入侵檢測(cè)安全解決方案

1、入侵檢測(cè)安全解決方案摘要：隨著互聯(lián)網(wǎng)技術(shù)的飛速發(fā)展，網(wǎng)絡(luò)安全逐漸成為一個(gè)潛在的巨大問(wèn)題。但是長(zhǎng)久以來(lái)，人們普遍關(guān)注的只是網(wǎng)絡(luò)中信息傳遞的正確與否、速度怎樣，而忽視了信息的安全問(wèn)題，結(jié)果導(dǎo)致大量連接到Internet上的計(jì)算機(jī)暴露在愈來(lái)愈頻繁的攻擊中。因此，保證計(jì)算機(jī)系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)以及整個(gè)信息基礎(chǔ)設(shè)施的安全已經(jīng)成為刻不容緩的重要課題。本文先介紹入侵檢測(cè)的概念和基本模型，然后按不同的類(lèi)別分別介紹其技術(shù)特點(diǎn)。關(guān)鍵詞：網(wǎng)絡(luò)安全、入侵檢測(cè)、入侵檢測(cè)系統(tǒng)、蠕蟲(chóng)、入侵檢測(cè)系統(tǒng)的發(fā)展引言：隨著Internet的迅速擴(kuò)張和電子商務(wù)的興起，越來(lái)越多的企業(yè)以及政府部門(mén)依靠網(wǎng)絡(luò)傳遞信息。然而網(wǎng)絡(luò)的開(kāi)放性與共享性使它很

2、容易受到外界的攻擊與破壞,信息的安全保密性受到了嚴(yán)重影響。與此同時(shí)，網(wǎng)上黑客的攻擊活動(dòng)也逐漸猖狂。人們發(fā)現(xiàn)保護(hù)資源和數(shù)據(jù)的安全，讓其免受來(lái)自惡意入侵者的威脅是件非常重要的事。因此，保證計(jì)算機(jī)系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)以及整個(gè)信息基礎(chǔ)設(shè)施的安全已經(jīng)成為刻不容緩的重要課題，入侵檢測(cè)技術(shù)隨即產(chǎn)生。正文：該網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)分析從網(wǎng)絡(luò)拓?fù)鋱D可以看出，該網(wǎng)絡(luò)分為辦公局域網(wǎng)、服務(wù)器網(wǎng)絡(luò)和外網(wǎng)服務(wù)器，通過(guò)防火墻與互聯(lián)網(wǎng)連接。在辦公局域網(wǎng)中有一個(gè)交換機(jī)和一些客戶(hù)機(jī)。對(duì)于辦公局域網(wǎng)絡(luò)，每臺(tái)計(jì)算機(jī)處于平等的位置，兩者之間的通信不用經(jīng)過(guò)別的節(jié)點(diǎn)，它們處于競(jìng)爭(zhēng)和共享的總線結(jié)構(gòu)中。這種網(wǎng)絡(luò)適用于規(guī)模不大的小型網(wǎng)絡(luò)當(dāng)中，管理簡(jiǎn)單方便，安

3、全控制要求不高的場(chǎng)合。在服務(wù)器網(wǎng)絡(luò)中，有目錄服務(wù)器、郵件服務(wù)器等通過(guò)核心交換機(jī)，在經(jīng)過(guò)防火墻與外網(wǎng)服務(wù)器相連，在通過(guò)外網(wǎng)防火墻與互聯(lián)網(wǎng)相連。網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)安全性考慮 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)與網(wǎng)絡(luò)的安全性關(guān)系很大，如果設(shè)備再好，結(jié)構(gòu)設(shè)計(jì)有問(wèn)題，比如拓?fù)浣Y(jié)構(gòu)不合理，使防火墻旋轉(zhuǎn)放置在網(wǎng)絡(luò)內(nèi)部，而不是網(wǎng)絡(luò)與外部的出口處，這樣整個(gè)網(wǎng)絡(luò)就不能抵擋外部的入侵了。設(shè)計(jì)好網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)，也就是使其進(jìn)出口減少了收縮，把防御設(shè)備放置到網(wǎng)絡(luò)的出入口，特別是防火墻和路由器，一定要放置在網(wǎng)絡(luò)的邊緣上，且是每個(gè)出入口均要有。內(nèi)網(wǎng)防火墻是一類(lèi)防范措施的總稱(chēng)，它使得內(nèi)部網(wǎng)絡(luò)與Internet之間或者與其他外部網(wǎng)絡(luò)互相隔離、限制網(wǎng)絡(luò)互訪用

4、來(lái)保護(hù)內(nèi)部網(wǎng)絡(luò)。防火墻簡(jiǎn)單的可以只用路由器實(shí)現(xiàn)，復(fù)雜的可以用主機(jī)甚至一個(gè)子網(wǎng)來(lái)實(shí)現(xiàn)。設(shè)置防火墻目的都是為了在內(nèi)部網(wǎng)與外部網(wǎng)之間設(shè)立唯一的通道，簡(jiǎn)化網(wǎng)絡(luò)的安全管理。 防火墻的功能有： 1、過(guò)濾掉不安全服務(wù)和非法用戶(hù) 2、控制對(duì)特殊站點(diǎn)的訪問(wèn) 3、提供監(jiān)視Internet安全和預(yù)警的方便端點(diǎn)由于互連網(wǎng)的開(kāi)放性，有許多防范功能的防火墻也有一些防范不到的地方： 1、防火墻不能防范不經(jīng)由防火墻的攻擊。例如，如果允許從受保護(hù)網(wǎng)內(nèi)部不受限制的向外撥號(hào)，一些用戶(hù)可以形成與Internet的直接的連接，從而繞過(guò)防火墻，造成一個(gè)潛在的后門(mén)攻擊渠道。 2、防火墻不能防止感染了病毒的軟件或文件的傳輸。這只能在每臺(tái)主機(jī)

5、上裝反病毒軟件。 3、防火墻不能防止數(shù)據(jù)驅(qū)動(dòng)式攻擊。當(dāng)有些表面看來(lái)無(wú)害的數(shù)據(jù)被郵寄或復(fù)制到Internet主機(jī)上并被執(zhí)行而發(fā)起攻擊時(shí)，就會(huì)發(fā)生數(shù)據(jù)驅(qū)動(dòng)攻擊。 因此，防火墻只是一種整體安全防范政策的一部分。這種安全政策必須包括公開(kāi)的、以便用戶(hù)知道自身責(zé)任的安全準(zhǔn)則、職員培訓(xùn)計(jì)劃以及與網(wǎng)絡(luò)訪問(wèn)、當(dāng)?shù)睾瓦h(yuǎn)程用戶(hù)認(rèn)證、撥出撥入呼叫、磁盤(pán)和數(shù)據(jù)加密以及病毒防護(hù)的有關(guān)政策。2.網(wǎng)絡(luò)的安全威脅 該網(wǎng)絡(luò)網(wǎng)的特點(diǎn)是有一個(gè)辦公局域網(wǎng)和服務(wù)器網(wǎng)絡(luò)。這種情況下，網(wǎng)絡(luò)面臨著許多安全方面的威脅： 1）黑客攻擊，特別是假冒源地址的拒絕服務(wù)攻擊屢有發(fā)生。攻擊者通過(guò)一些簡(jiǎn)單的攻擊工具，就可以制造危害嚴(yán)重的網(wǎng)絡(luò)洪流，耗盡網(wǎng)絡(luò)資源

6、或被攻擊主機(jī)系統(tǒng)資源。但是同時(shí)，攻擊者常常可以借助偽造源地址的方法逍遙法外，使網(wǎng)絡(luò)管理員對(duì)這種攻擊無(wú)可奈何； 2）病毒和蠕蟲(chóng)，在高速大容量的局域網(wǎng)絡(luò)中，各種病毒和蠕蟲(chóng)，不論新舊都很容易通過(guò)不小心的用戶(hù)或有漏洞的系統(tǒng)迅速傳播擴(kuò)散。其中特別是新發(fā)的網(wǎng)絡(luò)蠕蟲(chóng)，常?？梢栽诒l(fā)初期的幾個(gè)小時(shí)內(nèi)就閃電般席卷全校甚至全球，造成網(wǎng)絡(luò)阻塞甚至癱瘓； 3) 濫用網(wǎng)絡(luò)資源，在校園網(wǎng)中總會(huì)出現(xiàn)濫用帶寬等資源以致影響其它用戶(hù)甚至整個(gè)網(wǎng)絡(luò)正常使用的行為。如各種掃描、廣播、訪問(wèn)量過(guò)大的視頻下載服務(wù)等等。3 系統(tǒng)功能需求在以上安全威脅面前侵檢測(cè)系統(tǒng)（Intrusion Detection System，IDS）必須滿(mǎn)足以下需

7、求：（1）確定攻擊是否成功。由于基于主機(jī)的IDS使用含有已發(fā)生事件信息，它們可以比基于網(wǎng)絡(luò)的IDS更加準(zhǔn)確地判斷攻擊是否成功。在這方面，基于主機(jī)的IDS是基于網(wǎng)絡(luò)的IDS完美補(bǔ)充，網(wǎng)絡(luò)部分可以盡早提供警告，主機(jī)部分可以確定攻擊成功與否。（2）監(jiān)視特定的系統(tǒng)活動(dòng)?；谥鳈C(jī)的IDS監(jiān)視用戶(hù)和訪問(wèn)文件的活動(dòng)，包括文件訪問(wèn)、改變文件權(quán)限，試圖建立新的可執(zhí)行文件并且或者試圖訪問(wèn)特殊的設(shè)備。例如，基于主機(jī)的IDS可以監(jiān)督所有用戶(hù)的登錄及下網(wǎng)情況，以及每位用戶(hù)在聯(lián)結(jié)到網(wǎng)絡(luò)以后的行為。對(duì)于基于網(wǎng)絡(luò)的系統(tǒng)經(jīng)要做到這個(gè)程度是非常困難的?；谥鳈C(jī)技術(shù)還可監(jiān)視只有管理員才能實(shí)施的非正常行為。操作系統(tǒng)記錄了任何有關(guān)用戶(hù)

8、帳號(hào)的增加，刪除、更改的情況，只要改動(dòng)一且發(fā)生，基于主機(jī)的IDS就能檢察測(cè)到這種不適當(dāng)?shù)母膭?dòng)?；谥鳈C(jī)的IDS還可審計(jì)能影響系統(tǒng)記錄的校驗(yàn)措施的改變?；谥鳈C(jī)的系統(tǒng)可以監(jiān)視主要系統(tǒng)文件和可執(zhí)行文件的改變。系統(tǒng)能夠查出那些欲改寫(xiě)重要系統(tǒng)文件或者安裝特洛伊木馬或后門(mén)的嘗試并將它們中斷。而基于網(wǎng)絡(luò)的系統(tǒng)有時(shí)會(huì)查不到這些行為。（3）能夠檢查到基于網(wǎng)絡(luò)的系統(tǒng)檢查不出的攻擊。基于主機(jī)的系統(tǒng)可以檢測(cè)到那些基于網(wǎng)絡(luò)的系統(tǒng)察覺(jué)不到的攻擊。例如，來(lái)自主要服務(wù)器鍵盤(pán)的攻擊不經(jīng)過(guò)網(wǎng)絡(luò)，所以可以躲開(kāi)基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)。（4）適用被加密的和交換的環(huán)境。交換設(shè)備可將大型網(wǎng)絡(luò)分成許多的小型網(wǎng)絡(luò)部件加以管理，所以從覆蓋足夠

9、大的網(wǎng)絡(luò)范圍的角度出發(fā)，很難確定配置基于網(wǎng)絡(luò)的IDS的最佳位置。業(yè)務(wù)映射和交換機(jī)上的管理端口有助于此，但這些技術(shù)有時(shí)并不適用?；谥鳈C(jī)的入侵檢測(cè)系統(tǒng)可安裝在所需的重要主機(jī)上，在交換的環(huán)境中具有更高的能見(jiàn)度。某些加密方式也向基于網(wǎng)絡(luò)的入侵檢測(cè)發(fā)出了挑戰(zhàn)。由于加密方式位于協(xié)議堆棧內(nèi)，所以基于網(wǎng)絡(luò)的系統(tǒng)可能對(duì)某些攻擊沒(méi)有反應(yīng)，基于主機(jī)的IDS沒(méi)有這方面的限制，當(dāng)操作系統(tǒng)及基于主機(jī)的系統(tǒng)看到即將到來(lái)的業(yè)務(wù)時(shí)，數(shù)據(jù)流已經(jīng)被解密了。（5）近于實(shí)時(shí)的檢測(cè)和響應(yīng)。盡管基于主機(jī)的入侵檢測(cè)系統(tǒng)不能提供真正實(shí)時(shí)的反應(yīng)，但如果應(yīng)用正確，反應(yīng)速度可以非常接近實(shí)時(shí)。老式系統(tǒng)利用一個(gè)進(jìn)程在預(yù)先定義的間隔內(nèi)檢查登記文件的狀態(tài)

10、和內(nèi)容，與老式系統(tǒng)不同，當(dāng)前基于主機(jī)的系統(tǒng)的中斷指令，這種新的記錄可被立即處理，顯著減少了從攻擊驗(yàn)證到作出響應(yīng)的時(shí)間，在從操作系統(tǒng)作出記錄到基于主機(jī)的系統(tǒng)得到辨識(shí)結(jié)果之間的這段時(shí)間是一段延遲，但大多數(shù)情況下，在破壞發(fā)生之前，系統(tǒng)就能發(fā)現(xiàn)入侵者，并中止他的攻擊。（6）不要求額外的硬件設(shè)備?；谥鳈C(jī)的入侵檢測(cè)系統(tǒng)存在于現(xiàn)行網(wǎng)絡(luò)結(jié)構(gòu)之中，包括文件服務(wù)器，Web服務(wù)器及其它共享資源。這些使得基于主機(jī)的系統(tǒng)效率很高。因?yàn)樗鼈儾恍枰诰W(wǎng)絡(luò)上另外安裝登記，維護(hù)及管理的硬件設(shè)備。（7）記錄花費(fèi)更加低廉?；诰W(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)比基于主機(jī)的入侵檢測(cè)系統(tǒng)要昂貴的多。4.入侵檢測(cè)安全解決方案單一的安全保護(hù)往往效果不理

11、想，而最佳途徑就是采用多層安全防護(hù)措施對(duì)信息系統(tǒng)進(jìn)行全方位的保護(hù)結(jié)合不同的安全保護(hù)因素，例如防病毒軟件、防火墻和安全漏洞檢測(cè)工具，來(lái)創(chuàng)建一個(gè)比單一防護(hù)有效得的多的綜合的保護(hù)屏障。分層的安全防護(hù)成倍地增加了黑客攻擊的成本和難度，從而大大減少了他們對(duì)該網(wǎng)絡(luò)的攻擊。在內(nèi)網(wǎng)防火墻后增加一個(gè)IDS入侵檢測(cè)系統(tǒng)，在外網(wǎng)防火墻和互聯(lián)網(wǎng)之間增加一個(gè)IDS入侵檢測(cè)系統(tǒng)，入侵檢測(cè)系統(tǒng)的漏洞的存在，通過(guò)對(duì)防火墻的配置提供穩(wěn)定可靠的安全性。風(fēng)險(xiǎn)管理系統(tǒng)是一個(gè)漏洞和風(fēng)險(xiǎn)評(píng)估工具，用于發(fā)現(xiàn)、發(fā)掘和報(bào)告網(wǎng)絡(luò)安全漏洞。防病毒軟件的應(yīng)用也是多層安全防護(hù)的一種必要措施。防病毒軟件是專(zhuān)門(mén)為防止已知和未知的病毒感染企業(yè)的信息系統(tǒng)而設(shè)

12、計(jì)的。它的針對(duì)性很強(qiáng)，但是需要不斷更新。入侵檢測(cè)系統(tǒng)入侵檢測(cè)系統(tǒng)是指監(jiān)視入侵或者試圖控制你的系統(tǒng)或者網(wǎng)絡(luò)資源的那種努力的系統(tǒng)。作為分層安全中日益被越普遍采用的成分，入侵檢測(cè)系統(tǒng)將有效地提升黑客進(jìn)入網(wǎng)絡(luò)系統(tǒng)的門(mén)檻。入侵監(jiān)測(cè)系統(tǒng)能夠通過(guò)向管理員發(fā)出入侵或者入侵企圖來(lái)加強(qiáng)當(dāng)前的存取控制系統(tǒng)，例如防火墻；識(shí)別防火墻通常不能識(shí)別的攻擊，如來(lái)自企業(yè)內(nèi)部的攻擊；在發(fā)現(xiàn)入侵企圖之后提供必要的信息，幫助系統(tǒng)的移植。入侵檢測(cè)系統(tǒng)工具方面，基于主機(jī)與基于網(wǎng)絡(luò)兩條腿并行。在基于主機(jī)方面，ITA入侵檢測(cè)系統(tǒng)中唯一基于規(guī)則的、實(shí)時(shí)的、集中管理的主機(jī)監(jiān)測(cè)系統(tǒng)，它可以在網(wǎng)絡(luò)邊界和網(wǎng)絡(luò)內(nèi)部檢查和響應(yīng)來(lái)自外界的攻擊和可疑行為。從

13、功能上看，它可以探測(cè)出潛在的危險(xiǎn)-包括審計(jì)日志外不正常的印跡，并且根據(jù)安全管理員設(shè)定的規(guī)則，還可以對(duì)這些印跡進(jìn)行分類(lèi)并作出相應(yīng)的反擊響應(yīng)。由于ITA即代表了網(wǎng)絡(luò)IDS技術(shù)的發(fā)展趨勢(shì)，所以在主動(dòng)安全防護(hù)方面，富有創(chuàng)見(jiàn)性。NetProwler是一個(gè)基于網(wǎng)絡(luò)的動(dòng)態(tài)入侵檢測(cè)系統(tǒng)，它提供了動(dòng)態(tài)、實(shí)時(shí)、透明的網(wǎng)絡(luò)IDS，能記錄日志，同時(shí)可中斷內(nèi)部不滿(mǎn)者和外部黑客的非授權(quán)使用、誤用和濫用。尤其在動(dòng)態(tài)擴(kuò)展攻擊特征庫(kù)方面，NetProwler可使用SDSI虛擬處理器能夠立即展開(kāi)自定義攻擊信號(hào)，中斷嚴(yán)重的惡意攻擊。總體上講，可以幫助企業(yè)避免內(nèi)部、遠(yuǎn)程、乃至授權(quán)用戶(hù)所進(jìn)行的網(wǎng)絡(luò)探測(cè)、系統(tǒng)誤用及其它惡意行為。作為一套

14、戰(zhàn)略工具，它還可幫助安全管理員制定杜絕未來(lái)攻擊的可靠應(yīng)對(duì)措施。在實(shí)施基于網(wǎng)絡(luò)的IDS系統(tǒng)同時(shí)仍然在特定的敏感主機(jī)上增加代理是一個(gè)比較完善的策略。因?yàn)?，基于主機(jī)的IDS與基于網(wǎng)絡(luò)的IDS并行可以做到優(yōu)勢(shì)互補(bǔ)：網(wǎng)絡(luò)部分提供早期警告，而基于主機(jī)的部分可提供攻擊成功與否的情況分析與確認(rèn)。所以如果企業(yè)將賽門(mén)鐵克的NetProwler與Intruder Alert配合使用，能夠達(dá)到更佳效果。防火墻由于，防火墻的就成為多層安全防護(hù)中必要的一層。一個(gè)防火墻為了提供穩(wěn)定可靠的安全性，必須跟蹤流經(jīng)它的所有通信信息。為了達(dá)到控制目的，防火墻首先必須獲得所有通信層和其它應(yīng)用的信息，然后存儲(chǔ)這些信息，還要能夠重新獲得以

15、及控制這些信息。防火墻僅檢查獨(dú)立的信息包是不夠的，因?yàn)闋顟B(tài)信息-以前的通信和其它應(yīng)用信息-是控制新的通信連接的最基本的因素。對(duì)于某一通信連接，通信狀態(tài)（以前的通信信息）和應(yīng)用狀態(tài)是對(duì)該連接做控制決定的關(guān)鍵因素。因此為了保證高層的安全，防火墻必須能夠訪問(wèn)、分析和利用通信信息、通信狀態(tài)、應(yīng)用狀態(tài)，并做信息處理而在防火墻方面，底層建立的應(yīng)用程序代理防火墻產(chǎn)品更安全、更快速，并且更便于管理與公司的網(wǎng)絡(luò)集成，以其獨(dú)特的混合體系結(jié)構(gòu)將多種功能基于一身，易于集中管理，可對(duì)企業(yè)提供全面的安全性防護(hù)。風(fēng)險(xiǎn)管理系統(tǒng)風(fēng)險(xiǎn)管理系統(tǒng)是一個(gè)漏洞和風(fēng)險(xiǎn)評(píng)估工具，用于發(fā)現(xiàn)、發(fā)掘和報(bào)告網(wǎng)絡(luò)安全漏洞。的風(fēng)險(xiǎn)管理系統(tǒng)不僅能夠檢測(cè)和

16、報(bào)告漏洞，而且還可以證明漏洞發(fā)生在什么地方以及發(fā)生的原因。在系統(tǒng)間分享信息并繼續(xù)探測(cè)各種漏洞直到發(fā)現(xiàn)所有的安全漏洞；還可以通過(guò)發(fā)掘漏洞以提供更高的可信度以確保被檢測(cè)出的漏洞是真正的漏洞。這就使得風(fēng)險(xiǎn)分析更加精確并確保管理員可以把風(fēng)險(xiǎn)程度最高的漏洞放在優(yōu)先考慮的位置。在風(fēng)險(xiǎn)管理解決方案方面,ESM是一種基于主機(jī)的安全漏洞掃描和風(fēng)險(xiǎn)評(píng)估工具，它通過(guò)簡(jiǎn)化整個(gè)安全策略的設(shè)置和安全過(guò)程，可最大可能的檢測(cè)出系統(tǒng)內(nèi)部的安全漏洞障礙，并且使管理人員能夠迅速對(duì)其網(wǎng)絡(luò)安全基礎(chǔ)架構(gòu)中存在的潛在漏洞進(jìn)行評(píng)估并采取措施。NetRecon可根據(jù)整體網(wǎng)絡(luò)視圖進(jìn)行風(fēng)險(xiǎn)評(píng)估，同時(shí)可在那些常見(jiàn)安全漏洞被入侵者利用且實(shí)施攻擊之前進(jìn)

17、行漏洞識(shí)別，從而保護(hù)網(wǎng)絡(luò)和系統(tǒng)。由于NetRecon具備了網(wǎng)絡(luò)漏洞的自動(dòng)發(fā)現(xiàn)和評(píng)估功能，它能夠安全地模擬常見(jiàn)的入侵和攻擊情況，在系統(tǒng)間分享信息并繼續(xù)探測(cè)各種漏洞直到發(fā)現(xiàn)所有的安全漏洞，從而識(shí)別并準(zhǔn)確報(bào)告網(wǎng)絡(luò)漏洞，并推薦修正措施。在整個(gè)企業(yè)網(wǎng)絡(luò)系統(tǒng)風(fēng)險(xiǎn)評(píng)估過(guò)程中，基于主機(jī)的ESM在內(nèi)的安全漏洞掃描工具只限于在單一位置自動(dòng)進(jìn)行并整合安全策略的規(guī)劃、管理及控制工作，其對(duì)于整個(gè)網(wǎng)絡(luò)系統(tǒng)內(nèi)的風(fēng)險(xiǎn)評(píng)估，尤其對(duì)于基于不同網(wǎng)絡(luò)協(xié)議的網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估不能面面俱到。蜜罐(Honeypot)蜜罐(Honeypot)是一種在互聯(lián)網(wǎng)上運(yùn)行的計(jì)算 機(jī)系統(tǒng)。它是專(zhuān)門(mén)為吸引并誘騙那些試圖非法闖 入他人計(jì)算機(jī)系統(tǒng)的人(如電腦黑客)

18、而設(shè)計(jì)的，蜜 罐系統(tǒng)是一個(gè)包含漏洞的誘騙系統(tǒng)，它通過(guò)模擬 一個(gè)或多個(gè)易受攻擊的主機(jī)，給攻擊者提供一個(gè) 容易攻擊的目標(biāo)。由于蜜罐并沒(méi)有向外界提供真 正有價(jià)值的服務(wù)，因此所有對(duì)蜜罐嘗試都被視為 可疑的。蜜罐的另一個(gè)用途是拖延攻擊者對(duì)真正 目標(biāo)的攻擊，讓攻擊者在蜜罐上浪費(fèi)時(shí)間。簡(jiǎn)單 點(diǎn)一說(shuō)：蜜罐就是誘捕攻擊者的一個(gè)陷阱。防病毒軟件防病毒軟件的應(yīng)用也是多層安全防護(hù)的一種必要措施。防病毒軟件是專(zhuān)門(mén)為防止已知和未知的病毒感染企業(yè)的信息系統(tǒng)而設(shè)計(jì)的。它的針對(duì)性很強(qiáng)，但是需要不斷更新。最新的諾頓防病毒企業(yè)版7.6，提供桌面計(jì)算機(jī)和文件服務(wù)器的全面防毒保護(hù)，并可協(xié)助企業(yè)建立多層次防毒以保護(hù)其資產(chǎn)。與此同時(shí)，諾頓

19、防病毒企業(yè)版7.6特別針對(duì)Microsoft Exchange/ Lotus Notes兩類(lèi)郵件服務(wù)器設(shè)計(jì)了自動(dòng)化電子郵件防毒及內(nèi)容過(guò)濾功能。借助諾頓防病毒企業(yè)版7.6對(duì)郵件服務(wù)器提供的防護(hù)功能，即可維持郵件服務(wù)器的穩(wěn)定及正常運(yùn)作的前提下，只需要一次掃描便能探測(cè)出惡意程序及帶病毒的進(jìn)出電子郵件，并可對(duì)有毒或可疑的電子郵件實(shí)施隔離，從而可以確保企業(yè)的郵件系統(tǒng)的高度安全。多層防護(hù)發(fā)揮作用即使網(wǎng)絡(luò)中的入侵檢測(cè)系統(tǒng)失效，防火墻、風(fēng)險(xiǎn)評(píng)估和防病毒軟件 蜜罐系統(tǒng)還會(huì)起作用。配置合理的防火墻能夠在入侵檢測(cè)系統(tǒng)發(fā)現(xiàn)之前阻止最普通的攻擊。安全漏洞評(píng)估能夠發(fā)現(xiàn)漏洞并幫助清除這些漏洞。如果一個(gè)系統(tǒng)沒(méi)有安全漏洞，即使

20、一個(gè)攻擊沒(méi)有被發(fā)現(xiàn)，那么這樣的攻擊也不會(huì)成功。即使入侵檢測(cè)系統(tǒng)沒(méi)有發(fā)現(xiàn)已知病毒，防火墻沒(méi)能夠阻止病毒，安全漏洞檢測(cè)沒(méi)有清除病毒傳播途徑，防病毒軟件同樣能夠偵測(cè)這些病毒。所以，在使用了多層安全防護(hù)措施以后，企圖入侵該網(wǎng)絡(luò)系統(tǒng)的黑客要付出成數(shù)倍的代價(jià)才有可能達(dá)到入侵目的。這時(shí)，你的信息系統(tǒng)的安全系數(shù)得到了大大的提升。系統(tǒng)特點(diǎn)(1)誤用檢測(cè)特征庫(kù)又稱(chēng)為基于知識(shí)的檢測(cè)。其基本前提是：假定所有可能的入侵行為都能被識(shí)別和表示。首先，對(duì)已知的攻擊方法進(jìn)行攻擊簽名表示，然后根據(jù)已經(jīng)定義好的攻擊簽名，通過(guò)判斷這些攻擊簽名是否出現(xiàn)來(lái)判斷入侵行為的發(fā)生與否攻擊特征庫(kù)是所有誤用檢測(cè)系統(tǒng)的核心部件，系統(tǒng)中規(guī)則的質(zhì)量決定了誤用檢測(cè)的準(zhǔn)確性和有效性。本系統(tǒng)中的攻擊特征庫(kù)記錄有一千多條攻擊特征，提供豐富的數(shù)據(jù)庫(kù)管理接口，管理員可以很容易的增加或修改規(guī)則。同時(shí)，系統(tǒng)現(xiàn)有規(guī)則描述方法與互聯(lián)網(wǎng)上常用的 snort 規(guī)則兼容，并且支持動(dòng)態(tài)擴(kuò)展新的描述方法，使管理員可以迅速對(duì)新發(fā)現(xiàn)的攻擊做出相應(yīng)規(guī)則，保