11、深入了解Snort：网络入侵检测的利器

深入了解Snort：网络入侵检测的利器

1. 入侵检测系统（IDS）概述

入侵检测系统（IDS）就像是高科技的防盗警报器，用于监控信息网关、敌对活动和已知入侵者。它能够解析和解释网络流量以及主机活动，处理的数据范围广泛，包括网络数据包分析、路由器、防火墙和服务器的日志文件内容、本地系统日志和访问调用、网络流量数据等。

IDS通常会存储已知攻击特征的数据库，将监测到的数据中的活动、流量或行为模式与这些特征进行比较，当发现与特征匹配的情况时，会发出警报或提示，并采取各种自动化操作，如关闭互联网链接、特定服务器，进行回溯追踪等，以识别攻击者并收集其恶意活动的证据。

类比来说，IDS对于网络的作用就如同杀毒软件对于进入系统的文件的作用，它检查网络流量内容以寻找和抵御可能的攻击，就像杀毒软件检查传入文件、电子邮件附件、活跃的网页内容等以寻找病毒特征或可能的恶意行为。

2. IDS的类型

根据所监测的活动、流量、交易或系统的不同，IDS可分为以下几类：
- 网络型入侵检测系统（NIDS） ：监测网络链接和骨干网，寻找攻击特征。
- 主机型入侵检测系统（HIDS） ：在主机上运行，保护和监测操作系统和文件系统，查找入侵迹象。
- 分布式入侵检测系统（DIDS） ：由多个作为远程传感器的IDS组成，并向中央管理站报告。
- 网关型IDS ：部署在网络与其他网络之间的网关处，监测网络出入口的流量。
- 应用型IDS ：专注于理解和