***检测与网络审计产品是孪生兄弟吗？
2024-05-11 09:32:06
***检测与网络审计产品是孪生兄弟吗？<?xml:namespace prefix = o ns = "urn:schemas-microsoft-com:office:office" />
Jack zhai
***检测系统(IDS)是网络安全监控的重要工具，是网络“街道”上的巡警，时刻关注着网络的异常行为；网络审计是用户行为的记录，是网络“大楼”内的录像机，记录各种行为的过程，作为将来审核“你”的证据。
我们常见的楼宇监控，在保安值班室内有一个大电视墙，工作人员实时在看的，属于IDS类型，监控系统需要人的实时参与，发现异常，及时报警、处理。公共场合内银行的ATM机前有录像系统，属于审计类型的产品，当需要查看是谁在什么时间进行的操作时，调出时的记录，进行取证。
从表面上看，两个产品都采用了网络的“摄像”，对网络信息抓取并分析，其实两个产品技术出自“同源”---系统的日志分析，好象一对孪生的兄弟；“龙生九子，各有不同”，后天环境的不同，两个产品功能属性大不相同。
一、 “遗传”特性
IDS需要对***行为及时检测并做出判断；审计需要对用户行为全程记录，两者好象“风牛马不相及”，要说相似，是因为他俩共同的“祖先”，从对主机日志的分析技术发展起来的，随着安全目标的不同，一个注重事件的“关联分析”，一个注重事件的事后重现，虽然后来两者差距越来越大，但其技术与产品还有很多相似点，下面我们总结了几点：
1) 产品设计架构
IDS与审计产品都是安全分析类产品，采用“并联”在网络上的方式，不影响业务的性能。在产品的设计架构上基本相同，分为控制中心、数据库、控制台、数据收集引擎几个部分，采用分布式的部署方式。
<?xml:namespace prefix = v ns = "urn:schemas-microsoft-com:vml" />
2) 信息获取
n 从网络上信息收集方式
典型的方式就是网络链路的端口镜像(若是光链路也可以用分光设备)，就是把正常网络的通讯信号(数据)复制一份给镜像设备。图中蓝线是IDS的信息收集，红线是审计的信息收集。多对一的镜像也可以根据产品的部署情况采用单独的数据收集引擎，根据流量采用一对一镜像，或多对一镜像。
n 从主机上信息收集方式
在主机上收集信息一般要安装Agent软件，也可以通过Syslog、SNMP等通讯协议从主机中获取。主机IDS技术的早期也是对系统的日志进行分析，后来发展到对主机的进程、状态进行监控；主机的系统操作日志、安全日志，数据库上的操作日志，也同样是审计系统的数据来源。
3) 业务识别技术
收集到的信息需要进一步处理，从网络镜像来的数据包，首先要还原成通讯协议，定位到具体的通讯连接，也就是我们常说的业务识别技术。IDS与审计的业务识别技术基本是相同的。
无论是分析是否为***，还是要记录用户的行为过程，识别出用户具体在做什么都是必然的。对于标准协议的识别与匹配相对是容易的，但是很多应用采用了加密，或隐藏在其他的通讯协议中，如P2P等，要识别起来就比较麻烦，在流量管理技术中识别一般采用特征匹配技术，但是应用的特征多，而且变化快，对于IDS设备来说，面对的***是未知的，可能是通过各种通讯手段的，所以对特征的识别要求较高一些；而对于审计产品来说，要审计的应用是已知的，系统不提供的服务也没有必要进行审计，所以对特征识别需要简单一些。
二、 “变异”特性
遗传保留的了两者的框架基础，变异产生了不同的产品应用。IDS与审计是为了不同的安全防护目的而设计的，“后天的”变化是必然的，其实他们根本就是不同类别的安全产品，不是“一条路上的人”。IDS设备作为安全监控的重要手段，审计是事后取证的安全产品。尽管两个产品长得很像(产品部署形态)，但其内部是大不同的：
1、 关键安全技术不同
n IDS是监控产品，重点是及时分析出***行为，其关键的技术是对***的识别，也就是行为匹配分析技术，无论是用户行为的匹配，还是统计异常的方法，都要在最短的时间内做出判断，是***则动作，不是***则放过。为了避免“敌人”漏网，一般对“疑似”的病例一律通告，最终的判断可以由人来决定。
n 审计产品的重点是日后的重现，不仅是行为动作，还有具体细节，所以审计产品对收集的数据整理后，首要的问题是如何存储，网络中的流量是庞大的，所以什么都存的话，不仅量大，而且存储的时间也紧张，比如公安的监控录像要求就是存三个月就可以了，但业务的审计可能需要几年、甚至几十年，所以如何规范数据，如何存储是审计产品的一个关键。另外对于过程重现来说，在庞大的数据里搜寻到需要的、具体某人的、特定的行为，在把他重放一遍，这个过程本身就已经比较复杂了。
2、 对收集信息的关注点不同
同样是网络镜像的数据，IDS在识别出是谁后，关注的是他的行为是否有***意图，也就是他动作的“合法性”，IDS是面对外来人的，所以更关心进门的“人”是否具有合法的身份，对做的工作是否有合法的授权，至于他如何做的，IDS就不关心了；而审计产品是面对内部人员的，不到具体人的审计意义是不大的，所以要记录他具体干了些什么，审计的是他工作的内容是否合法，不仅知道他怎么进的大门，而且知道他在房间了都具体做了什么事情，怎么做的……
3、 对通讯协议的识别是不同的
IDS检测外来的***，所以要关注所有可能的***隐藏通讯方式，要识别的应用是多方面的，尤其是隐藏在通用协议中的“私有”通讯，应为隐藏自己的真实目的是***者经常用的手段。但审计产品对是企业内部关注的业务行为进行审计，如上网行为、数据库操作等，即使是第三方的运维人员，其工作方式也可以通过制度等管理手段进行限制为有限的方式，识别的协议有限，但对具体的“动作”要识别的深入，如数据库审计要审计到具体数据库操作命令的细节。IDS注重识别的广度，非标准的通讯协议需要用“特征”识别；审计产品注重识别的深度，对于加密的通讯，可以在加密的一方端点直接采用非密文审计。
三、 “兄弟联手”策略
IDS与审计产品都采用了“旁路”的镜像方式部署，而且关心的网络链路大多也是相同的，所以当客户分别部署监控与审计安全产品时，经常出现的一个现象是：一个端口要镜像给两个目标端口，分别到不同数据收集引擎，而且这两个引擎的前期工作原理还非常接近。
在分布式的产品结构中，数据收集引擎与处理中心是分离的，我们可以把IDS与审计产品的数据收集引擎部分功能分离，进而合并两个引擎为一个。这样做的好处，其一是减少了业务链路镜像出来的端口数。其二是减少了网络上引擎设备的数量。其三是把镜像分析的数据引擎通用化，可以减低产品的成本，也方便未来新镜像系统的部署。
小结：安全监控与审计是网络安全建设中不可缺少的两个方面，无论是公安部的信息系统等级保护要求，还是×××的涉密信息系统技术要求，监控与审计都是必选项，而且还有细颗粒度的要求。合理、有效地部署监控与审计系统，对于保护你网络的安全是重要的，而且是必要的。
转载于:https://blog.51cto.com/zhaisj/77724
***检测与网络审计产品是孪生兄弟吗？相关推荐
- 入侵检测与网络审计产品是孪生兄弟吗？
入侵检测系统(IDS)是网络安全监控的重要工具,是网络"街道"上的巡警,时刻关注着网络的异常行为:网络审计是用户行为的记录,是网络"大楼"内的录像机,记录各种行 ...
- 日志审计产品（转载）
由于业务需要,在网上粗略整理了一些日志审计系统: 安恒明御 天融信网络卫士 网御神州SecFox-LA Manageengine -Event Analyzer 分类 安恒明御 天融信网络卫士 网御神 ...
- AI主播首次上岗CCTV，撒贝宁有了个虚拟孪生兄弟“小小撒”
雷刚 发自 凹非寺 量子位 报道 | 公众号 QbitAI 虚拟和现实同台,小撒小小撒两开花. 春节要到了,春晚也近了,央视自然也势头热闹起来. 不过今时不同往日,就在今年网络春晚中,AI的一小步, ...
- 【工控安全产品】工控网络审计与监测系统
简介 工控监控与审计系统,是通过对流量进行分析,专门针对工业控制网络的信息安全审计系统.它采用旁路部署,对工业生产过程"零风险",基于对工业控制协议(如IEC104.S7.DNP3 ...
- CVPR 2020 | CentripetalNet：目标检测新网络，COCO 48 % AP超现所有Anchor-free网络
点击上方"3D视觉工坊",选择"星标" 干货第一时间送达 Anchor-free目标检测新网络,在COCO上可达48 AP!性能优于CenterNet.RPDe ...
- 数据库审计产品购买者指南
引言 随着信息技术的不断发展,数字信息逐渐成为一种重要资产,尤其是在过去的20多年里,作为信息的主要载体--数据库,其相关应用在数量和重要性方面都取得了巨大的增长.包括政府机构.企事业单位.制造业.商 ...
- 数据库审计产品应该怎么选？
随着数据价值的不断提升,从政策到用户对于数据安全重视程度越来越高,数据库审计产品作为一款部署简单,不用对现有IT架构进行任何改变,又能够满足政策合规需求的产品,是很多用户保障数据安全和合规需求的首选产 ...
- 数据库审计产品给用户带来哪些益处?
本文讲的是数据库审计产品给用户带来哪些益处,1. 满足合规性要求,顺利通过IT审计 目前,越来越多的单位面临一种或者几种合规性要求.比如,在美上市的中国移动集团公司及其下属分子公司就面临SOx法案的合 ...
- 数据库审计产品购买指南
随着信息技术的不断发展,数字信息逐渐成为一种重要资产,尤其是在过去的20多年里,作为信息的主要载体--数据库,其相关应用在数量和重要性方面都取得了巨大的增长.包括政府机构.企事业单位.制造业.商业等在 ...
最新文章
- React状态管理大乱斗，横向对比Dva,Rematch,Mirror
- 吴恩达深度学习课程deeplearning.ai课程作业：Class 4 Week 2 Keras - Tutorial - Happy House
- [Project Euler] 来做欧拉项目练习题吧: 题目017
- java markdown转word_一键将 Word 转换为 Markdown
- Kafka : kafka重启报错 ZkClient allready closed
- 【Algorithm】冒泡排序
- [论文阅读] AMPNet: Average- and Max-Pool Networks for Salient Object Detection
- A*算法及其matlab实现
- 《Crazy sand》感人的沙画艺术
- java 盲水印_3步搞定图像盲水印？试试云开发扩展能力
- 概率图模型(总结篇)
- word文件损坏打不开如何修复?
- SaaS前世今生：老树开新花
- Win7 + VirtualBox安装Mac OS X雪豹操作系统图文详解[转]
- MPP文件怎么打开 五种方法最合适
- 21种实验室常用仪器对送检样品的要求汇总，请收好！
- ssh连接openwrt_如何将SSH无密码连接到OpenWrt路由器？
- 国内智能音箱生态系统对比分析
- Codeforces 833D Red-Black Cobweb [点分治]
- Ac4GlcNAz，98924-81-3，N-乙酰葡糖胺叠氮基，可以进行糖化学修饰