入侵检验.pptVIP

入侵检测 的初步了解 1.什么是入侵检测 ？ 入侵检测(Intrusion Detection)，顾名思义，就是对入侵行为的发觉。他通过对计算机网络或计算机系统中若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。 入侵检测是防火墙的合理补充，帮助系统对付网络攻击，扩展了系统管理员的安全管理能力（包括安全审计、监视、进攻识别和响应），提高了信息安全基础结构的完整性。 入侵检测被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护。这些都通过它执行以下任务来实现： · 监视、分析用户及系统活动 · 系统构造和弱点的审计 · 评估重要系统和数据文件的完整性 · 操作系统的审计跟踪管理，并识别用户违反安全策略的行为 2.信息收集 入侵检测的第一步是信息收集，内容包括系统、网络、数据及用户活动的状态和行为。而且，需要在计算机网络系统中的若干不同关键点（不同网段和不同主机）收集信息，这除了尽可能扩大检测范围的因素外，还有一个重要的因素就是从一个源来的信息有可能看不出疑点，但从几个源来的信息的不一致性却是可疑行为或入侵的最好标识。 入侵检测利用的信息一般来自以下四个方面： （1）系统和网络日志文件 （2）目录和文件中的不期望的改变 （3）程序执行中的不期望