入侵检测技术建设及其应用场景详解

一、入侵行为定义

入侵行为是指来自具有不可靠意识（潜在的、有预谋的、未经授权的访问，企图致使系统不可靠或无法使用）的入侵者通过以下非正常过程手段对信息系统安全三元组（CIA）造成破坏的恶意行为：

• 未经正常身份标识
• 未经身份认证
• 无对象访问授权
• 逃避审计
• 逃避可问责

信息安全三元组(CIA)：

• C (机密性)：防止未授权的信息泄露
• I (完整性)：防止未授权的信息修改
• A (可用性)：确保信息和系统资源可被授权用户访问

二、入侵检测技术概述

现代定义

入侵检测技术是对已有入侵防御技术的补充，是入侵检测实施主体通过建立入侵检测体系和知识库，实现以下功能的手段：

• 预防入侵
• 检测入侵
• 缓解入侵
• 还原入侵过程
• 事件响应

传统过时定义

"入侵检测是防火墙的合理补充，帮助系统对付网络攻击，扩展了系统管理员的安全管理能力（包括安全审计、监视、进攻识别和响应），提高了信息安全基础结构的完整性。"

技术结构组成

1. 入侵检测体系：对抗入侵行为的制度和框架
2. 入侵检测知识库：检测规则、模型和策略的集合
3. 入侵检测实施主体：执行检测的人员或组织

三、入侵检测技术解决的问题

1. 弥补访问控制短板：通过特征、模型、异常检测等手段补充精细特征防御方案的不足
2. 消除监控盲区：解决因部署位置或监控策略导致的防御盲区（如边界IPS无法检测内部滥用）
3. 防御绕过防护：在高可用场景下防御宽松策略导致的入侵行为
4. 复杂行为检测：发现单次正常但组合异常的行为链
5. 未知威胁发现：检测无法基于已有特征判断的异常行为

四、入侵检测体系详解

体系解决的问题

1. 商业化方案适配问题

   • 环境适配难
   • 扩容性差
   • 扩展性差
   • 定制性差
   • 关联性差

2. 检测效率问题

   • 通过实例交叉验证降低误报率
   • 避免"狼来了"效应

3. 标准化流程缺失

   • 建立制度、策略、规范流程
   • 提升整体检测能力而非依赖个人经验

4. 复杂场景感知

   • 提升技术间协同
   • 提升体系元素协同
   • 解决静态资源检测不足

5. 经验赋能问题

   • 通过事件复盘优化知识库
   • 知识库反哺系统形成闭环

6. 过度耦合问题

   • 制度、策略、框架适度解耦
   • 避免人员变动影响系统

入侵检测框架

入侵检测框架是为入侵检测系统实例提供设计标准的指导思想，包括：

设计标准：

• 稳定性
• 鲁棒性
• 维护性
• 扩展性
• 关联性
• 可维护性
• 自身安全性

功能模块：

1. 事件产生引擎
2. 事件采集引擎
3. 事件数据处理引擎
4. 事件数据库
5. 事件流处理引擎
6. 事件告警引擎

五、入侵检测系统实例

1. 基线监控系统

   • 基于安全策略基线的采集、审计、配置
   • 可整合至HIDS或使用OS高级审核功能

2. 网络入侵检测系统(NIDS)

   • 基于网络流量特征、模型及启发式逻辑
   • 包括传统NIDS和基于模型的Web IDS/WAF

3. 终端入侵检测系统(HIDS)

   • 基于终端行为监控可疑操作

4. 反病毒系统(AV)

   • 基于终端监控恶意程序执行

5. 防泄漏系统

   • 终端或网络层面的机密保护
   • 包括透明加解密(HDLP)、网络行为审计(NDLP)

6. 公共流数据处理引擎

   • 统一处理多源事件数据

7. 公共安全信息事件管理系统

   • 事件告警、展示、管理

8. 威胁情报系统

   • 主动获取或购买威胁情报

9. 恶意样本分析沙箱

   • 动静态结合的未知文件分析

10. 蜜罐诱饵系统

    • 伪/实结合的陷阱系统收集入侵情报

11. 其他可扩展系统

六、入侵检测框架流程

1. 单实例单点感知：直接异常检测
2. 单实例多点感知：时序异常检测
3. 多实例组合检测：短时间内多个实例异常的组合事件检测

七、Webshell场景应用示例

（此处可根据实际需求补充具体Webshell检测的框架应用实例，包括各系统实例如何协同工作检测Webshell攻击）