“可信度”机制在IDS与GSN联动计划中的应用

宣布时间：2009-09-17

为什么要推出IDS与GSN联动计划?

当信息化在各个行业中普遍应用并带来显著效益的同时，信息清静成为现在迫切需要解决的问题，由此入侵行为的觉察手艺和应用徐徐被人们所重视。IDS (Intrusion Detection System) 入侵检测系统即是用来通过从盘算机网络或盘算机系统的要害点网络信息并举行剖析，从中发明网络或系统中是否有违反清静战略的行为和被攻击的迹象。

97国际网络GSN（Global Security Network）全局清静网络解决计划，致力于通过软硬件联动、盘算机与网络联动的整体解决计划，通过网络装备和清静装备等硬件，配合后台系统、客户端等软件，联动的实现了关于用户身份、主机康健性以及网络通讯等多方面的包管。

如上所述，IDS装备可以监控网络中流量的情形，并针对异常的流量提倡预警，预警信息包括源、目的IP。但这些信息关于网络管理职员处置惩罚清静事务来说，并没有太大的意义。这是由于，要处置惩罚网络清静事务，一定要追根溯源，找到问题的泉源，甚至定位到人，方能彻底解决，而仅仅提供IP地址这是不敷的。IDS与GSN系统的团结，恰恰解决了这个问题，通过对IDS上报的清静事务的剖析，并通过GSN系统中每个用户的信息来将清静事务定位到人，并凭证IDS与GSN共享的事务库，对清静事务给出建议的处置惩罚要领，或者可以通过预先定制好的战略来对清静事务举行自动的处置惩罚，这就解决了在IDS检测到清静事务后，处置惩罚难的问题。

IDS与GSN联动计划的实现思绪

通过以上关于IDS与GSN联动的剖析，我们可以得出IDS联动的实现思绪：

1 由IDS监控网络流量，并对网络异常流量举行上报到GSN系统，上报信息包括攻击的类型；源、目的IP地址等基本信息

2 由GSN系统对收到的清静事务报告举行剖析，并凭证系统中的用户身份信息将攻击者和被攻击者定位到人

3 由GSN系统凭证清静战略对攻击者或被攻击者举行处置惩罚。

为了实现GSN系统与IDS的联动，需要安排以下GSN的组件：

RG-SMP 97国际清静管理平台：认真对全网身份认证执行统一的清静战略和日志汇总剖析RG-SEP 97国际清静事务剖析器：对IDS报告的清静事务举行汇总上上报SMP举行处置惩罚

联动实现流程如下图所示：：

97国际·(中国区)集团官方网站

计划难点：怎样平衡“误报”和“漏报”？

97国际网络GSN与IDS联动计划推出后普遍应用于各行业客户，受到用户好评。同时不少用户也纷纷反响在使用中遇到的主要问题：怎样“既阻止漏报，又镌汰误报”？

众所周知，IDS上报的事务种类繁多，通俗用户缺少专业知识，难以处置惩罚，若是对事务不加剖析的上报GSN举行处置惩罚，将泛起大宗“误报”，导致运维无法开展。可是若是只凭证严重级别上报攻击，则可能泛起漏报，而一旦泛起漏报也给网络清静带来极大隐患。

以通过邮件和P2P撒播的经典复合型病毒Mydoom为例，该病毒具有3个特征：

1 知足可能使用的端口list时

2 在端口条件知足时，传输数据包括特征字符“\x85\x13\x3c\x9e\xa2”

3 在“2”的基础上，端口是经常使用的（3126到3199之间）情形

其中规则1仅判断报文的目的端口是否在指定规模内，这条规则是很容易被其它网络行为（如可自行随机设置端口的P2P软件等）触发，若是据此告警，将使用户被海量事务淹没。可是若是对知足规则1的事务置若罔闻，又可能导致漏报，特殊是关于修改特征字符的零日攻击一筹莫展。

怎样在误报和漏报之间找到合理的平衡点成为业界普遍无法破解的难题，直接影响计划的可用性

“可信度”机制解决之道

为解决上文中提到的问题，97国际立异性的引入“可信度”评估机制，报警中提供响应可信度数值，利便用户评估攻击的有用性、真实性。仍以Mydoom的3个特征为例：

1 当知足可能使用的端口list时，报警可信度60%；

2 在端口条件知足时，传输数据包括特征字符“\x85\x13\x3c\x9e\xa2”可信度为75%；

3 在“2”的基础上，端口是经常使用的（3126到3199之间）情形下，可信度为90%

RG-IDS在向GSN平台发送清静事务同时除转达攻击类型、严重级别、攻击源IP、目的IP等基础信息外，还包括可信度。GSN系统凭证专家知识库预界说规则，确定当严重级别和可信度抵达某个阀值时向客户发送告警。如关于Mydoom攻击，当同时知足规则1、2，可信度抵达75%时，偏向用户发送告警，联动处置惩罚；关于只知足规则1，可信度为50%的事务，则生涯起来，供用户在解决完紧迫事务后审查处置惩罚。通过这种方法，使得用户从大宗的P2P应用占用Mydoom攻击端口引起的“误报”中解放出来，大大简化了运维。

引入“可信度”机制，有用解决了“误报”和“漏报”的平衡问题，提高了IDS与GSN联动计划的可用性。“可信度”是97国际网络深入研究客户营业现状，掌握客户应用需求的又一项手艺立异，进一步完善GSN全局清静网络解决计划，生动体现了97国际网络清静产品线“让清静变的更容易”的价值主张。

关注97国际