入侵检测技术-课后答案.docxVIP

入侵检测技术 - 课后答案 习题答案 第 1 章 入侵检测概述 思考题： 1） 分布式入侵检测系统（ DIDS ）是如何把基于主机的入侵检测方法和基于 网络的入侵检测方法集成在一起的？ 答：分布式入侵检测系统是将主机入侵检测和网络入侵检测的能力集成的第一次尝试，以便于一个集中式的安全管理小组能够跟踪安全侵犯和网络间的入侵。 DIDS 的最初概念是采用集中式控制技术，向 DIDS 中心控制器发报告。 DIDS 解决了这样几个问题。在大型网络互 联中的一个棘手问题是在网络环境下跟踪网络用户和文件。 DIDS 允许用户在该环境中通过自动跨越被监视的网络跟踪和得到用户身份的相关信息来处理这个问题。 DIDS 是第一个具有这个能力的入侵检测系统。 DIDS 解决的另一个问题是如何从发生在系 – – 1 习题答案 统不同的抽象层次的事件中发现相关数据或事件。这类信息要求要理解它们对整个网络的影响， DIDS 用一个 6 层入侵检测模型提取数据相关性，每层代表了对数据的一次变换结果。 2） 入侵 检测 作用 体 现在 哪些 方 面？ 答：一般来说，入侵检测系统的作用体现 在以下几个方面： 监控、分析用户和系统的活动；审计系统的配置和弱点； 评估关键系统和数据文件的完整性；识别攻击的活动模式； 对异常活动进行统计分析； 对操作系统进行审计跟踪管理，识别违反政策的用户活动。 3） 为什么说研究入侵检测非常必 要？ – – 2 习题答案 答：计算机网络安全应提供保密性、完整性以及抵抗拒绝服务的能力，但是由于连网用户的增加，网上电子商务开辟的广阔前景，越来越多的系统受到入侵者的攻击。为了对付这些攻击企图，可以要求所有的用户确认并验证自己的身份，并使用严格的访问控制机制，还可以用各种密码学方法对数据提供保护，但是这并不完全可行。另一种对付破坏系统企图的理想方法是建立一个完全安全的系统。但这样的话，就要求所有的用户能识别和认证自己，还要采用各种各样的加密技术和强访问控制策略来保护数据。而从实际上看，这根本是不可能的。 因此，一个实用的方法是建立比较容易实现的安全系统，同时按照一定的安全策略建立相应的安全辅助系统。入侵检测系统就是这样一类系统，现在安全软件的开发方式基本上就是按照这个思路进行的。就目前系统安全状况而言，系统存在被攻击的可能性。如果系统遭 – – 3 习题答案 到攻击，只要尽可能地检测到，甚至是实时地检测到，然后采取适当的处理措施。入侵检测系统一般不是采取预防的措施以防止入侵事件的发生，入侵检测作为安全技术其主要目的有： 1）识别入侵者；（2）识别入侵行为：（ 3）检测和监视已成功的安全突破； （4）为对抗入侵及时提供重要信息，阻止事件的发生和事态的扩大。从这个角度看待安全问题，入侵检测非常必要，它可以有效弥补传统安全保护措施的不足。 第 2 章 入侵方法与手段 选择题： 1） B. 2） B 思考题： （1） 一般来说，黑客攻击的原理是什 – – 4 习题答案 么？ 答：黑客之所以能够渗透主机系统和对网络实施攻击，从内因来讲，主要因为主机系统和网络协议存在着漏洞，而从外因来讲原因有很多，例如人类与生俱来的好奇心等等，而最主要的是个人、企业甚至国家的利益在网络和互联网中的体现。利益的驱动使得互联网中的黑客数量激增。 2） 拒绝服务攻击是如何实施的？答：最基本的 DoS 攻击是利用合理的服务 请求来占用过多的服务资源，致使服务超载，无法响应其他的请求。这些服务资源包括网络带宽，文件系统空间容量，开放的进程或者向内的连接。这种攻击会导致资源的匮乏，无论计算机的处理速度多么快，内存容量多么大，互连网的速度多么快都无法避免这种攻击带来的后果。因为任何事都有一个极限，所以，总能找到一个方法使请求的值大于该极限值，因 – – 5 习题答案 此就会使所提供的服务资源匮乏，象是无法满足需求。 （3） 秘密扫描的原理是什么？ 答：秘密扫描不包含标准的 TCP 三次握手协议的任何部分，所以无法被记录下来，从而比 SYN 扫描隐蔽得多。秘密扫描技术使用 FIN 数据包来探听端口。 当一个 FIN 数据包到达一个关闭的端口，数据包会被丢掉，并且回返回一个 RST 数据包。否则，当一个 FIN 数据包到达一个打开的端口，数据包只是简单的丢掉（不返回 RST）。 （4） 分布式拒绝服务攻击的原理是什么？ 答： DDoS 攻击手段是在传统的 DoS 攻击基础之上产生的一类攻击方式。 理解了 DoS 攻击的话， DDoS 的原理就很简单。如果说计算机与网络的处理能力加大了 10 倍，用一台攻击 – – 6 习题答案 机来攻击不再能起作用的话，攻击者使用 10 台攻击机同时攻击呢？用 100 台呢？ DDoS 就是利用更多的傀儡机来发起进攻，以比从前更大的规模