入侵检测概念、过程分析和布署.docxVIP

PAGE 1 PAGE 1 入侵检测概念、过程分析和布署 4、分类  4.1根据检测类型划分  从技术上划分，入侵检测有两种检测模型：  （1）异常检测模型（AnomalyDetection）：检测与可接受行为之间的偏差。假如可以定义每项可接受的行为，那么每项不可接受的行为就应当是入侵。首先总结正常操作应当具有的特征（用户轮廓），当用户活动与正常行为有重大偏离时即被认为是入侵。这种检测模型漏报率低，误报率高。因为不需要对每种入侵行为进行定义，所以能有效检测未知的入侵。  （2）误用检测模型（MisuseDetection）：检测与已知的不可接受行为之间的匹配程度。假如可以定义全部的不可接受行为，那么每种能够与之匹配的行为都会引起告警。收集非正常操作的行为特征，建立相关的特征库，当监测的用户或系统行为与库中的记录相匹配时，系统就认为这种行为是入侵。这种检测模型误报率低、漏报率高。对于已知的攻击，它可以具体、精确地报告出攻击类型，但是对未知攻击却效果有限，而且特征库必需不断更新。  4、分类  4.1根据检测类型划分  从技术上划分，入侵检测有两种检测模型：  （1）异常检测模型（AnomalyDetection）：检测与可接受行为之间的偏差。假如可以定义每项可接受的行为，那么每项不可接受的行