16、网络入侵检测与防范系统全解析

网络入侵检测与防范系统全解析

1. 入侵系统概述

入侵系统一般有两种类型和几种不同的形式。基本类型包括基于主机、基于网络和物理类型；而类型则分为入侵检测系统（IDS）和入侵防范系统（IPS）。这些系统的目标通常是检测那些试图损害组织资源的机密性、完整性或可用性的行为。具体来说，入侵检测的目标是检测或识别试图破坏现有安全控制的实体；而入侵防范则在检测的基础上，还具备阻止或预防的能力。IDS和IPS的关键区别在于是否具备采取行动的能力。

2. IDS与IPS介绍

• IDS ：是一种最初用于检测针对目标应用程序或计算机的漏洞利用的安全技术。它可以安装在网络、主机上，或作为物理环境的一部分。
• IPS ：遵循与IDS相同的数据收集和行为识别过程，但不同的是它具备采取行动或阻止活动的能力。这可以通过网络、主机和物理入侵检测系统来实现。

3. 不同类型的入侵检测系统

• 基于主机的入侵检测系统（HIDS）

  • 目的是识别安装它的单个主机上的行为。通常监控的行为是识别特定主机上的未经授权和异常行为。
  • 通常安装一个代理来监控每个系统，并对本地操作系统和应用程序活动发出警报。
  • 本地安装的代理使用签名、规则和启发式算法的组合来识别未经授权或异常的活动。
  • HIDS是一种被动的IDS，仅进行收集、识别、记录和警报。例如Tripwire和开源的基于主机的入侵检测