网络安全讲座之八：IDS系统

我们已经接触了手工和自动运行的扫描程序。这些工具在审计过程中是非常有用的。你还使用了包嗅探器，这是另一个确定网络中存在哪些活动类型的工具。入侵监测系统会在两方面引起你的注意。首先，这种保护网络的形式变得越来越流行。你需要了解网络当前的结构来确定配置是否合适。第二，你可能在推荐这种产品，因此，你必须知道如何为特殊的网络情况推荐这种产品。

在测试过程中你可以使用多种类型的工具。这些工具在整个的审计过程中是必不可少的。它们会帮助你在枯燥乏味的分析过程中节省时间。

什么是入侵监测

入侵监测系统处于防火墙之后对网络活动进行实时检测。许多情况下，由于可以记录和禁止网络活动，所以入侵监测系统是防火墙的延续。它们可以和你的防火墙和路由器配合工作。例如，你的IDS可以重新配置来禁止从防火墙外部进入的恶意流量。你应当理解入侵监测系统是独立于防火墙工作的。

入侵监测系统IDS与系统扫描器system scanner不同。系统扫描器是根据攻击特征数据库来扫描系统漏洞的，它更关注配置上的漏洞而不是当前进出你的主机的流量。在遭受攻击的主机上，即使正在运行着扫描程序，也无法识别这种攻击。

IDS扫描当前网络的活动，监视和记录网络的流量，根据定义好的规则来过滤从主机网卡到网线上的流量，提供实时报警。网络扫描器检测主机上先前设置的漏洞，而IDS监视和记录网络流量。如果在同一台主机上运行IDS和扫描器的话，配置合理的IDS会发出许多报警。

入侵监测的功能

大多数的IDS程序可以提供关于网络流量非常详尽的分析。它们可以监视任何定义好的流量。大多数的程序对FTP，HTTP和Telnet流量都有缺省的设置，还有其它的流量像NetBus，本地和远程登录失败等等。你也可以自己定制策略。下面讨论一些更常见的检测技巧。

网络流量管理

像Computer Associates’ eTrust Intrusion Detection（以前是SessionWall），Axent Intruder Alert和ISS RealSecure等IDS程序允许你记录，报告和禁止几乎所有形式的网络访问。你还可以用这些程序来监视某一台主机的网络流量，eTrust Intrusion Detection可以读取这台主机上用户最后访问的Web页。

如果你定义了策略和规则，便可以获得FTP，SMTP，Telnet和任何其它的流量。这种规则有助于你追查该连接和确定网络上发生过什么，现在正在发生什么。这些程序在你需要确定网络中策略实施的一致性情况时是非常有效的工具。

虽然IDS是安全管理人员或审计人员非常有价值的工具，但公司的雇员同样可以安装像eTrust Intrusion Detection或Intrude Alert这样的程序来访问重要的信息。攻击者不仅可以读取未加密的邮件，还可以嗅探密码和收集重要的协议方面的信息。所以，你首要的工作是要检查在网络中是否有类似的程序在运行。

系统扫描，Jails和IDS

在本教程的早些时候，你学习到如何应用不同的策略来加强有效的安全。这项任务需要在网络中不同的部分实施控制，从操作系统到扫描器、IDS程序和防火墙。你已经使用过系统扫描器，许多安全专家将这些程序和IDS结合起来。系统完整性检查，广泛地记录日志，黑客“监狱”和引诱程序都是可以同IDS前后配合的有效工具。

追踪

IDS所能做到的不仅仅是记录事件，它还可以确定事件发生的位置，这是许多安全专家购买IDS的主要原因。通过追踪来源，你可以更多的了解攻击者。这些经验不仅可以帮你记录下攻击过程，同时也有助于确定解决方案。

入侵监测系统的必要性

防火墙看起来好像可以满足系统管理员的一切需求。然而，随着基于雇员的攻击行为和产品自身问题的增多，IDS由于能够在防火墙内部监测非法的活动正变得越来越必要。新的技术同样给防火墙带来了严重的威胁。例如，VPN可穿透防火墙，所以需要IDS在防火墙后提供安全保障。虽然VPN本身很安全，但有可能通过VPN进行通信的其中一方被root kit或NetBus所控制，而这种破坏行为是防火墙无法抵御的。基于以上两点原因，IDS已经成为安全策略的重要组成部分。

我们还需要注意的是，攻击者可以实施攻击使IDS过载，其结果可能是IDS系统成为拒绝服务攻击的参与者。而且，攻击者会尽量调整攻击手法，从而使IDS无法追踪网络上的活动。

入侵监测系统的构架

有两种构架的IDS可供选择，每种都有它的适用环境。虽然主机级的IDS具有更强的功能而且可以提供更详尽的信息，但它并不总是最佳选择。

网络级IDS

你可以使用网络级的产品，象eTrust Intrusion Detection只需一次安装。程序（或服务）会扫描整个网段中所有传输的信息来确定网络中实时的活动。网络级IDS程序同时充当管理者和代理的身份，安装IDS的主机完成所有的工作，网络只是接受被动的查询。

优点和缺点

这种入侵监测系统很容易安装和实施；通常只需要将程序在主机上安装一次。网络级的IDS尤其适合阻止扫描和拒绝服务攻击。但是，这种IDS构架在交换和ATM环境下工作得不好。而且，它对处理升级非法账号，破坏策略和篡改日志也并不特别有效。在扫描大型网络时会使主机的性能急剧下降。所以，对于大型、复杂的网络，你需要主机级的IDS。

主机级IDS

像前面所讲的，主机级的IDS结构使用一个管理者和数个代理。管理者向代理发送查询请求，代理向管理者汇报网络中主机传输信息的情况。代理和管理者之间直接通信，解决了复杂网络中的许多问题。

技术提示：在应用任何主机级IDS之前，你需要在一个隔离的网段进行测试。这种测试可以帮助你确定这种Manager-to-agent的通信是否安全，以及对网络带宽的影响。

管理者Managers

管理者定义管理代理的规则和策略。管理者安装在一台经过特殊配置过的主机上，对网络中的代理进行查询。有的管理者具有图形界面儿其它的IDS产品只是以守护进程的形式来运行管理者，然后使用其它程序来管理它们。

物理安全对充当管理者的主机来说至关重要。如果攻击者可以获得硬盘的访问权，他便可以获得重要的信息。此外，除非必需管理者的系统也不应被网络用户访问到，这种限制包括Internet访问。

安装管理者的操作系统应该尽可能的安全和没有漏洞。有些厂商要求你使用特定类型的操作系统来安装管理者。例如，ISS RealSecure要求你安装在Windows NT Workstation而不是Windows NT Server，这是由于在NT Workstation上更容易对操作系统进行精简。

特殊的考虑

每种IDS厂商对他们的产品都有特殊的考虑。通常这些考虑是针对操作系统的特殊设置的。例如，许多厂商要求你将代理安装在使用静态IP地址的主机上。因此，你也许需要配置DHCP和WINS服务器来配合管理者。这种特殊的考虑在一定程度上解释了为什么大多数IDS程序用一个管理者来管理数台主机。另外，安装管理者会降低系统的性能。而且，在同一网段中安装过多的管理者会占用过多的带宽。

另外，许多IDS产品在快于10MB的网络中工作起来会有问题。通常IDS的厂商要求你不要将管理者安装在使用NFS或NFS+的UNIX操作系统上，因为这种文件系统允许远程访问，管理者会使它们缺乏稳定和不安全。

除非特殊情况，你不应将IDS的管理者安装在装了双网卡或多网卡的用做路由器的主机上，或者安装在防火墙上。例如，Windows NT PDC或BDC也不是安装大多数IDS管理者的理想系统，不仅因为管理者会影响登录，而且PDC或BDC所必须的服务会产生trap door和系统错误。

管理者和代理的比例

管理者和代理的比例数字会因生产厂商和版本的不同而不同。例如，Axent Intruder Alert建议在UNIX或NT的网络上不要使用超过100个代理，NetWare网络中每个管理者不应使用超过50个代理。然而，你需要建立基线来确定IDS结构的理想配置。理想配置是指IDS可以在不影响正常地网络操作的前提下实时监测网络入侵。

代理

由于代理负责监视网络安全，所以大多数的IDS允许你将代理安装在任何可以接受配置的主机上。当你在考虑产品时，你应当确保它可以和网络上的主机配合工作。大多数的产品在UNIX,NT和Novell网络环境中可以出色的工作。有些厂商也生产在特殊网络环境下工作的代理，例如DECnet，mainframes等等。无论如何，你应当通过测试来选择最适合你的网络的产品。所有的代理都工作在混杂模式，并且捕捉网络上传递的信息包。

理想的代理布局

请考虑将代理安装在像数据库，Web服务器，DNS服务器和文件服务器等重要的资源上。像eTrust Intrusion Detection这样的基于扫描的IDS程序也许更适合在某些特定的时段扫描个别的主机。这个工具能够确保你在占用最小带宽的前提下监视网络活动。

下列是部分适合放置代理资源的列表：

·账号、人力资源和研发数据库

·局域网和广域网的骨干，包括路由器和交换机

·临时工作人员的主机

·SMTP，HTTP和FTP服务器

·Modem池服务器和交换机、路由器、集线器

·文件服务器

许多新的网络连接设备限制了IDS扫描。

管理者和代理的通信

在你学习如何为网络挑选产品时，需要明确管理者和代理的通信方式。大多数的IDS程序要求你首先和管理者通信，然后管理者会查询代理。

通常，管理者和代理在通信时使用一种公钥加密。例如，Axent的产品使用400位长Diffie-Helman加密。标准的