IDS术语（2）

　　 
　　IDS术语
     DOCSHOW.NET 　 A. Cliff

　　by A. Cliff last updated July 19, 2001
　　 Translated by Mad，last updated Aug. 2, 2001

　　 术语添加或者需要解释, Pls mailto:talisker@networkintrusion.co.uk

　　 中文解释的问题,Pls mailto:mad@email.com.cn

　　 IDS分类(IDS Categories)
　　 基于应用的IDS( Application IDS)基于应用的IDS知道针对特殊应用的入侵特征，比如对web服务器和数据库系统的安全等。但是，许多基于主机的IDS正在从操作系统预警转向应用程序预警，虽然它们缺省不是应用程序预警，但可以通过训练学习达到。例如KSE(一种基于主机的IDS)可以通过日志得到包括应用程序在内的系统的所有运行信息，但是大部分与安全无关的日志都被过滤掉，涉及安全的信息，例如病毒和访问失败等将被按不同等级报警。Entercept Web服务器版本是一个基于特殊应用的IDS。

　　 控制台(Consoles)
　　 为了使分布的IDS探测端协同工作，需要由集中的控制台进行管理。现代的集中管理控制台可以接收和处理其它信息源，例如其它IDS产品、防火墙产品和路由器的报警或者日志。这些相关信息有助于发现更完整的攻击计划。一些控制台还可以向探测端发放攻击特征和实行远程控制。产品: Intellitactics Network Security Monitor 、Open Esecurity Platform.

　　 文件完整性检查(File Integrity Checkers)
　　 系统被黑客入侵，经常会发生一些重要文件的替换。通过对关键文件进行消息摘要，并周期性地对这些文件进行检查，可以发现文件变化，从而达到一定的保护目的。一旦发现文件变化，就会触发文件完整性检查工具发出警报。系统管理员可以通过同样的处理确定系统受危害的程度。以前的文件完整性检查工具都是事后处理工具，但是现在很多工具都提供即时检查和报警，因此也算作一种IDS。
　　 产品:Tripwire、Intact.

　　 蜜罐(Honeypots)
　　 蜜罐是可以模拟脆弱性主机，提供攻击目标。蜜罐主机不提供其它任何服务,因此所有连接到蜜罐主机的连接都是可能的攻击。蜜罐的另一个目的就是诱惑攻击者在其上浪费时间，延缓对真正目标的攻击。
　　 尽管蜜罐的最初设计目标是为起诉攻击者提供证据收集，但是关于应用蜜罐做陷阱的讨论很多。如果蜜罐在网络内部，攻击者至少要攻陷一个网络设备。有的国家法律规定，蜜罐收集的证据不能最为起诉证据。
　　 产品:Mantrap and Sting.

　　 基于主机的IDS(Host-based IDS，HIDS)
　　 基于主机的IDS监视系统/事件日志，分析可疑活动，可以用来侦测系统内部信任用户误用以及通过逃避常规监测方法的外来渗透。除此之外，基于主机的IDS对事件/日志/时间做签名分析，有的产品还应用启发式学习技术。由于其接近实时探测，能够很快探测系统错误，使得它在技术人员和安全人员中应用的很广泛。"基于主机的IDS"指基于服务器/工作站主机的所有类型的入侵检测系统。厂商们为了迷惑用户提出了网络节点IDS和文件完整性检查工具等概念，都属于基于主机的IDS。
　　 产品:Kane Secure Enterprise 、Dragon Squire.

　　 混合IDS(Hybrid IDS)
　　 现代交换式网络不允许网卡完全工作在混杂模式，为传统的基于网络的IDS工作带来了困难(然而有的交换机允许在跨越端口或者连接模式终端访问点-TAP监听交换机的所有流量)，同时网络带宽的增加使得NIDS的抓包率大大降低。一种解决方式就是混合IDS:把NIDS向上扩展一层，结合网络节点IDS和HIDS，形成混合形式的入侵检测系统。虽然这种IDS覆盖范围增大了，但是需要考虑由此带来的巨大流量和成本问题。很多网络为关键服务器保留混合IDS。
　　 一些厂商把不仅完成一种概念的IDS都成为混合IDS；然而，我认为这更多是因为市场原因。混合IDS只是在2000年中期一个在市场上流行的词汇，现在很多人已经开始放弃。
　　 产品: CentraxICE 、 RealSecure Server Sensor.

　　 基于网络的IDS(Network IDS (NIDS)
　　 NIDS监视探测器所在网段的所有流量，对包含攻击特征或者可疑的异常行为作出反应。传统上，NIDS是具有IDS特征过滤器的混杂模式包嗅探器，然而今天的NIDS具有更高的智能性，能够进行协议分析和状态保持。NIDS有基于应用的产品，可以直接安装在应用主机上。NIDS可以分析每一个数据报寻找攻击特征，但是当流量过大时，会出现丢包现象。
　　 许多NIDS有对攻击的响应功能(见第一部分的"自动响应")。在2000年后期很多NIDS宣传进入高速和交换网络的时代，更有的厂商宣传NIDS能够处理G比特的网络，通过交换机的监听断口或者TAP端口可以克服交换网络带来的不便。例如Shomiti交换机就支持这种功能。
　　 产品:SecureNetPro 、Snort.

　　 网络节点IDS( Network Node IDS (NNIDS))
　　 交换网络和高速网络给NIDS带来问题:一些NIDS在高速网络下工作不可靠，丢包率升高。交换网络不允许混杂模式网卡监听到网络内所有流量。而网络节点IDS将NIDS的功能分布到单个的网络节点，从而解决了高速和交换网络的问题。
　　 虽然网络节点IDS与个人防火墙相近，但它们也有区别。对个人防火墙归类为NNIDS，在对连接企图将应用事件分析。例如在个人防火墙上报警"attempted connection to port *****" ，NNIDS将根据"whatever"攻击特征识别为"whatever"探测。NNIDS将收集到的事件向中央控制台汇报。尽管有这些区别，但是有的个人防火墙厂商还是将其作为网络节点IDS推出。
　　 产品: BlackICE Agent 、Tiny CMDS.

　　 个人防火墙 Personal Firewall
　　 个人防火墙安装在个人操作系统上防止非法连接进出。它们能否有效保护主机免受攻击并不可靠。不要将它与网络节点IDS混淆。
　　 例如: ZoneAlarm 、 Sybergen.

　　 基于目标的IDS(Target-Based IDS )
　　 这类IDS的概念不是很明确，不同的人有不同的理解。一种定义指的是文件完整性检查工具，而另一种是基于网络的IDS，可以侦测攻击特征保护网络。后一种定义的目标是避开不必要的检测，加速IDS。我个人希望了解每一种攻击而不考虑其成功与否。由于这个术语有太多的含义，应该避免使用它，以免混淆。

　　 入侵检测工作组－IDWG(Intrusion Detection Working Group (IDWG))
　　 IDWG的工作目标是定义入侵检测和响应系统进行信息共享和交换，以及与管理系统交互所需的数据格式。IDWG与IETF其它工作组协同工作。
　　 URL:http://www.ietf.org/html.charters/idwg-charter.html

　　 事件处理(Incident Handling)
　　 探测到入侵只是开始。更多的情况是，控制台操作员会经常接到警报，因此没有时间亲自跟踪每个事件，他们会对感兴趣的事件做上标志，以利于事件处理小组深入调查事件。经过最初响应之后，接下来需要处理的问题是深入调查、取证和法庭起诉工作。Chris Jordan的论文 "Analyzing IDS Data" 论述了IDS警报分析的前两个阶段。
　　 URL:http://www.securityfocus.com/focus/ids/articles/analyzeids.html

　　 事件响应(Incident Response)
　　 对潜在事件的初始反应，然后依据事件处理程序操作。

　　 隔离(Islanding)
　　 隔离是把网络从Internet上隔离开来，这往往是迫不得已采取得办法，通常在遇到大规模病毒发作或者遇到很严重的攻击的情况下才采取隔离措施。

　　 混杂模式(Promiscuous)
　　 缺省情况下，IDS的网络界面只能看到从主机进出的包--这是非混杂模式。通过设置网络界面的混杂模式，IDS可以监听到整个网络内所有的流量。这是基于网络地IDS工作的必要条件。交换式HUB防止主机监听网段内所有流量，但是很多交换机提供跨越端口来监视网络内所有的网络活动。

　　 路由器(Routers)
　　 路由器是连接子网的设备，它在OSI七层模型的传输层和网络层工作。路由器的基本职能是为网络数据包到达目的地找到正确路由。许多路由器都有访问控制表(Aclearcase/" target="_blank" >ccess Control Lists (ACLs))来过滤不期望的数据包。许多路由器的日志可以被IDS利用，提供关于阻止网络访问有价值的信息。

　　 扫描器(Scanners)
　　 扫描器是一种能够扫描网络或者主机漏洞的自动工具。像IDS一样，扫描器有很多种类。详细列表见作者主页:http://www.networkintrusion.co.uk/scanners.htm

　　 网络扫描器(Network Scanners)
　　 网络扫描器用来映射一个网络，找到网络上的所有主机。传统的方法使用ICMP ping来进行探测，但是这种方法容易被发现。有多种不同的方法来隐蔽网络扫描,像ack扫描和fin扫描。这些隐蔽扫描方法主要是利用不同操作系统对这些扫描方式的响应方式不同。
　　 工具:nmap.

　　 网络漏洞扫描器(Network Vulnerability Scanners)
　　 网络漏洞扫描器是网络扫描器的发展，可以检查目标主机的漏洞。攻击者和安全人员都利用网络漏洞扫描器作为探测工具。它很容易引起网络入侵检测系统的警报。有的网络漏洞扫描器主要扫描web服务器的漏洞，像Whisker 甚至可以有一些的设置方法来避开NIDS的检测
　　 产品:Retina、 CyberCop Scanner

　　 Scanner Category: 主机漏洞扫描器Host Vulnerability Scanners
　　 使用主机漏洞扫描器，特权用户可以从内部扫描主机，检查诸如密码强度、文件权限的安全策略方面的漏洞。它的扫描可以被IDS,尤其是HIDS探测到。 SecurityExpressions 是一个远程 Windows 漏洞扫描器，甚至可以自动修补系统漏洞。其它像ISS的数据库扫描器(ISS database scanner)可以扫描数据库漏洞。

　　 脚本小子Script Kiddies
　　 脚本小子利用别人开发的漏洞利用脚本来达到自己的目的，而不是自己努力。有很多人轻视脚本小子的能力，甚至贬损他们。但是他们是一股不可小看的力量，像grc.com(http://grc.com/dos/intro.htm)。他们就像持有枪械的小孩，不需要理解弹道学或者去构筑坚固的炮台，但决不能低估他们。

　　 躲避(Shunning)
　　 "躲避"是很多边缘设备的配置方法，目的是拒绝从不受欢迎的源地址来的各种数据包。有的网络甚至拒绝从某一特定国家来的流量。

　　 特征(Signatures)
　　 IDS的核心是攻击特征，IDS根据攻击特征产生事件触发。攻击特征的描述太短容易产生误报，太长则延缓IDS的响应速度。有人将IDS识别攻击特征的数量作为IDS质量的衡量标准。有的厂商用一条特征覆盖很多种攻击方法，而有的厂商则将其拆分为几种特征，假以宣传自己的产品可以识别更多的攻击，实则不然。

　　 隐蔽(Stealth)
　　 隐蔽模式使得IDS在对外界不可见的情况下正常工作。这种IDS大多数用在DMZ外，在防火墙的保护之外。它有自动响应的缺点。

　　 英文原文: http://online.securityfocus.com/infocus/1214

原文转自：http://www.ltesting.net