全套课件 计算机网络安全技术--刘永华.ppt

* 2. 被动响应 被动响应就是只向用户提供信息，而由用户去决定是否采取下一步行动的响应。在早期的入侵检测系统里，所有的响应都是被动的。 * 6.4 入侵检测体系 6.4.1 入侵检测模型 为更好地研究入侵检测系统，人们将其各个组成部分抽象出来，形成各种入侵检测模型。较通用的模型有Denning模型和CIDF模型。 * 1. Denning模型 Denning于1987年提出了一个通用的入侵检测模型，如图6.3所示。 审计 记录 提取 规则 创建 学 习 历史 活动 状况 更新 新建活动 状况 规则处理 引擎 活动 主体 时 钟 主体正常 行为模型 异常记录 * 2. CIDF模型 CIDF(Common Intruction Detection Framework)即入侵检测系统的通用模型，包括入侵检测系统的体系结构、通信机制、描述语言和应用编程接口(API)等4个方面。 其中体系结构如图6.4所示。模型中，入侵检测系统分为4个基本组件即事件产生器、事件分析器、响应单元和事件数据库。其中的事件是指入侵检测系统需要分析的数据。这4个组件只是逻辑实体，一个组件可能是某台计算机上的一个进程甚至线程，也可能是多个计算机上的多个进程。它们以GIDO(统一入侵检测对象)格式进行数据交换。 * 6.1.2 入侵检测系统组成 事件产生器 响应单元 事件分析器 事件数据库 * 6.1.