计算机网络原理与应用10.pptVIP

* * * * * * * * * * 10.10 入侵检测系统 入侵检测系统(Intrusion Detective System IDS）用于检测出各种形式的入侵行为，是安全防御体系的一个重要组成部分。入侵检测既包括对非法使用系统资源活动的检测，也包括对滥用系统资源行为的检测。 IDS使用的检测技术： 对网络上的数据流量进行分析，找出表现异常的网上交通。通过对“信封”上信息的分析发现与入侵行为相关的某些特征。 对网上流动的数据的内容进行分析，找出“黑客”攻击的表征。它是在网上传递的信息内容中寻找特定的已知的入侵关键字。 入侵检测利用的信息来自： 系统和网络日志文件； 目录和文件中的不期望的改变； 程序执行中的不期望行为； 物理形式的入侵信息。 入侵检测系统种类 IDS对信息进行分析的技术手段： 模式匹配：将收集到的信息与已知的网络入侵和系统误用模式数据库进行比较，从而发现违背安全策略的行为。 统计分析方法：首先给系统对象（如用户、文件、目录和设备等）创建一个统计描述，统计正常使用时的一些测量属性（如访问次数、操作失败次数和延时等）。 完整性分析：主要关注某个文件或对象是否被更改，经常包括文件和目录的内容及属性，它在发现被更改的、被特洛伊化的应用程序方面特别有效。 入侵检测系统有三类： 基于主机的入侵检测系统，其输入数据来源于系统的审计日志，一般只能检测该主机上发生的入侵； 基