ch5入侵检测技术电子教案.pptVIP

第5章 入侵检测技术;5.1 入侵检测概述—发展简况;5.1 入侵检测概述—发展简况; (1)主体(subjects)；在目标系统上活动的实体，如用户。 (2)对象(objects)：指系统资源，如文件、设备、命令等。 (3)审计记录(Audit records)：内主体、活动(Action)、异常条件(Exception—Condition)、资源使用状况(Resource—Usage)和时间戳(Time Stamp)等组成。其中活动是指主体对目标的操作。异常条件是指系统对主体该活动的异常情况的报告。资源使用状况是指系统的资源消耗情况。 (4)活动档案(Active Profile)：即系统正常行为模型，保存系统正常活动的有关信息。在各种检测方法中其实现各不相同。在统计方法巾可以从事件数量、频度、资源消耗等方面度量。 (5)异常记录(Anomaly Record)：由事件、时间戳和审计记录组成，表示异常事件的发生情况。 (6)活动规则(Active Rule)：判断是否为入侵的推则及相应要采取的行动。 一般采用系统正常活动模型为准则，根据专家系统或统计方法对审计记录进行分析处理，在发现入侵时采取相应的对策。;5.1 入侵检测概述—发展简况;5.1 入侵检测概述—发展简况;5.1 入侵检测概述—发展简况;3. 入侵检测技术的发