‫بسم هللا ّالرمحن ّالرحمی‬

‫سامانه های تشخیص نفوذ‬

‫‪Intrusion detection systems‬‬
‫فاطمه رضائی‬

‫امنیت شبکه پیشرفته‪ ،‬فاطمه رضائی‬ ‫‪1‬‬

 ‫سامانه تشخیص نفوذ‬
‫❑)‪Intrusion detection systems (IDS‬‬
‫❑نظارت در شبکه یا سیستم کامپیوتری‬
‫❑تشخیص و ثبت تهدیدات و انحرافات از سیاست های امنیتی‬
‫❑واکنش مناسب به ناهنجاری ها و فعالیت های غیرمجاز‬
‫❑جلوگیری از کامل شدن‪ /‬تکرار حمالت‬
‫❑ثبت اطالعات از حمالت و نفوذهای صورت گرفته‬

‫امنیت شبکه پیشرفته‪ ،‬فاطمه رضائی‬ ‫‪2‬‬

 ‫تشخیص نفوذ‬

‫تشخیص‬
‫‪•Misuse Detection‬‬
‫سوءاستفاده‬

‫تشخیص‬
‫‪•Anomaly Detection‬‬
‫ناهنجاری‬

‫امنیت شبکه پیشرفته‪ ،‬فاطمه رضائی‬ ‫‪3‬‬

 ‫تشخیص سوءاستفاده‬

‫‪Misuse Detection‬‬

‫شناخت نشانه های انواع حمالت‬

‫تعریف الگوی حمالت‬

‫جستجو برای مطابقات با الگوهای حمالت‬

‫امنیت شبکه پیشرفته‪ ،‬فاطمه رضائی‬ ‫‪4‬‬

 ‫تشخیص ناهنجاری‬

‫‪Anomaly Detection‬‬

‫شناخت عملکرد طبیعی سیستم‬

‫جستجو برای ناهنجاری های عملکردی‬

‫تشخیص حمالت ناشناخته‬

‫امنیت شبکه پیشرفته‪ ،‬فاطمه رضائی‬ ‫‪5‬‬

‫روش های تشخیص نفوذ‬

‫تشخیص آماری‬
‫• ‪Statistical detection‬‬
‫• مثال‪IDES :‬‬

‫تشخیص مبتنی بر قواعد‬

‫• ‪Rule-based detection‬‬
‫• مثال‪NIDX :‬‬

‫امنیت شبکه پیشرفته‪ ،‬فاطمه رضائی‬ ‫‪6‬‬

‫روش های تشخیص ناهنجاری‬

‫تشخیص آماری‬
‫• ارائه معیارهای عملکرد طبیعی‬

‫داده کاوی‬
‫• ‪Data Mining‬‬
‫• دسته بندی رفتارهای طبیعی و ناهنجار‬
‫• شبکه های عصبی‬
‫• ‪Neural Networks‬‬
‫امنیت شبکه پیشرفته‪ ،‬فاطمه رضائی‬ ‫‪7‬‬
 ‫روش های تشخیص سوءاستفاده‬

‫سیستم های‬
‫‪•Expert Systems‬‬
‫خبره‬

‫زنجیره های‬
‫‪•Markov Chains‬‬
‫مارکف‬
‫امنیت شبکه پیشرفته‪ ،‬فاطمه رضائی‬ ‫‪8‬‬
 ‫سیستم های خبره‬

‫‪Expert Systems‬‬
‫پردازش وقایع و استنتاج نتایج با استفاده از قواعد‬

‫وقایع ‪Facts‬‬
‫• اتفاقات رخ داده در سیستم‬
‫قواعد ‪Rules‬‬
‫• الگوهای نفوذ‬

‫امنیت شبکه پیشرفته‪ ،‬فاطمه رضائی‬ ‫‪9‬‬

 ‫زنجیره های مارکف‬

‫‪Markov Chains‬‬

‫مبتنی بر گذار حالت )‪(State Transition‬‬

‫مثال ‪USTAT‬‬

‫امنیت شبکه پیشرفته‪ ،‬فاطمه رضائی‬ ‫‪10‬‬

 ‫انواع ‪IDS‬‬

‫اقدام خودکار علیه‬

‫حمالت‬
‫فعال )‪(Active‬‬
‫سامانه های پیش‬
‫واکنش‬ ‫گیری از نفوذ )‪(IPS‬‬

‫ارسال گزارش حمالت‬

‫منفعل )‪(Passive‬‬
‫صورت گرفته‬

‫امنیت شبکه پیشرفته‪ ،‬فاطمه رضائی‬ ‫‪11‬‬

 ‫انواع ‪IDS‬‬
‫تشخیص نفوذ‬

‫بسته ای‬ ‫پس از وقوع‬

‫)‪(Batch‬‬
‫منفعل‬

‫زمان بندی تحلیل‬

‫تشخیص نفوذ به محض‪/‬‬
‫پیش از وقوع‬
‫بی درنگ‬
‫)‪(Real Time‬‬
‫امکان واکنش فعال و‬
‫پیش گیری از نفوذ‬

‫امنیت شبکه پیشرفته‪ ،‬فاطمه رضائی‬ ‫‪12‬‬

 ‫جمع آوری اطالعات‬

‫جمع آوری‬
‫اطالعات‬

‫مبتنی بر شبکه‬ ‫مبتنی بر‬

‫‪NIDS‬‬ ‫میزبان ‪HIDS‬‬

‫امنیت شبکه پیشرفته‪ ،‬فاطمه رضائی‬ ‫‪13‬‬

‫جمع آوری اطالعات مبتنی بر شبکه‬
‫‪NIDS‬‬

‫نظارت بر شبکه بزرگ‬

‫مشکل عملکرد در ترافیک سنگین‬
‫عدم توانایی تحلیل ترافیک رمزشده‬
‫مثال‪Snort :‬‬

‫امنیت شبکه پیشرفته‪ ،‬فاطمه رضائی‬ ‫‪14‬‬

‫جمع آوری اطالعات مبتنی بر میزبان‬

‫‪HIDS‬‬

‫کشف حمالت غیرقابل شناسایی در شبکه‬

‫بار محاسباتی و حافظه زیاد در میزبان‬
‫مثال‪OSSEC :‬‬

‫امنیت شبکه پیشرفته‪ ،‬فاطمه رضائی‬ ‫‪15‬‬

 ‫تله عسل ‪Honeypot‬‬
‫❑هدایت ترافیک مشکوک به تله عسل‬
‫❑فریب مهاجم به منظور‬
‫◦ منحرف کردن او از دسترسی به سیستم های حساس‬
‫◦ جمع آوری اطالعات در مورد نحوه عملکرد آن‬
‫❑اطالعات ساختگی به ظاهر ارزشمند‬
‫◦ عدم دسترسی کاربران قانونی به آن‬
‫◦ حمالت به ظاهر موفق‬
‫◦ زمان کافی برای تحلیل عملکرد مهاجم‬

‫امنیت شبکه پیشرفته‪ ،‬فاطمه رضائی‬ ‫‪16‬‬

‫تله عسل ‪Honeypot‬‬

‫امنیت شبکه پیشرفته‪ ،‬فاطمه رضائی‬ ‫‪17‬‬