计算机信息安全课件 第7章 入侵检测.pptVIP

第7章 入侵检测 内容提要 入侵检测原理与技术 入侵检测的数学模型 入侵检测的特征分析和协议分析 入侵检测响应机制 绕过入侵检测的若干技术 入侵检测标准化工作 7.1 入侵检测原理与技术 入侵检测的起源 入侵检测系统的需求特性 入侵检测原理 入侵检测分类 入侵检测现状 7.1.1 入侵检测的起源 入侵检测的概念最早由Anderson在1980年提出，它提出了入侵检测系统的3种分类方法。Denning对Anderson的工作进行了扩展，它详细探讨了基于异常和误用检测方法的优缺点，于1987年提出了一种通用的入侵检测模型。这个模型独立于任何特殊的系统、应用环境、系统脆弱性和入侵种类，因此提供了一个通用的入侵检测专家系统框架，并由IDES原型系统实现。 7.1.1 入侵检测的起源 7.1.2 入侵检测系统的需求特性 实时性要求 如果攻击或者攻击的企图能够被尽快发现，就有可能查出攻击者的位置，阻止进一步的攻击活动，就有可能把破坏控制在最小限度，并记录下攻击过程，可作为证据回放。实时入侵检测可以避免管理员通过对系统日志进行审计以查找入侵者或入侵行为线索时的种种不便与技术限制。 可扩展性要求 攻击手段多而复杂，攻击行为特征也各不相同。所以必须建立一种机制，把入侵检测系统的体系结构与使用策略区分开。入侵检测系统必须能够在新的攻击类型出现时，可以通过某种机制在无需对入侵检测系统本身