2、入侵检测系统与Snort：网络安全的关键防线

入侵检测系统与Snort：网络安全的关键防线

在当今数字化时代，网络安全问题日益严峻，入侵检测系统（IDS）成为了保护网络安全的重要工具。本文将深入探讨入侵检测系统的相关概念，以及Snort在其中的重要作用。

1. 入侵检测的定义

入侵检测旨在检测计算机网络中未经授权的入侵行为。从法律角度看，对于计算机入侵的定义存在一定模糊性。例如，端口扫描、安全扫描等行为是否算作入侵，在立法上并没有明确界定。但从实际应用出发，我们可以将入侵定义为对计算机化网络资源的非授权、恶意的有意访问。

IDS就像高科技的防盗警报器，它能监控信息网关、恶意活动和已知入侵者。它通过解析和解释网络流量或主机活动来工作，这些数据来源广泛，包括网络数据包分析、路由器和防火墙的日志文件内容、本地系统日志和访问调用、网络流量数据等。此外，IDS通常会存储已知攻击特征的数据库，并将监测到的活动、流量或行为模式与这些特征进行比对，一旦发现匹配，就会发出警报或采取自动行动，如关闭互联网链接、特定服务器，进行回溯追踪等，以识别攻击者并收集其恶意活动的证据。

IDS主要分为以下几类：
- 网络型入侵检测系统（NIDS） ：从部署位置的角度监控整个网络段。其网络接口卡（NIC）需工作在混杂模式下，才能监控非目标MAC地址的网络流量。NIC通常在非混杂模式下工作，只处理目标MAC地址或广播地址的数据包，而在混杂模式下，无论数据包地址如何，都会进行处理。NIDS应连接到本地交换机的镜像端口或网络分接头，以复制要监控的链路上的流量。不过，考虑到新兴的隐私法规和窃听法律，监控网络通信需要谨慎对待。
- 基于主机的入侵检测系统（HIDS）