176- پروژه آماده: بررسی و کشف ناهنجاری و تشخیص نفوذ در شبکه های کامپیوتری – 60 صفحه فايل ورد (word)

فهرست مطالب

عنوان    صفحه

فصل 1-            مقدمه   7

1-1-    پیشگفتار           7

کارهای مرتبط    10

آنالیزکمی:         11

آنالیز آماری :      12

آنالیزمبتنی بر قواعد:       12

آنالیز با استفاده ازشبکه های عصبی :       13

سیستم امنیت بیولوژیکی :          13

الگوریتم ژنتیک :            14

درخت تصمیم:   14

1-2-    روش تحقیق      16

فصل 2-            معرفي سيستم هاي تشخيص نفوذ           19

2-1-    مقدمه   19

2-2-    انواع رو شهاي تشخيص نفوذ        21

2-3-    روش تشخيص رفتار غيرعادي      22

2-3-1-            تشخيص سطح آستانه     23

2-3-2-            معيارهاي آماري 23

2-3-3-            معيارهاي قانو نگرا          23

2-3-4-            ساير معيارها      23

2-3-5-            روش تشخيص سوءاستفاده يا تشخيص مبتني بر امضاء      24

2-4-    انواع معماري سيستم هاي تشخيص نفوذ  25

2-4-1-            سيستم تشخيص نفوذ مبتني بر ميزبان HIDS      25

2-5-    سيستم تشخيص نفوذ مبتني بر شبكه NIDS       27

2-6-    سيستم تشخيص نفوذ توزيع شده DIDS  31

2-7-    روش هاي برخورد و پاسخ به نفوذ            33

2-7-1-            پاسخ غي رفعال در سيستم تشخيص نفوذ 33

2-7-2-            پاسخ فعال در سيستم تشخيص نفوذ        34

2-8-    آشنايي با Snort           35

2-9-    Snort چيست؟ 35

2-10-  Packet Sniffer          37

2-11-  Preprocessor           38

2-12-  Detection Engine    39

2-13-  اخطار دهنده      39

2-14-  Snort و ساختار شبکه   40

2-15-  مراجع   43

فصل 3–            Ids یا سیستم های مهاجم یاب   44

3-1-    IDS ها , لزوم و کلیات    44

3-2-    انواع IDS ها      45

3-3-    IDS های مبتنی بر میزبان ( Host Based IDS )            46

3-4-    IDS های مبتنی بر شبکه ( Network Based IDS )     48

3-5-    نقاط ضعف:        50

3-6-    چگونگی قرار گرفتن IDS در شبکه          51

3-7-    تکنیک های IDS           52

3-8-    مراجع   58

در دنياي امروز، كامپيوتر و شبكه هاي كامپيوتري متصل به اينترنت نقش عمده اي در ارتباطات و انتقال اطلاعات ايفا مي كنند. در اين بين افراد سودجو با دسترسي به اطلاعات مهم مراكز خاص يا اطلاعات افراد ديگر و با قصد اعمال نفوذ يا اعمال فشار و يا حتي به هم ريختن نظم سيستم ها، عمل تجاوز به سيستم هاي كامپيوتري را در پيش گرفته اند Intruder و Cracker ،Hacker كلماتي هستند كه امروزه كم و بيش در محافل كامپيوتري مطرح مي باشند و اقدام به نفوذ به سيست مهاي ديگر كرده و امنيت آن ها را به خطر م ياندازد. بنابراين لزوم حفظ امنيت اطلاعاتي و حفظ كارآيي در شبك ههاي كامپيوتري كه با دنياي خارج ارتباط دارند، كاملأ محسوس است.

از آنجا كه از نظر تكنيكي ايجاد سيستم هاي كامپيوتري ( سخت افزار و نرم افزار ) بدون نقاط ضعف و شكست امنيتي عملأ غيرممكن است، تشخيص نفوذ در تحقيقات سيست مهاي كامپيوتري با اهميت خاصي دنبال ميشود.

سيستم هاي تشخيص نفوذ (IDS) براي كمك به مديران امنيتي سيستم در جهت كشف نفوذ و حمله به كار گرفته شده اند. هدف يك سيستم تشخيص نفوذ جلوگيري از حمله نيست و تنها كشف و احتمالأ شناسايي حملات و تشخيص اشكالات امنيتي در سيستم يا شبكه ي كامپيوتري و اعلام آن به مدير سيستم است. عمومأ سيستم هاي تشخيص نفوذ در كنار ديواره هاي آتش و به صورت مكمل امنيتي براي آن ها مورد استفاده قرار م يگيرند.

نگاهي بر سيستمهاي تشخيص نفوذ

سيستم هاي تشخيص نفوذ وظيفه ي شناسايي و تشخيص هر گونه استفاد هي غيرمجاز به سيستم، سوء استفاده و يا آسي برساني توسط هر دو دسته ي كاربران داخلي و خارجي را بر عهده دارند. سيستم هاي تشخيص نفوذ به صورت سيستم هاي نرم افزاري و سخ تافزاري ايجاد شده و هر كدام مزايا و معايب خاص خود را دارند. سرعت و دقت از مزاياي سيست مهاي سخت افزاري است و عدم شكست امنيتي آن ها توسط نفوذگران، قابليت ديگر اين گونه سيستم ها مي باشد. اما استفاده ي آسان از نرم افزار، قابليت انطباق پذيري در شرايط نرم افزاري و تفاوت سيستم هاي عامل مختلف، عموميت بيشتري را به سيست مهاي نرم افزاري م يدهد و عمومأ اين گونه سيستم ها انتخاب مناسب تري هستند.

به طور كلي سه عملكرد اصلي IDS عبارتند از:

1. نظارت و ارزيابي
2. كشف
3. واكنش

بر همين اساس IDS هر را مي توان بر اساس رو شهاي تشخيص نفوذ، معماري و انواع پاسخ به نفوذ دسته بندي كرد.

1-1-    انواع رو شهاي تشخيص نفوذ

نفوذ به مجموعه ي اقدامات غيرقانوني كه صحت و محرمانگي و يا دسترسي به يك منبع را به خطر مي اندازد، اطلاق م يگردد. نفوذ ها مي توانند به دو دسته ي داخلي و خارجي تقسيم شوند. نفوذهاي خارجي به آن دسته نفوذهايي گفته مي شود كه توسط افراد مجاز و يا غيرمجاز از خارج شبكه به درون شبكه ي داخلي صورت مي گيرد و نفوذهاي داخلي توسط افراد مجاز در سيستم و شبكه ي داخلي، از درون خود شبكه انجام م يپذيرد.

نفوذ گرها عموماً از عيوب نر مافزاري، شكستن كلمات رمز، استرا قسمع ترافيك شبكه و نقاط ضعف طراحي در شبكه، سرويس ها و يا كامپيوترهاي شبكه براي نفوذ به سيست مها و شبك ههاي كامپيوتري بهره مي برند.

به منظور مقابله با نفوذگران به سيستم ها و شبك ههاي كامپيوتري، روش هاي متعددي تحت عنوان رو شهاي تشخيص نفوذ ايجاد گرديده است كه عمل نظارت بر وقايع اتفاق افتاده در يك سيستم يا شبكه ي كامپيوتري را بر عهده دارد. روش هاي تشخيص مورد استفاده در سيستم هاي تشخيص نفوذ به دو دسته تقسيم مي شوند:

1. روش تشخيص رفتار غير عادي
2. روش تشخيص سوءاستفاده يا تشخيص مبتني بر امضاء

1-2-    روش تشخيص رفتار غيرعادي

در اين روش، يك نما از رفتار عادي ايجاد مي شود. يك ناهنجاري ممكن است نشان دهنده ي يك نفوذ باشد. براي ايجاد نماهاي رفتار عادي از رويكردهايي از قبيل شبكه ها ي عصبي، تكنيك هاي يادگيري ماشين و حتي سيستم هاي ايمني زيستي استفاده مي شود.

براي تشخيص رفتار غيرعادي، بايد رفتارهاي عادي را شناسايي كرده و الگوها و قواعد خاصي براي آن ها پيدا كرد. رفتارهايي كه از اين الگوها پيروي مي كنند، عادي بوده و رويدادهايي كه انحرافي بيش از حد معمول آماري از اين الگوها دارند، به عنوان رفتار غيرعادي تشخيص داده مي شود. نفوذهاي غيرعادي براي تشخيص بسيار سخت هستند، چون هيچگونه الگوي ثابتي براي نظارت وجود ندارد. معمولاً رويدادي كه بسيار بيشتر يا كمتر از دو استاندارد انحراف از آمار عادي به وقوع مي پيوندد، غيرعادي فرض مي شود. به عنوان مثال اگر كاربري به جاي يك يا دو بار ورود و خروج عادي به سيستم در طول روز، بيست بار اين كار را انجام دهد، و يا كامپيوتري كه در ساعت 2:00 بعد از نيمه شب مورد استفاده قرار گرفته در حالي كه قرار نبوده كامپيوتر فوق پس از ساعت اداري روشن باشد. هر يك از اين موارد مي تواند به عنوان يك رفتار غير عادي در نظر گرفته شود.

تكنيك ها و معيارهايي كه در تشخيص رفتار غيرعادي به كارمي روند، عبارتند از: