15、入侵检测系统（IDS）：历史、架构与发展趋势

入侵检测系统（IDS）：历史、架构与发展趋势

1. IDS的主要任务

IDS（入侵检测系统）承担着多项关键任务，以保障系统和网络的安全：
1. 异常流量监测 ：检测那些虽不构成攻击，但可能违反组织特定安全策略的流量。例如，内部用户尝试登录无访问权限的系统、将大型数据库复制到终端用户笔记本等可疑活动。
2. 日志记录 ：记录所有安全和可疑事件，以便未来分析。多数情况下，这些日志信息会被发送到中央安全管理日志服务，供后续参考。
3. 警报通知 ：这是现代IDS工具常见的功能。通过多种方式通知安全管理员，如电子邮件、寻呼机和短信等。警报通常会提供攻击性质的基本信息，安全官员还需查阅IDS日志获取更多详情。
4. 报告生成 ：多数现代IDS工具具备此功能。监测事件并总结日志事件内容，将大量信息聚合后提供给安全管理员，以便他们采取纠正措施。

2. IDS的历史演进

2.1 概念化与早期发展（1980 - 20世纪90年代中期）

• James Anderson的贡献 ：20世纪80年代初，James Anderson为系统管理员提供了一套审查访问和事件日志的工具，帮助他们确定系统中是否存在入侵者。他的论文定义了一些至今仍在使用的术语，如威胁、漏洞、渗透、伪装者等，并介绍了监控用户行为、记录和分类审计日志以及监控文件的方法。
• Dorothy Denning的模型 ：D