组件;CIDF包含的组件（续）;三、入侵检测系统的分类;Slide 16;3.1 基于主机的入侵检测系统;例：Windows 7系统日志;例： Windows7审核策略;例：IIS系统日志;HIDS的优点;HIDS的优点（续）;HIDS的优点（续）;HIDS的不足;3.2 基于网络的入侵检测系统;NIDS的优点;NIDS的优点（续）;NIDS的不足;3.3 分布式??侵检测系统;一种分布式IDS （DIDS）;四、入侵检测的数据分析技术;Slide 32;4.1 异常检测;异常检测面临的关键问题;异常检测面临的关键问题（续）;异常检测面临的关键问题（续）;异常检测技术的特点;例：IDES系统的异常检测;例：IDES系统的异常检测（续;例：IDES系统的异常检测（续;例：IDES系统的异常检测（续;4.2 误用检测;误用检测技术的优点;误用检测技术的不足;误用检测技术的不足（续）;4.3 入侵检测具体技术;4.3.1 基于统计方法;4.3.2 基于神经网络;4.3.3 基于专家系统;4.3.4 基于模型推理;4.3.5 其他的检测技术;五、入侵检测系统的部署;5.1 基于网络入侵检测系统的;基于网络入侵检测系统的部署（续;基于网络入侵检测系统的部署（续;基于网络入侵检测系统的部署（续;基于网络入侵检测系统的部署（续;5.2 基于主机入侵检测系统的;六、对入侵检测的攻击;6.1 利用字符串匹配缺陷;6.1.1 路径欺骗;6.1.2 HEX编码;6.1.3 二次HEX编码;6.1.4 Unicode(U;6.1.5 避免字符匹配缺陷小;6.2 分割IP数据包;6.3 拒绝服务攻击;拒绝服务攻击（续）;七、网络入侵检测系统-Snor;Snort的特点;Snort的特点（续）;Snort的体系结构;Snort的体系结构（续）;7.1 网络数据包的截获;7.1.1 以太网环境下的数据;一个Linux环境下的数据包截;Slide 77;Slide 78;一个Linux环境下的数据包截;Libpcap 库;Libpcap 库（续）;Libpcap 库（续）;Libpcap结构;Winpcap库;Winpcap架构;Winpcap主要函数;．Winpcap包捕获一般流程;7.1.2 交换网络环境下的数;7.2 检测引擎的设计;7.2.1 Snort的检测规;Snort规则格式;Snort规则头的字段;Snort规则头的字段（续）;Snort规则头的字段（续）;Snort规则头的字段（续）;端口范围示例;Snort规则头的字段（续）;Snort的规则选项;Snort的规则选项（续）;Snort的规则选项（续）;Snort的规则选项（续）;7.2.2 Snort的系统架;1、协议解析器;TCP/IP中的各层协议;协议解析器（续）;2、规则检测引擎;规则检测引擎（续）;规则链表逻辑结构;规则检测引擎（续）;规则检测引擎（续）;规则检测引擎（续）;3、日志/警报系统;小结