网络安全之入侵检测系统

一 入侵检测定义

1. 入侵：指一系列试图破坏信息资源机密性、完整性和可用性的行为。对信息系统的非授权访问及（或）未经许可在信息系统中进行操作。
2. 入侵检测：是通过从计算机网络系统中的若干关键节点收集信息，并分析这些信息，监控网络中是否有违反安全策略的行为或者是否存在入侵行为，是对指向计算和网络资源的恶意行为的识别和响应过程。
3. 入侵检测系统（IDS）：入侵检测系统通过监视受保护系统的状态和活动，采用异常检测或滥用检测的方式，发现非授权的或恶意的系统及网络行为，为防范入侵行为提供有效的手段，是一个完备的网络安全体系的重要组成部分。入侵检测的软件与硬件的组合，是防火墙的合理补充，是防火墙之后的第二道安全闸门。
4. 入侵检测的内容：

二 典型的IDS技术

• IDS起源与发展：审计技术：产生、记录并检查按时间顺序排列的系统事件记录的过程，通常用审计日志的形式记录。
• 审计的目标
  1. 确定和保持系统活动中每个人的责任
  2. 重建事件
  3. 评估损失
  4. 监测系统的问题区
  5. 提供有效的灾难恢复
  6. 阻止系统的不正当使用
• 入侵检测流程：信息收集、信息分析、结果处理

1. 信息收集

1. 信息分析

• 模式匹配：就是将收集到的信息与已知的网络入侵和系统误用模式数据库进行比较，从而发现违背安全策略的行为。
• 统计分析：首先给系统对象（如用户、文件、目录和设备等）创建一个