内容安全(深度行为检测技术、IPS、AV、入侵检测方法)

1、深度行为检测技术

深度行为检测技术:是一种基于深度学习和机器学习的技术,它通过分析用户在网络中的行为模式,识别异常或潜在威胁行为,从而保护网络安全和内容安全

分类:

  1. 深度包检测技术(Deep Packet Inspection,DPI)
  2. 深度流检测技术(Deep Flow Inspection,DFI)

1.1 深度包检测技术

深度包检测技术:是一种基于网络层的安全技术,主要用于识别和控制网络流量。它可以检测每个数据包的内容,包括应用层协议、数据负载等,以确定数据包的来源、目的、类型等信息。

针对完整的数据包,进行内容的识别和检测

深度包检测技术可分为三类:

  1. 基于“特征字”的检测技术
  2. 基于应用网关的检测技术
  3. 基于行为模式的检测技术

1)基于“特征字”的检测技术

特征字:是指在特定的网络协议、应用程序或数据中具有独特标识意义的字符串或字节序列

基于特征字的包检测技术主要针对数据包中的特征字,例如Host字段、UA字段等等

可以通过User-Agent字段来识别PC端或手机端,从而进行控制等

2)基于应用网关的检测技术

基于应用网关的检测技术:有些应用控制和数据是分离的,比如一些视屏流。一开始会通过TCP协议链接之后,协商一些参数,这部分我们称为信令部分。只写正式传输数据流量通过UDP协议,而这部分流量是没有可以识别的特征的。因此,这些应用可以基于应用网关来进行检测,即基于前面的信令部分来进行识别和控制

3)基于行为模式的检测技术

基于行为模式的检测技术:是一种通过分析用户或系统的行为模式来识别异常或潜在威胁的方法。通过收集和分析用户或系统的行为数据,建立正常行为模式,并实时监测和比较当前行为与正常行为模式之间的差异,从而识别出异常或潜在威胁

例如,一个人每天都只发送两封邮件,那它的正常行为模式就是每天只发送二三封邮件,突然下周开始每天都发送五六封邮件,再下下周每天都发送二三十封邮件,那么此时可能会被识别为异常或威胁

工作原理:数据收集、模型建立、实时监控

1.2 深度流检测技术

深度流检测技术:基于数据流进行识别检测的技术,以流为基本研究对象,关注的是整个网络流数据的行为和特诊

DPI和DFI的对比:

  1. DFI仅对流量行为分析,只能对应用类型进行笼统的分类,无法做到精细的识别
  2. 如果流量进行加密的话,DPI在没有解密的情况下可能无法识别,但DFI不受影响

DPI和DF性能对比:

  1. 处理速度:DFI的处理速度相对快,因为它不需要对每个数据包进行深度分析。基于DFI的系统可以达到线速10Gbit/s,而基于DPI的带宽管理系统的处理能力仅达到1Gbit/s
  2. 维护成本:DFI的维护成本相对较低,因为同一类型的新应用与旧应用不会出现大的变化,因此不需要频繁升级流量行为模型。而基于DPI的带宽管理系统需要紧跟新协议和新型应用的产生而不断升级后台应用数据库
  3. 识别准确率:DPI能够提供精细的识别准确率,而DFI在应对复杂的网络攻击时表现出色

2、IDS入侵防御系统

IDS(Intrusion Detection System):入侵检测系统,是一种侧重于风险管理的网络安全设备,只能检测网络流量和系统活动,以识别潜在的安全威胁,不能直接处理。IDS通过收集和分析网络数据包、系统日志和其他相关信息,来检测可能的恶意行为、漏洞利用和攻击尝试。

优势:部署灵活,可以旁路部署,对原网络没有任何影响

劣势:具有一定的滞后性

早期的IDS误报率较高

3、IPS入侵防御系统

IPS(Intrusion Prevention System):入侵防御系统,一种侧重于风险控制的网络安全设备,用于检测和防止网络攻击。可以在检测风险的同时,处理问题,从而减少或消除潜在的损害

需要串联部署在网络中

优势:

  1. 实时阻断攻击
  2. 深层防护,可以深入到应用层,进行精准的威胁识别
  3. 全方位的防护
  4. 内外兼防
  5. 不断升级,精准防护

劣势:

  1. 误阻断:检测到攻击时会主动阻断,可能会误阻断一些合法的网络流量
  2. 配置复杂性:IPS的配置和管理相对于IDS较复杂
  3. 性能瓶颈:IPS在处理大量网络流量时,可能会成为性能瓶颈

4、入侵检测的方法

1)异常检测

异常检测:基于一个假定,我们认为用户的行为是遵循一致性原则的

2)误用检测

误用检测:创建一个异常行为特征库,将入侵行为的特征记录下来并记录成签名,之后根据到达的流量特征和签名进行对比,判断是否存在异常

签名:指用来描述网络入侵行为特征的一种方式,将异常行为的特征记录下来进行HSAH。通过比较报文特征和签名来检测入侵行为。

  • 预定义签名:系统预先定义的大量签名,已经预先设置了匹配该签名的签名动作为阻断或告警。设备出厂时一家在了预定义签名库,一般这个特征库需要购买liense(许可证)后才可获取。(如果购买了liense后,可以对接华为的安全中心多特征库进行更新)
  • 自定义签名:网络管理员可以根据自定义的需求来创建威胁签名

预定义签名,我们只能修改其默认的执行动作,以及启用与否,其他的都不能修改

可以执行的动作分为三类:

  1. 放行:数据允许通过,不会记录日志
  2. 告警:数据允许通过,但是会记录日志
  3. 阻断:数据不允许通过,并且会记录日志

5、防火墙中IPS使用

注意:所有的修改需要进行提交,不提交不生效,提交相当于重启了IPS模块,才能使新加的或者修改的东西生效

预定义签名库可以在此查看:

查看自己的License:

升级特征库:

在线升级:

  • 定时升级:选择时间进行定时升级
  • 立即升级:立即同步网上的特征库

本地升级:选择本地特征库文件进行升级,也可以先从网上下载特征库后,从本地文件进行本地升级

预定义签名信息:

ID:区分不同的签名

对象:针对设备的身份,为服务器/客户端。注意,一般将发起连接的设备角色认定为客户端,响应连接并提供服务的角色认定为服务器。

操作系统:该入侵行为针对的操作系统

严重性:该行为一旦爆发之后,对我们网络系统的影响程度的评级

协议/应用程序:这种攻击所承载的协议或者应用

自定义签名:

如果勾选了关联签名,则该签名的命中条件变为规定时间内命中关联签名的次数或者阻断时间

自定义签名的签名规则:

报文:逐包检测

消息:一次完整的请求和应答的过程被认定为一个消息

数据流:基于五元组来判断是否为一个数据流

按顺序检测:

  • 勾选,则下面检查项列表中的检查项执行自上而下逐一匹配,如果匹配上,则不再继续匹配
  • 不勾选,则下面检查项列表中的检查项为“且”的关系,需要都满足才算命中

选择协议中的字段

匹配:则会检测数据包中和后面值里面完全相同的数据

前缀匹配:匹配以后面值开头的内容

偏移是指从匹配到的值后面,偏移几位开始匹配内容

搜索字节数是指从匹配位置开始,搜索的长度

例如,当偏移为2,搜索字节为10时,根据上文代表从字段HTTP.HeadContent中从www的后两位匹配长度为10的内容

IPS入侵防御文件配置:

1)签名过滤器:

如果选择采用签名的缺省动作,一个流量同时匹配上多个签名,如果所有动作都是告警,则直接告警,如果有一个动作是阻断,则执行阻断操作。

如果配置多个签名过滤器,则将自上而下逐一匹配

2)例外签名

例外签名:可以将签名过滤器中的部分签名放在例外签名中,可以执行单独的动作

隔离源IP和目标IP:实质是阻断的同时,将地址放入黑名单中,进行访问限制,超时时间为黑名单中的老化时间

3)协议异常检测

针对协议的异常进行控制

调用入侵防御策略(安全策略中调用)

注意安全策略的顺序,防止匹配了前面的安全策略,导致自己的入侵防御配置无效

6、AV反病毒

AV反病毒:是一种用于保护计算机系统免受病毒、木马、蠕虫等恶意软件侵害的安全机制。侧重于文件以及邮件中病毒的查杀
代理扫描:需要缓存文件,倒是效率较低,并且文件过大可能无法缓存,导致直接放过造成安全风险,但是其检测力度较强可以应对压缩以及脱壳的情况
流扫描:基于文件片段进行扫描,效率较高,但检测率有限

病毒的分类:

病毒的杀链:

个别病毒的工作原理:

防病毒流程:

AV反病毒配置文件:

病毒例外:相当于是病毒的白名单,为了防止过渡防御的场景,将一些病毒放入例外之中,将检测到的该病毒视为误报,将文件直接放行
应用例外:将特定的应用设置为例外,可以单独执行动作
宣告和删除附件:只针对Pop3和SMTP协议

  • 宣告:不删除附件,但是会在邮件正文中添加提示信息
  • 删除附件:直接删除附件,并且会在邮件正文中添加提示信息

例:内网用户有通过外网web服务器下载文件的需求,并且,外网用户有通过内网FTP服务器上传文件的需求,针对这两种场景进行反病毒处理。

7、URL过滤

URL:统一资源定位符

URI:统一资源的标识符URL过滤的方式

URL包含URI,URL的作用是定位/访问到资源目录中的文件

静态网页
动态网页

URL过滤方式:

  1. 通过黑白名单进行过滤
  2. 预定义的URL分类:本地缓存查询和远程分类服务查询(使用该功能,则需要激活liense)
  3. 自定义的URL分类

注意:

1)自定义URL分类的优先级高于预定义的优先级

2)如果远程分类服务查询都无法确认该URL的分类,则该URL将按照“其他”类的动作进行执行

HTTP协议获取URL的方式:

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://xiahunao.cn/news/3247475.html

如若内容造成侵权/违法违规/事实不符,请联系瞎胡闹网进行投诉反馈,一经查实,立即删除!

相关文章

【Redis7】高阶篇

1 Redis单线程 VS 多线程(入门篇) 1.1 面试题 redis到底是单线程还是多线程? IO多路复用听说过吗? redis为什么快? 1.2 Redis为什么选择单线程? 1.2.1 是什么 这种问法其实并不严谨,为啥这么说呢? Redis的版本…

通用图形处理器设计GPGPU基础与架构(四)

一、前言 本文将介绍GPGPU中线程束的调度方案、记分牌方案和线程块的分配与调度方案。 二、线程束调度 在计算机中有很多资源,既可以是虚拟的计算资源,如线程、进程或数据流,也可以是硬件资源,如处理器、网络连接或 ALU 单元。调…

【DGL系列】DGLGraph.out_edges简介

转载请注明出处:小锋学长生活大爆炸[xfxuezhagn.cn] 如果本文帮助到了你,欢迎[点赞、收藏、关注]哦~ 目录 函数说明 用法示例 示例 1: 获取所有边的源节点和目标节点 示例 2: 获取特定节点的出边 示例 3: 获取所有边的边ID 示例 4: 获取所有信息&a…

PyTorch张量索引

文章目录 1、简介1.1、基本概念1.2、索引类型1.3、数据准备1.4、技术摘要⭐ 2、简单行、列索引3、列表索引4、范围索引5、布尔索引6、多维索引 🍃作者介绍:双非本科大三网络工程专业在读,阿里云专家博主,专注于Java领域学习&#…

未来的社交标杆:如何通过AI让Facebook更加智能化?

在当今信息爆炸的时代,社交媒体平台的智能化已成为提高用户体验和互动质量的关键因素。Facebook,作为全球最大的社交平台之一,通过人工智能(AI)的广泛应用,正不断推进其智能化进程。本文将探讨Facebook如何…

Postman安装使用教程(详解)

目录 一、Postman是什么 二、安装系统要求 三、下载Postman 四、注册和登录Postman 五、创建工作空间 六、创建请求 一、Postman是什么 在安装之前,让我们先来简单了解一下Postman。Postman是一个流行的API开发工具,它提供了友好的用户界面用于发送…

web安全之跨站脚本攻击xss

定义: 后果 比如黑客可以通过恶意代码,拿到用户的cookie就可以去登陆了 分类 存储型 攻击者把恶意脚本存储在目标网站的数据库中(没有过滤直接保存),当用户访问这个页面时,恶意脚本会从数据库中被读取并在用户浏览器中执行。比如在那些允许用户评论的…

llama-index,uncharted and llama2:7b run locally to generate Index

题意:本地运行 llama-index、uncharted 以及 llama2:7b 来生成索引 问题背景: I wanted to use llama-index locally with ollama and llama3:8b to index utf-8 json file. I dont have a gpu. I use uncharted to convert docs into json. Now If it …

Linux openEuler_24.03部署MySQL_8.4.0 LTS安装实测验证安装以及测试连接全过程实操手册

Linux openEuler_24.03部署MySQL_8.4.0 LTS安装实测验证安装以及测试连接全过程实操手册 前言: 什么是 MySQL? MySQL 是一个关系型数据库管理系统,由瑞典 MySQL AB 公司开发,目前属于Oracle 公司。MySQL 是一种关系型数据库管理系统,关系型数据库将数据保存在不同的表中,…

捷配总结的SMT工厂安全防静电规则

SMT工厂须熟记的安全防静电规则! 安全对于我们非常重要,特别是我们这种SMT加工厂,通常我们所讲的安全是指人身安全。 但这里我们须树立一个较为全面的安全常识就是在强调人身安全的同时亦必须注意设备、产品的安全。 电气: 怎样预…

基于python的百度资讯爬虫的设计与实现

研究背景 随着互联网和信息技术的飞速发展,网络已经成为人们获取信息的主要来源之一。特别是搜索引擎,作为信息检索的核心工具,极大地改变了人们获取信息的方式。其中,百度作为中国最受欢迎的搜索引擎之一,其新闻搜索…

Mojo编程语言:AI开发者的新宠儿

Mojo编程语言是AI开发者的新宠儿。 随着人工智能技术的飞速进步,编程语言的选择也变得越来越关键。近年来,Mojo编程语言凭借其独特的优势迅速崛起,成为AI开发者的新宠儿。那么,是什么让Mojo如此特别?为什么它会在众多…

知识分享:网贷大数据查询会影响个人征信吗?

随着人们对传统征信的认识不断加深和对个人征信的重视,部分网友就有一种疑问,那就是关于网贷大数据查询对征信有没有影响的问题,小易大数据小编就用本文就为大家详细讲解一下,希望对你了解网贷大数据有帮助。 首先网贷大数据与征信…

如何通过DBC文件看懂CAN通信矩阵

实现汽车CAN通信开发,必不可少要用到DBC文件和CAN通信矩阵。 CAN通信矩阵是指用于描述 CAN 网络中各个节点之间通信关系的表格或矩阵。它通常记录了每个节点能够发送和接收的消息标识符(ID)以及与其他节点之间的通信权限。 通信矩阵在 CAN 网…

无需业务改造,一套数据库满足 OLTP 和 OLAP,GaiaDB 发布并行查询能力

在企业中通常存在两类数据处理场景,一类是在线事务处理场景(OLTP),例如交易系统,另一类是在线分析处理场景(OLAP),例如业务报表。 OLTP 数据库擅长处理数据的增、删、改&#xff0c…

Elasticsearch 企业级实战 01:Painless 脚本如何调试?

在企业级应用中,Elasticsearch 常常被用来处理复杂的数据查询和操作。 Painless 是 Elasticsearch 的内置脚本语言,虽然强大,但调试起来并不容易。 本文将详细介绍如何在实战中有效调试 Painless 脚本,以提高开发和运维效率。 本文…

百日筑基第二十三天-23种设计模式-创建型总汇

百日筑基第二十三天-23种设计模式-创建型总汇 前言 设计模式可以说是对于七大设计原则的实现。 总体来说设计模式分为三大类: 创建型模式,共五种:单例模式、简单工厂模式、抽象工厂模式、建造者模式、原型模式。结构型模式,共…

java基础之数组,int[]和ArrayList

开始学java的时候,对于 int[] 和ArrayList总是懵懵懂懂的,不知道啥时候用哪个。现在终于了解了,总结一下跟大家分享一下 int[]数组 创建// 方式一:创建一个固定的数组 int arr1 {1,2,3,4,5}; // 方式二:创建一个长度为10的数组 double[] ar…

28_EfficientNetV2网络详解

V1:https://blog.csdn.net/qq_51605551/article/details/140487051?spm1001.2014.3001.5502 1.1 简介 EfficientNetV2是Google研究人员Mingxing Tan和Quoc V. Le等人在2021年提出的一种深度学习模型,它是EfficientNet系列的最新迭代,旨在提…

HLS加密技术:保障流媒体内容安全的利器

随着网络视频内容的爆炸性增长,如何有效保护视频内容的版权和安全成为了一个亟待解决的问题。HLS(HTTP Live Streaming)加密技术作为一种先进的流媒体加密手段,凭借其高效性和安全性,在直播、点播等场景中得到了广泛应…