日志分析与HIDS系统之入侵检测与防御系统

YhMjQx

于 2025-03-18 21:55:37 发布

阅读量693

点赞数 11

分类专栏：日志分析与HIDS系统安全防御与运营保障渗透测试与护网蓝队文章标签：安全防御与运营保障网络安全日志分析与HIDS系统

本文链接：https://blog.youkuaiyun.com/YhMjQx/article/details/146353620

版权

安全防御与运营保障同时被 3 个专栏收录

26 篇文章

订阅专栏

渗透测试与护网蓝队

26 篇文章

订阅专栏

日志分析与HIDS系统

15 篇文章

订阅专栏

文章目录

==入侵检测与防御系统==

入侵检测与防御系统

教材内容

一、IDPS原理与产品

1、IDS与IPS概述

网络安全的各类产品，都有软件和硬件的存在形式，可以使用纯硬件的解决方案，也可以使用纯软件的解决方案。

无论是硬件还是软件，其工作原理都是一样的，只是性能可能会存在差别，另外就是一些高级功能。

（1）IDS：Intrusion Dedection System（检测恶意攻击行为并进行预警）

第一类：基于交换机或服务器流量（NIDS，基于网络流量的IDS），关注通信流量，对加密流量存在检测难题

第二类：基于操作系统文件或日志（HIDS，基于主机的IDS），不关心网络通信，只关心主机行为与日志信息

（2）IPS：Intrusion Protection System（不仅检测攻击，并且可以防御）

第一类：基于网络流量的IPS（不能旁挂，必须串联，并且如果发现流量非法，则直接阻断流量）

第二类：基于Web服务器或各类应用服务器，比如Niginx或Apache，或PHP编程语言的WAF等

2、开源产品

HIDS：OSSEC，https://www.ossec.net/，Wazuh：https://github.com/wazuh （Server+Agent），如果检测到攻击行为，则可以主动响应，比如通过DenyHost来阻止IP地址，通过防火墙进行Drop（运行批处理脚本来达到目的）。

NIDS：Snort，http://www.snort.org/， Suricata：https://suricata.io/ ，Zeek等（直接监听网络流量，通过规则来检测攻击行为），同时可以设置让所有流量经过NIDS，再调用iptables对流量进行Drop，进而让流量不到达目标服务器上。

难点：规则库的建立和编写（目前有很多规则库的积累，但是我们需要自己编写满足自己业务需要的规则库）：黑名单

3、基于AI的IDPS

让AI学习大量的合法访问数据（白名单），如果发现一条流量或日志，与已经学习的特征库不匹配，则认为这是异常流量，则进行预警或防御。

4、EDR

端点检测与响应（Endpoint Detection and Response，EDR），端点指：台式机、服务器、移动设备和嵌人式设备等。攻击者往往首先利用目标网络中的脆弱端点建立桥头堡，再通过进一步的漏洞利用来构筑长期驻留条件，最终迈向既定目标。EDR完全不同于以往的端点被动防护思路，而是通过云端威胁情报、机器学习、异常行为分析、攻击指示器等方式，主动发现来自外部或内部的安全威胁，并进行自动化的阻止、取证、补救和溯源，从而有效对端点进行防护。

端点检测和响应是一种主动式端点安全解决方案，通过记录终端与网络事件（例如用户，文件，进程，注册表，内存和网络事件），并将这些信息本地存储在端点或集中数据库。结合已知的攻击指示器(Indicators of Compromise，IOCs)、行为分析的数据库来连续搜索数据和机器学习技术来监测任何可能的安全威胁，并对这些安全威胁做出快速响应。还有助于快速调查攻击范围，并提供响应能力。