25、网络安全入侵检测与数据可视化实践指南

网络安全入侵检测与数据可视化实践指南

1. 入侵检测系统规则优化

在网络安全领域，入侵检测系统（IDS）的规则优化至关重要。对于与未实现的服务（TCP 或 UDP 端口）相关的警报，由于即使这些流量是恶意的，也不会有机器接收，因此可以将其视为无关警报，并移除相关规则。尽管这样可能会错过识别攻击者扫描的机会，但误报的成本更高。

同时，并非所有先前选择的规则集都相关，有些规则可能永远不会被使用。有效的策略是禁用那些不必要或不期望的规则。例如，ET Open Rules 和 Snort Community Rules 有很多共同或非常相似的规则，通常认为 ET Open Rules 就足够了。以下是一些重要的规则集：
- emerging-attack_response.rules
- emerging-bootcc_portgrouped.rules
- emerging-bootcc.rules
- emerging-ciarmy.rules
- emerging-compromised.rules
- emerging-current_events.rules
- emerging-dos.rules
- emerging-dshield.rules
- emerging-exploit.rules
- emerging-malware.rules
- emerging-scan.rules
- emerging-shellcode.rules
- emerging-trojan.rules
- emerging-worm.rules

2.