《深入探究入侵检测系统的类型》
一、基于数据源的分类
1、基于主机的入侵检测系统（HIDS）
原理
图片来源于网络，如有侵权联系删除
- 基于主机的入侵检测系统主要关注单个主机的活动，它通过在主机上安装代理软件来收集信息，这些信息包括系统日志、文件完整性检查、进程活动等，它可以监控系统调用，当一个进程试图执行一个异常的系统调用时，如一个普通用户进程试图直接访问内核内存空间，HIDS就能检测到这种异常行为，系统日志是HIDS的重要信息来源，像Windows系统中的事件日志和Linux系统中的syslog，其中记录了诸如用户登录、文件访问、程序启动和停止等各种系统事件，通过分析这些日志中的模式和异常情况，HIDS可以发现潜在的入侵行为。
优点
- 能够精确地检测针对特定主机的攻击，由于它是在主机内部进行检测，所以可以深入了解主机的内部状态，对于一个试图篡改重要配置文件的本地攻击者，HIDS可以通过文件完整性检查及时发现文件的修改，它还可以检测到一些基于网络的入侵检测系统难以发现的内部攻击，如恶意软件在主机内部的横向传播，因为它可以监控主机上进程之间的交互情况，HIDS不需要处理大量的网络流量，对于网络带宽的要求较低。
缺点
- 安装和管理成本较高，因为需要在每个被保护的主机上安装代理软件，这在大型企业网络中，主机数量众多的情况下，部署和维护的工作量巨大，它只能保护安装了代理的主机，如果新的主机加入网络没有及时安装HIDS代理，就无法得到保护，HIDS可能会受到主机操作系统和应用程序的限制，如果主机系统被恶意攻击者完全控制，HIDS本身可能被篡改或禁用，从而失去检测能力。
2、基于网络的入侵检测系统（NIDS）
原理
- NIDS通过监听网络流量来检测入侵行为，它通常部署在网络中的关键节点，如防火墙后面或者网络交换机的镜像端口上，以便能够捕获进出网络的所有流量，NIDS分析网络数据包的内容，包括协议头和负载部分，它可以检测到网络扫描行为，当一个源IP地址在短时间内向大量不同的目标IP地址发送SYN包（在TCP连接建立过程中的同步包）时，这可能是一种端口扫描行为，NIDS可以识别这种异常的网络活动模式，它还可以检测针对特定网络服务的攻击，如检测到对Web服务器的SQL注入攻击，通过分析HTTP请求中的可疑SQL语句模式。
优点
- 能够检测整个网络范围内的攻击，对于保护网络中的多个主机非常有效，它不需要在每个主机上安装软件，易于部署，尤其是在大型网络环境中，NIDS可以提供网络活动的宏观视图，有助于发现网络中的大规模攻击趋势，如DDoS（分布式拒绝服务）攻击的早期迹象，通过分析网络流量中的异常流量模式，它可以及时发现来自外部网络的入侵企图，保护网络边界的安全。
缺点
- 难以检测加密的网络流量中的入侵行为，随着越来越多的网络通信采用加密技术，如SSL/TLS加密的HTTP流量（HTTPS），NIDS无法直接查看加密内容，这可能会导致一些隐藏在加密流量中的攻击被漏检，NIDS可能会产生大量的误报，因为网络中的正常流量模式非常复杂，区分正常的高流量时期（如促销活动期间的网站流量高峰）和异常的流量洪峰（如DDoS攻击）具有一定的挑战性，它对网络带宽有一定的要求，如果网络流量过大，可能会导致NIDS无法及时处理所有的数据包，从而错过一些入侵行为。
3、基于混合数据源的入侵检测系统
原理
- 这种类型的入侵检测系统结合了基于主机和基于网络的数据源，它综合了HIDS和NIDS的优点，通过从主机和网络两个方面收集信息，更全面地检测入侵行为，它可以将网络中的异常流量与主机上的进程行为关联起来，如果NIDS检测到一个外部IP地址频繁地向某台主机发送连接请求，同时该主机上的某个进程出现异常的资源消耗或者试图与一些可疑的外部IP地址建立连接，混合数据源的入侵检测系统就可以判断这可能是一种协同的攻击行为，它可以从网络层获取网络拓扑结构、流量模式等信息，从主机层获取文件系统状态、用户活动等信息，然后进行综合分析。
优点
- 提供了更全面、准确的入侵检测能力，由于同时利用了主机和网络的信息，它可以减少误报率并提高检测率，对于复杂的网络攻击，如APT（高级持续性威胁）攻击，这种混合方式能够更好地跟踪攻击的整个过程，APT攻击通常会从网络入侵开始，然后在主机内部潜伏、横向扩展，混合数据源的入侵检测系统可以从网络和主机两个层面发现攻击的各个阶段的迹象，从而更有效地应对这种复杂的威胁。
缺点
- 系统架构相对复杂，需要整合来自不同数据源的信息，这涉及到数据格式的统一、数据传输的协调等问题，它的部署和维护成本也较高，因为需要同时管理基于主机和基于网络的检测组件，在数据处理方面，由于要处理大量的主机和网络数据，对计算资源和存储资源的要求也比较高。
二、基于检测技术的分类
图片来源于网络，如有侵权联系删除
1、异常检测入侵检测系统
原理
- 异常检测系统基于正常行为模式建立模型，然后将当前行为与正常模型进行比较，任何偏离正常模型的行为都被视为异常，可能是入侵行为，这种正常行为模式可以通过多种方式建立，例如统计分析正常的网络流量或主机活动的特征，通过统计一段时间内主机上某个进程的CPU使用率、内存占用率等指标的正常范围，当这些指标超出正常范围时，就可能表示存在异常情况，在网络方面，可以统计正常情况下特定服务端口的连接数量、连接时间等，当出现与正常统计值差异较大的情况时，如某个服务端口突然出现大量异常连接，就可能是入侵的迹象。
优点
- 能够检测到新型的、未知的攻击，因为它不依赖于对特定攻击模式的识别，只要是与正常行为模式有较大偏差的行为都可能被检测到，这种方法对于防范零日攻击（尚未被发现和公开的攻击）非常有用，一种新的恶意软件可能会在主机上表现出与正常软件不同的行为，如异常的文件访问模式或者网络通信模式，异常检测系统可以发现这种异常行为并发出警报。
缺点
- 误报率较高，由于正常行为的多样性和动态性，很难准确地定义一个完全涵盖所有正常行为的模型，在企业网络中，员工的工作习惯可能会导致一些看似异常但实际上正常的行为，如某个员工在特殊项目期间可能会频繁地访问一些平时很少使用的网络资源，异常检测系统需要较长的时间来建立准确的正常行为模型，并且随着网络环境和主机应用的变化，模型需要不断更新，否则可能会出现误判。
2、误用检测入侵检测系统
原理
- 误用检测系统基于已知的攻击模式进行检测，它将收集到的行为与预先定义的攻击签名（Signature）进行比较，如果匹配成功，则认为是入侵行为，这些攻击签名可以是特定的网络数据包序列、系统命令序列等，对于一个已知的缓冲区溢出攻击，它有特定的程序代码执行模式或者网络数据包中的特定字节序列，误用检测系统可以识别这些模式，在网络安全领域，许多杀毒软件和传统的网络入侵检测系统都采用这种方式，它们不断更新病毒定义库和攻击签名库，以应对新出现的攻击。
优点
- 误报率相对较低，因为它是基于已知的攻击模式进行检测，只要攻击签名定义准确，检测结果就比较可靠，对于已经被广泛认知的攻击类型，如常见的网络蠕虫攻击、SQL注入攻击等，能够快速准确地检测到，这种系统的检测速度通常较快，因为它不需要进行复杂的正常行为建模，只需要简单地与已知的攻击签名进行匹配。
缺点
- 无法检测未知的攻击，由于它依赖于预先定义的攻击签名，如果是一种新型的、尚未被发现和定义签名的攻击，误用检测系统就无法检测到，随着网络攻击技术的不断发展和创新，攻击者不断开发新的攻击手段，这就要求误用检测系统不断更新攻击签名库，否则就会存在检测漏洞，维护攻击签名库也需要一定的成本，包括人力成本和时间成本。
3、基于状态协议分析的入侵检测系统
原理
- 这种入侵检测系统主要关注网络协议的状态，它对网络协议的正常运行状态有深入的理解，通过分析协议的状态转换来检测入侵行为，在TCP协议中，正常的连接建立过程是从SYN（同步）状态到SYN - ACK（同步 - 应答）状态再到ACK（确认）状态，如果出现不符合这个正常状态转换的情况，如在没有收到SYN包的情况下直接收到ACK包，这可能是一种异常情况，可能是入侵行为的迹象，它可以检测协议的违规使用，如在HTTP协议中，按照正常的协议规范，某些HTTP请求方法应该在特定的情境下使用，如果出现不规范的请求方法或者请求顺序，就可能表示存在攻击行为。
优点
- 能够有效地检测协议相关的攻击，由于它深入分析协议的状态，对于利用协议漏洞的攻击，如针对特定网络协议实现中的缺陷进行的攻击，能够准确地检测到，它的检测准确性较高，因为协议的状态转换是相对规范和有限的，与异常检测相比，误报率相对较低，它不需要像误用检测那样依赖大量的攻击签名，对于一些尚未被定义为攻击签名但违反协议状态的行为也能够检测到。
缺点
图片来源于网络，如有侵权联系删除
- 对协议的依赖性很强，如果协议本身发生变化或者出现新的协议扩展，系统需要及时更新以适应这些变化，当HTTP/3协议推出时，如果基于状态协议分析的入侵检测系统没有及时更新对HTTP/3协议状态的理解，就可能会出现检测漏洞，它的检测能力主要局限于协议相关的攻击，对于一些与协议无关的攻击，如基于社会工程学的攻击（如钓鱼攻击），它无法进行有效的检测。
三、基于部署方式的分类
1、集中式入侵检测系统
原理
- 集中式入侵检测系统将所有的检测任务集中在一个或几个中心节点上进行，这些中心节点收集来自网络中各个监测点的信息，然后进行统一的分析和处理，在一个企业网络中，所有的网络流量数据和主机监控信息都被发送到一个专门的入侵检测服务器上，这个服务器运行复杂的检测算法，对整个网络的安全状况进行评估，它可以从全局的角度来分析网络中的安全威胁，通过关联不同监测点的信息，发现跨区域、跨主机的攻击行为。
优点
- 便于管理和维护，由于所有的检测工作都在集中的节点上进行，管理员可以方便地配置和更新检测策略，对于大型网络，只需要在中心节点上进行操作，而不需要逐个地对每个监测点进行管理，集中式系统可以更好地利用计算资源，将复杂的检测任务分配到性能较强的中心节点上进行处理，提高检测效率，它可以提供统一的安全视图，方便企业的安全团队对整个网络的安全态势进行监控和评估。
缺点
- 存在单点故障风险，如果中心节点出现故障，如遭受硬件故障、软件崩溃或者网络攻击，整个入侵检测系统将无法正常工作，集中式系统对中心节点的性能要求较高，因为它需要处理来自多个监测点的大量信息，随着网络规模的扩大，中心节点可能会面临处理能力不足的问题，导致检测延迟或者漏检的情况，在将大量数据从监测点传输到中心节点的过程中，可能会占用大量的网络带宽，影响网络的正常运行。
2、分布式入侵检测系统
原理
- 分布式入侵检测系统将检测任务分布到网络中的多个节点上进行，这些节点可以是网络中的主机、路由器或者专门的检测设备等，每个节点都承担一定的检测任务，并且可以与其他节点进行信息交互和协作，在一个分布式网络中，每个主机上的HIDS可以作为一个分布式检测节点，它们可以独立地检测本地的入侵行为，同时也可以将本地检测到的异常情况与其他主机或者网络中的专门检测节点进行共享，通过这种分布式的协作，可以更全面地检测入侵行为，尤其是针对分布式攻击，如DDoS攻击的检测。
优点
- 具有较好的可扩展性，随着网络规模的扩大，可以方便地增加新的检测节点来适应网络的增长，它不存在单点故障问题，因为检测任务分布在多个节点上，即使某个节点出现故障，其他节点仍然可以继续进行检测工作，由于检测任务的分布式处理，对网络带宽的占用相对较小，每个节点只需要传输与其他节点协作所需的必要信息，分布式系统可以更好地适应复杂的网络环境，如在多子网、多自治域的网络中，能够有效地检测到跨越不同区域的入侵行为。
缺点
- 管理和协调相对复杂，由于检测任务分布在多个节点上，需要建立有效的管理机制来确保各个节点的检测策略的一致性和协调性，不同节点之间的信息交互和协作也需要进行精心的设计，以避免信息冲突和误判，分布式系统的整体性能取决于各个节点的性能，如果某个节点的性能较差，可能会影响整个系统的检测效率，分布式入侵检测系统的部署成本相对较高，因为需要在多个节点上安装和配置检测组件。
入侵检测系统的不同类型各有优缺点，在实际的网络安全防护中，往往需要根据具体的网络环境、安全需求和预算等因素来选择合适的入侵检测系统类型或者采用多种类型的组合来构建一个有效的网络安全防护体系。
评论列表