006荣耀IDS入侵检测技术.pptVIP

网络信息安全 IDS存在与发展的必然性 一、网络攻击的破坏性、损失的严重性 二、日益增长的网络安全威胁 三、防火墙无法防范网络内部攻击 为什么需要IDS 关于防火墙 位于网络边界的安全设施 自身可能被攻破 保护不够全面 不是所有威胁都来自防火墙外部 入侵很容易 入侵教程随处可见 各种工具唾手可得 网络安全工具的特点 入侵检测的定义 对系统的运行状态进行监视，发现各种攻击企图、攻击行为或者攻击结果，以保证系统资源的机密性、完整性和可用性。 进行入侵检测的软件与硬件的组合便是入侵检测系统。 IDS : Intrusion Detection System IDS基本结构 入侵检测系统包括三个部分： （1）信息收集 （2）信息分析 （3）结果处理 信息收集 入侵检测的第一步是信息收集，收集内容包括系统、网络、数据及用户活动的状态和行为 需要在计算机网络系统中的若干不同关键点（不同网段和不同主机）收集信息 尽可能扩大检测范围 从一个源来的信息有可能看不出疑点 信息收集 入侵检测很大程度上依赖于收集信息的可靠性和正确性； 要保证用来检测网络系统的完整性 特别是入侵检测系统软件本身应具有相当强的坚固性，防止被篡改而收集到错误的信息 ； 信息收集的来源 系统或网络的日志文件 网络流量 系统目录和文件的异常变化 程序执行中的异常行为 系统或网络的日志文件 攻击者常在系统日志文件中留下他们的踪