مطلوب بحث عن Intrusion Detection

اولا ليس خاص بالذكاء الصناعي 100 بالمئة..

ببساطة لان الموضوع مكتوب فيه كتب و يحتاج شوية قراءة

في حالة الهجوم على نظام معين فان لقرصان يستعمل ثغرات النظام ليدخل و يتحكم به. يعني انه في حالة عدم وجود الثغرة فان النظام امن. لكننا نعرف انه من المستحيل ان لا توجد ثغرة في نظام مصمم...

اذن بصفتك مدير للنظام فانك موجب ان تقوم بترقيع الثغرات كل ما وجدت واحدة لكن.... ماذا عن ثغرات اليوم صفر التي لا يوجد ترقيع لها (لان الهجوم العارم يبدأ في يوم واحد كالفيروسات مثلا). ال IDS يعتبر حلا لهذه المشكلة حيث يقوم بمراقبة تصرف النظام و يخبرك عن اي شذوذ في ال profile كتجاوز عدد البرامج التي تعمل او threads و عدد الاتصالات مع احد المواقع.. في تلك الحالة فانه يتبع اجراءات لتوقيف الخلل باغلاق الاتصال او ما شابه.

المهم الطرق التي اعرفها للتعرف على المشكلة تصنف الى قسمين

- التاكد من تصرف النظام.. يتم التاكد عن طريق تمرير احصائيات لكل المعايير التي نريد ان نراقبها الى برنامج احصائي ليحسب نسبة التقارب مع التصرف المثالي (نحدده يدويا او نقوم بجعل الحاسوب يحسبه بعد مدة). في حالة تجاوز النسبة 1 يقوم النظام بتوقيف البرنامج او البورت الذي يحدث المشكل

- التاكد من تواقيع الهجومات المعروفة .. حيث يتم تخزين قاعدة بيانات كبيرة تحتوي على اي توقيع لهجوم او فايروس معروف

اما بخصوص الذكاء الاصطناعي فاذكر اني رايت ورقة بحث تتكلم عن اكتشاف التقارب في التصرف او التوقيع باستعمال الشبكات العصبونية ..

و الله اعلم

السلام عليكم.

أخ fkugd2003 كلامك سليم لكن عندي ملاحظة فقط

اقتباس

في تلك الحالة فانه يتبع اجراءات لتوقيف الخلل باغلاق الاتصال او ما شابه.

لاحظ من إسمه هو IDS نظام كشف دخلاء أي أنه لا يقوم بأي إجراء اما المقصود من كلامك هو IPS

Intrusion Prevent System

:)

المهم IDS فيه أنواع منها Host-Based و Network-Based .

هنالك كتاب يستحظرني الأن وهو جيد ومفيد وهذا الرابط:

Protect Your Information with Intrusion Detection

اما فيما يخص الذكاء الصناعي فكنت قد قرأت paper تتحدث عن IDES إختصار instrusion Detection Expert System

تجده هنا:

http://www.sdl.sri.com/projects/nides/

اهلا اخي data_sniper ربما لم اقم بصياغة العبارة بصورة صحيحة..

الصورة التالية توضح التصور (اسف بالفرنسية)

اقتباس

instrusion Detection Expert System

هذه جديدة وشيء جميل حقيقة , لأن ال IDS تحتاج لتحديثات دورية كما قواعد بيانات الفيروسات والديدان أيضا وعددها كبير جدا "قد يكون أكثر بكثير من قواعد بيانات الفيروسات" لأن المقارنة تتم على مستوى ال payload في الباكت إن كان فيها شيء مريب مشابه لنوع هجوم معين .والعملية فيها false positives كثيرة جدا لذلك تحتاج لتخصص ومدة للخلوص لأفضل النتاج .

IPS لاتقوم فقط بإظهار التحذيرات عن أنواع الهجمات التي تمت لكن تتخذ إجراء مناسب أيضا قدي كون إيقاف الآيبي المهاجم بشكل كامل أو بشكل جزئي , مثلا snort في الأنظمة المفتوحة يعمل بطور ال IDS ويمكن أن يعمل ك IPS ليستلم الترافيك مباشرة من iptables "الجدار الناري" ويقوم بالتصرف بشأن الباكتات المشبوهة .

http://www.snort.org/

اقتباس

ستوى ال payload في الباكت إن كان فيها شيء مريب مشابه لنوع هجوم معين .والعملية فيها false positives كثيرة جدا لذلك تحتاج لتخصص ومدة للخلوص لأفضل النتاج .

لذلك مسؤول الأمن الموجود على السيرفر يكون له تفحص دوري لل Log فلو تلاحظ موقع honeynet في تحدياتهم تكون التحديات هجمات حقيقية "على ما اظن" وتحليلها يتطلب دقة وتمييز "بشري".

اقتباس

IPS لاتقوم فقط بإظهار التحذيرات عن أنواع الهجمات التي تمت لكن تتخذ إجراء مناسب

born to kill :)

والسلام عليكم.