计算机安全课件.pptVIP

入侵检测 * 当前第62页\共有92页\编于星期三\15点 入侵检测（IDS instruction detection system）是从计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和遭受攻击的迹象的一种机制。 13.1 入侵检测概述 13.1.1 入侵检测的概念 * 当前第63页\共有92页\编于星期三\15点 入侵检测系统基本上不具有访问控制的能力，一般工作流程如下： 首先对数据包流进行信息收集； 然后对数据包流分析，从数据流中过滤出可疑数据； 最后将上述数据与已知的入侵方式进行对比，确定入侵是否发生及入侵类型，进行报警。 * 当前第64页\共有92页\编于星期三\15点 入侵检测系统工作流程 （1）信息收集 （2）分析引擎 （3）响应部件 * 当前第65页\共有92页\编于星期三\15点 信息搜集 * 当前第66页\共有92页\编于星期三\15点 信息收集 入侵检测的第一步是信息收集，收集内容包括系统、网络、数据及用户活动的状态和行为 需要在计算机网络系统中的若干不同关键点（不同网段和不同主机）收集信息 尽可能扩大检测范围 从一个源来的信息有可能看不出疑点 * 当前第67页\共有92页\编于星期三\15点 信息收集 入侵检测的效果很大程度上依赖于收集信息的可靠性和正确