Разница между обнаружением аномалий и обнаружением поведения

Question

В системе обнаружения вторжений есть две технологии, называемые обнаружением аномалий и обнаружением поведения. Я внедряю IDS с нуля и проверял некоторые подписи, и с какого-то сайта они были предоставлены в качестве различных типов методов обнаружения. Какая в них принципиальная разница? Как мне кажется, оба они одинаковы и, следовательно, одни и те же подписи должны быть способны обнаруживать подобные атаки.

Пример обнаружения аномалий, приведенный на сайте: Обнаружение вызова функции, который не является частью обычного профиля

Пример определения поведения, указанный на сайте: Поиск любого удаленного вызова cmd.exe.

Теперь, как мне кажется, что оба являются одним и тем же, то есть отклонением от нормального поведения, так почему они были охарактеризованы как разные методы?

Answer 1

Существует действительно разница между обнаружением аномалий и поведенческим обнаружением.Прежде чем исследовать оба, я хотел бы отметить, что сообщество по обнаружению вторжений использует два дополнительных стиля: на основе неправильного использования (он же на основе сигнатуры) и на основе спецификации обнаружение, но покаони не связаны с вашим вопросом.

Обнаружение на основе аномалий

Определение: Двухэтапный подход, включающий в себя первую тренировку системы с данными, чтобы установить некоторое представление о нормальностиа затем используйте установленный профиль для реальных данных, чтобы пометить отклонения.

Пример : посмотрите на некоторые особенности доброкачественных URL-адресов, например, их длину, распределение символов и т. д., чтобы определить, что определить«нормальный» URL выглядит так.С этим понятием нормальности вы бы пометили URL, которые слишком далеко от нормальной длины URL или содержат слишком много ненормальных символов.

Плюсы:

• Может обнаружить потенциальноширокий спектр новых атак

Минусы:

• Может пропустить известные атаки
• Может пропустить новые атаки, если они не торчат вдоль наблюдаемого измерения
• Высокий процент положительных результатов (см. Ошибка базовой скорости )
• Чистота данных о тренировках (т. Е. Отсутствие атак)

Поведениеобнаружение на основе

Определение : поиск свидетельства компромисса, а не самой атаки.

Пример : мониторингистория оболочки для unset HISTFILE, команда, которая обычно вводится только злоумышленниками после взлома компьютера.

Плюсы:

• Может обнаруживать широкий спектр новых атак
• Низкие ложные срабатывания
• Может быть дешевым в развертывании и мониторинге

Минусы:

• Постфактум, атака уже произошла
• Легко уклониться после того, как известен

Answer 2

Действительно, «обнаружение на основе аномалий» и «обнаружение на основе поведения» не отличаются. Обнаружение поведения обычно встречается в таблицах поставщиков, и они ссылаются на шаблоны связи (и их особенности), которые они наблюдают / заполняют механизмом обнаружения.

Answer 3

Два основных типа IDS основаны на сигнатурах и аномалиях. Разница проста: на основе сигнатур IDS полагаются на базу данных известных атак, в то время как на основе аномалий наблюдают за поведением сети, профилируют нормальное поведение, и в случае любых аномалий эти аномалии вызывают отклонения, о которых он предупреждает.