第7章 入侵检测技术
第七章网络安全
18
5、网络监听 网络监听，在网络安全上一直是一个比较敏感的话题，作为一种 发展比较成熟的技术，监听在协助网络管理员监测网络传输数据、 排除网络故障等方面具有不可替代的作用，因而一直备受网络管 理员的青睐。然而，在另一方面网络监听也给以太网的安全带来 了极大的隐患，许多的网络入侵往往都伴随着以太网内的网络监 听行为，从而造成口令失窃、敏感数据被截获等连锁性安全事件。 网络监听是主机的一种工作模式，在这种模式下，主机可以接收 到本网段在同一条物理通道上传输的所有信息，而不管这些信息 的发送方和接收方是谁。此时若两台主机进行通信的信息没有加 密，只要使用某些网络监听工具就可轻而易举地截取包括口令和 账号在内的信息资料。 Sniffer是一个著名的监听工具，它可以监听到网上传输的所有信 息。还有EtherPeek, WireShark
11
7.1.2黑客的攻击手段 黑客在世界各地四处出击，寻找机会袭击网络，几乎 到了无孔不入的地步．有不少黑客袭击网络时并不是 怀有恶意．他们多数情况下只是为了表现和证实自己 在计算机方面的天分与才华，但也有一些黑客的网络 袭击行为是有意地对网络进行破坏。 黑客(Hacker)指那些利用技术手段进入其权限以外计 算机系统的人。在虚拟的网络世界里，活跃着这批特 殊的人，他们是真正的程序员，有过人的才能和乐此 不疲的创造欲。技术的进步给了他们充分表现自我的 天地，同时也使汁算机网络世界多了一份灾难，一般 人们把他们称之为黑客(Hacker)或骇客(Cracker)，前 者更多指的是具有反传统精神的程序员，后者更多指 的是利用工具攻击别人的攻击者，具有明显贬义。但 无论是黑客还是骇客，都是具备高超的计算机知识的 人。
第7章 入侵检测技术-计算机信息安全技术(第2版)-付永钢-清华大学出版社
第七章 入侵检测技术
7.1 入侵检测技术概述
入侵检测系统的作用
• 监控网络和系统 • 发现入侵企图或异常现象 • 实时报警 • 主动响应 • 审计跟踪
形象地说，它就是网络摄像机，能够捕获并记录网络上的所有数据， 同时它也是智能摄像机，能够分析网络数据并提炼出可疑的、异常的网 络数据，它还是X光摄像机，能够穿透一些巧妙的伪装，抓住实际的内 容。它还不仅仅只是摄像机，还包括保安员的摄像机.
第七章 入侵检测技术
7.2.2 入侵检测系统的基本结构
事件响应模块 事件响应模块的作用在于警告与反应，这实 际上与PPDR模型的R有所重叠。
第七章 入侵检测技术
7.2.2 入侵检测系统的基本结构
入侵检测系统的结构
第七章 入侵检测技术
7.2.2 入侵检测系统的基本结构
引擎的工作流程
引擎的主要功能：原 始数据读取、数据分 析、产生事件、策略 匹配、事件处理、通 信等功能
第七章 入侵检测技术
7.1 入侵检测技术概述
入侵
•对信息系统的非Байду номын сангаас权访问及（或）未经许可在信息系统中 进行操作
入侵检测
•通过对计算机网络或计算机系统中的若干关键点进行信息 收集并对其进行分析，发现是否存在违反安全策略的行 为或遭到攻击的迹象。
入侵检测系统（IDS）
•用于辅助进行入侵检测或者独立进行入侵检测的自动化工 具
第七章 入侵检测技术
7.2.2 入侵检测系统的基本结构
信息收集模块
入侵检测很大程度上依赖于收集信息的可靠性 和正确性
要保证用来检测网络系统的软件的完整性 特别是入侵检测系统软件本身应具有相当强的
坚固性，防止被篡改而收集到错误的信息
978-7-03-030368-4《计算机网络安全(第三版)》第7章计
协议欺骗类的攻击与防范 拒绝服务类的攻击与防范 网络嗅探攻击与防范 缓冲区溢出攻击与防范 SQL注入式攻击与防范 木马攻击与检查防范
4
黑客攻击的原因
由于少数高水平的黑客可以随意入侵他人电脑，呗在 被攻击者毫不知情的情况下窃取电脑中的信息后悄悄 退出，于是，很多人对此产生较强的好奇心和学习黑 客技术的欲望，并在了解了黑客攻击技术后不计后果 地进行尝试，给网络造成极大的安全威胁。
第三，数据包过滤。利用网络设备的配置来进行数据 包过滤，比如配置路由器，使其能够拒绝来自网络外 部但具有网络内部IP地址的数据包的连接请求。
8
-协议欺骗类的攻击与防范
2.源路由器欺骗攻击与防范-
一般情况下，信息报从起点到终点走过的路径是 由位于此两点间的路由器决定的，数据包本身只 是知道从哪里出发，到达目的地是哪里，不知道 也不关心沿途经过的具体路径。源路由可以使信 息包的发送者将此信息包经过的路径写在数据包 里，是数据包沿着一个对方不可预料的途径到达 目的主机。仍以上面源IP地址欺骗例子说明如下：
嗅探器（Sniffer）就像一个安装在计算机上的 窃听器，可以窃听计算机在网络上的产生的信 息。嗅探器的工作原理如下。
14
网络嗅探攻击与防范2
以太网的数据传输都是基于信道共享的原理，所有 同一本地网范围内的计算机共同接收到相同的数据 包，以太网卡构造了硬件过滤，将与自己无关的网络 信息过滤掉，实现了忽略掉与自身MAC地址不符的 信息。网络嗅探就是利用这个特点将过滤器关闭掉， 把网卡设置为混杂模式，成为杂错节点，嗅探程序 就能接收整个以太网上的包括不属于本机的数据信 息。嗅探器工作在网络的底层，把网络传输的全部 数据记录下来。它可以帮助网络管理员查找网络漏 洞和监测网络性能，可以分析网络流量。嗅探器对 广播型网络可监听能力比较高。
防火墙入侵检测与VPN——第二部分资料
走信息路 读北邮书
本书的 封面
6.4 入侵检测的主要作用
识别并阻断系统活动中存在的已知攻击行为，防止入侵行为对受保 护系统造成损害。
识别并阻断系统用户的违法操作行为或者越权操作行为，防止用户 对受保护系统有意或者无意的破坏。
检查受保护系统的重要组成部分以及各种数据文件的完整性。 审计并弥补系统中存在的弱点和漏洞，其中最重要的一点是审计并 纠正错误的系统配置信息。
详细内容见参考书。 本书的 封面
走信息路 读北邮书
6.6.1 按照检测数据的来源划分 （3）
3 混合式的入侵检测
基于主机的入侵检测能够对主机上用户 或进程的行为进行细粒度地监测，很好地 保护了主机的安全。基于网络的入侵检测 则能够对网络的整体态势做出反应。这两 种优点都是用户所需要的，因此计算机安 全界对两者的融合进行了大量的研究，并 称这种融合系统为混合式入侵检测系统。
走信息路 读北邮书
本书的 封面
6.1.7
ICMP秘密通道
ICMP协议作为网络控制信息传递的 基础协议在所有实现TCP/IP协议的网络 上存在。许多访问控制设备并不阻断这种 协议的传输。但是ICMP协议的某些字段 并不被安全设备检查，攻击者即可利用这 些字段传递秘密信息。
走信息路 读北邮书
本书的 封面
1984年至1986年，乔治敦大学的Dorothy Denning和SRI/CSL （SRI公司计算机科学实验室）的Peter Neumann设计并实现了入 侵检测专家系统IDES（Intrusion Detection Expert System）。 1988年，Stephen Smaha为美国空军Unisys大型主机设计并开 发了Haystack入侵检测系统。 1990年，加州大学戴维斯分校的Todd Heberlien等人开发了 NSM（Network Security Monitor）。 1992年，SAIC开发了计算机滥用检测系统CMDS（Computer Misuse Detection System）。1993年，Haystack Labs开发了 Stalker系统。它们是首批商用的入侵检测系统。
入侵检测与防御技术
第7章入侵检测与防御技术7.1 入侵检测系统概述7.1.1 网络攻击的层次任何以干扰、破坏网络系统为目的的非授权行为都称为网络攻击或入侵，它可以是针对安全策略的违规行为、针对授权特征的滥用行为，还可以是针对正常行为特征的异常行为。
这些攻击可分为六个层次。
1．第一层第一层次的攻击一般是基于应用层的操作，第一层的各种攻击一般应是互不相干的。
典型的第一层攻击包括拒绝服务攻击和邮件炸弹攻击，这些攻击的目的只是为了干扰目标的正常工作，化解这些攻击一般是十分容易的。
拒绝服务发生的可能性很大，对付这种攻击最好的方法是把攻击者使用的主机/网络信息加入拒绝列表中，使攻击者网络中所有主机都不能对你的网络进行访问。
第一层的另一种攻击技术是与邮件或新闻服务器建立Telnet会话，然后设法了解哪些目录是共享的、哪些目录没被共享，如果在网络上采取了适当的安全措施，这些行为是不会带来危险的，如果共享目录未被正确地配置或系统正在运行远程服务，那么这类攻击就能方便得手。
网络上一旦发现服务拒绝攻击的迹象，就应在整个系统中查找攻击来源，拒绝服务攻击通常是欺骗攻击的先兆或一部分，如果发现在某主机的一个服务端口上出现了拥塞现象，那就应对此端口特别注意，找出绑定在此端口上的服务；如果服务是内部系统的组成部分，那就应该特别加以重视。
许多貌似拒绝服务的攻击可能会引起网络安全措施彻底失效，真正的持续很长时间的拒绝服务攻击对网络仅仅起干扰的作用。
2．第二层和第三层第二层是指本地用户获得不应获得的文件(或目录)读权限，第三层则上升为获得写权限。
这一攻击的严重程度根据被窃取读或写权限的文件的重要性决定。
如果某本地用户获得了访问tmp目录的权限，那么问题就是很糟糕的，可能使本地用户获得写权限从而将第二层攻击推进至第三层攻击，甚至可能继续下去。
本地攻击和其他攻击存在一些区别，“本地用户”(Local User)是一种相对的概念。
“本地用户”是指能自由登录到网络的任何一台主机上的用户。
015--《企业网安全高级技术》大纲及进程表(网工 两年)(30+30课时)
《企业网安全高级技术》课程进程表总计学习课时为60 课时，其中理论课时为30 课时，实验课时为30 课时，适用专业：网络技术工程师TC专业，各章节课时分配如下：章节号章节名称理论课时分配实验课时分配说明第1章网络安全概述 1 1第2章网络协议分析 2 2第3章加密与认证技术33第4章PKI组件及其应用 3 3第5章VPN技术 3 3第6章防火墙技术 3 3第7章入侵检测技术 2 2第8章主机操作系统的安全 3 3第9章计算机病毒及防治 2 2第10章木马与后门 3 3第11章无线网络安全 2 2第12章企业网安全综合应用 3 3课时小计3030课时总计60《企业网安全高级技术》课程教学大纲适用专业：网络技术工程师专业（两年制系统方向）教材：企业网安全高级技术（XHJC-091-805）出版社：新华教育集团（北京）研究院教学环境：理实一体化教室考核方法：考试-课程实践执笔人:王海军审稿人:叶伟一、课程的性质与任务《企业网安全高级技术》课程属于网络工程应用专业必修课程。
通过本课程的学习，学生可以了解构建计算机网络及信息安全的安全策略，掌握建立有效的安全机制的方法。
在课程中学生可以了解不同类型的黑客活动、黑客的攻击范围及防止和控制黑客侵入的方法，同时掌握加密和身份验证方法及过程，保护Windows 2k和Linux 系统免于受到攻击、提高安全性能，以及防火墙的技术构成、体系结构及与Internet服务的结合，通过安全审核的不同阶段，掌握审计及日志分析的方法和基于主机及网络的入侵检测的方法及软件的使用。
本课程内容主要包括：网络安全的基本理论、加密技术与认证、VPN技术、防火墙技术与应用、操作系统安全等。
本课程遵循把所学理论应用于实际的原则。
应该把所有的安全技术从理论上为学生讲解清楚，其次每一种安全理论在实际的环境中的应用，每种安全技术的优缺点，以及每种安全技术的适用范围、能实现的安全目标，及在实际网络环境中的应用。
计算机安全 第7章 病毒防护
第7章病毒防护主讲：×××7.1 病毒的基本特征7.1.1 常见的计算机的病毒7.1.2 计算机病毒的基本结构7.1.3 计算机病毒的共同特征7.1.4 计算机病毒的新特点7.1.1 入侵检测方法1.木马病毒木马病毒源于古希腊的特洛伊木马神话，它是把自己伪装在正常程序内部的病毒，这种病毒程序还是木马。
木马病毒带有黑客性质，它有强大的控制和破坏能力，可窃取密码、控制系统、7.1.1 入侵检测方法2.宏病毒宏是一系列由用户编写或录制的命令和指令，用来实现任务执行的自动化。
的具有病毒特征的宏集合。
它的危害性大，以二进制文件加密压缩格式存入.doc或.dot文件中，所有打开的Word文档都会在自动保存时被传染。
7.1.1 入侵检测方法3.宏病毒蠕虫病毒是一种能自我复制的程序，并能通过计算机网络进行传播，它消耗大量系统资源，网络瘫痪。
蠕虫病毒的传染目标是互联网内的所有计算机，其传播方式分为两类：一类是利用系播。
7.1.1 入侵检测方法4.宏病毒PE病毒是指所有感染Windows操作系统中PE文件格式的病毒。
PE病毒大多数采用Win 32文件）并把自己的代码加到EXE文件尾部，修改原程序的入口点以指向病毒体，PE病毒没本身没有什么危害，但被感染的文件可能被破坏。
7.1.1 入侵检测方法5.宏病毒脚本病毒通常是用JavaScript或者VBScript 通过网页进行传播，一旦用户运行了带有病毒的给用户使用计算机带来不便。
VBS脚本病毒是使用VBScript编写的，以宏病毒和新欢乐时光病毒为典型代表。
VBS脚本病毒编写简单，破坏力大，感染力强。
这类病毒通传播范围大。
7.1.1 入侵检测方法5.恶意网页病毒网页病毒主要是利用软件或系统操作平台等本标记语言）内的Java Applet小应用程序、JavaScript脚本语言程序或ActiveX控件，强行程序，或非法控制系统资源，盗取用户文件，或恶意删除硬盘文件、格式化硬盘。
入侵检测习题答案
入侵检测习题答案第一章习题答案１.1 从物理安全和逻辑安全两个方面描述计算机安全的内容.答：计算机安全的内容包括物理安全和逻辑安全两方面。
物理安全指系统设备及相关设施受到物理保护，免于破坏、丢失等。
逻辑安全指计算机中信息和数据的安全，它存在于信息系统中从信息的产生、信息的传输、信息的存贮直至信息的应用这一全部过程，主要包括软件的安全、数据的安全和运行的安全。
软件的安全是保护各种软件及其文档不被任意篡改、失效和非法复制，数据安全是保护所存贮的数据资源不被非法使用和修改，运行安全是保护信息系统能连续正确地运行。
1.2 安全的计算机系统的特征有几个，它们分别是什么？答：安全的计算机信息系统是指可以信赖的按照期望的方式运行的系统，它必须能够保护整个系统使其免受任何形式的入侵。
它一般应该具有以下几个特征：太高，那么用户的合法行为就会经常性地被打断或者被禁止。
这样，不仅使得系统的可用性降低，而且也会使合法用户对系统失去信心。
1.3 描述并解释Anderson在１９７２年提出的计算机安全模型．答：Anderson在1972年提出了计算机安全模型，如图1.1所示。
图1.1 计算机安全模型其各个模块的功能如下:安全参考监视器控制主体能否访问对象。
授权数据库并不是安全参考监视器的一部分，但是安全参考监视器要完成控制功能需要授权数据库的帮助。
识别与认证系统识别主体和对象。
审计系统用来记录系统的活动信息。
该模型的实现采用访问控制机制来保证系统安全。
访问控制机制识别与认证主体身份，根据授权数据库的记录决定是否可以允许主体访问对象。
1.4 描述并解释P2DR模型.P2DR模型(Policy——策略，Protection—防护，Detection——检测，Response——响应)是一种动态的、安全性高的网络安全模型，如图1.3所示。
图1.3 P2DR模型它的基本思想是：以安全策略为核心，通过一致的检查、流量统计、异常分析、模式匹配以及应用、目标、主机、网络入侵检查等方法进行安全漏洞检测，检测使系统从静态防护转化为动态防护，为系统快速响应提供了依据，当发现系统有异常时，根据系统安全策略快速作出响应，从而达到了保护系统安全的目的。
第7章(IDS)
基于行为准则判断的IDS 基于行为准则判断的IDS
统计行为判断是根据上面模式匹配的事件， 统计行为判断是根据上面模式匹配的事件， 在进行统计分析时，根据已知非法行为的 在进行统计分析时，根据已知非法行为的 规则，判断出非法行为。 规则，判断出非法行为。 异常行为判断是根据平时统计的各种信息 是根据平时统计的各种信息， 异常行为判断是根据平时统计的各种信息， 得出正常网络行为准则， 得出正常网络行为准则，当遇到违背这种 准则的事件发生时，报告非法行为事件。 准则的事件发生时，报告非法行为事件。 显然， 显然，异常行为判断方法能够发现未知的 网络非法行为， 网络非法行为，但系统必须具有正常规则 统计和自我学习功能。 统计和自我学习功能。
IDS系统 IDS系统
IDS Agent
IDS系统（实时入侵检测) IDS系统（实时入侵检测) 系统
优点
对重要服务的攻击企图能及时发现 能进行系统受攻击程度的量化 对攻击进行一定的取证 弥补防火墙的不足
IAP +TL S IAP +TL S
IAP+ TLS
IAP +TL S IAP +TL S IAP +TL S
IDS的分类 IDS的分类
入侵检测系统分为主机型和网络型两种 主机型IDS是安装在服务器或 机上软件， 是安装在服务器或PC机上软件 主机型 是安装在服务器或 机上软件， 监测到达主机的网络信息流； 监测到达主机的网络信息流； 网络型IDS一般配置在网络入口处（路由 一般配置在网络入口处（ 网络型 一般配置在网络入口处 ）、或网络核心交换处 核心交换路由） 或网络核心交换处（ 器）、或网络核心交换处（核心交换路由） 监测网络上的信息流。 监测网络上的信息流。
网络安全基础第七章-网络安全基础-廉龙颖-清华大学出版社
莫里斯蠕虫事件发生之后，美国空军、国家安全局和能源部共同资助空军密码支持中 心、劳伦斯利弗摩尔国家实验室、加州大学戴维斯分校、Haystack实验室，开展对分布式 入侵检测系统（DIDS）的研究。
第七章
第7章 入侵检测技术
➢本章学习目标 ➢了解入侵检测的定义 ➢理解入侵检测通用模型 ➢了解入侵检测系统结构 ➢了解入侵检测系统类型及优缺点 ➢掌握异常检测与误用检测技术 ➢掌握Snort入侵检测系统
第7章 入侵检测技术
入侵检测系统 类型
入侵检测技术
入侵检测系统 结构
入侵检测的特 点与发展趋势
完整性分析。完整性分析主要关注某个文件或对象是否被更改，这经常包括文件和目录的内容及 属性，它在发现被更改的应用程序方面特别有效。
7.2 入侵检测系统结构——入侵检测系统结构
入侵检测系统是监测网络和系统以发现违反安全策略事件的过程。根据CIDF框架模型，可以知 道IDS一般包括3个部分：采集模块、分析模块和管理模块。
管理模块主要功能是作决策和响应。入侵检测响应方式分为主动响应和被动响应。 被动响应型系统只会发出告警通知，将发生的不正常情况报告给管理员，本身并不试图降低所 造成的破坏，更不会主动地对攻击者采取反击行动。 目前，主动响应系统还比较少，即使做出主动响应，一般也都是断开可疑攻击的网络连接，或 是阻塞可疑的系统调用，若失败，则终止该进程。
分析模块完成对数据的解析，给出怀疑值或作出判断。一般通过三种技术手段进行分析：模式匹 配，统计分析和完整性分析。其中前两种方法用于实时的入侵检测，而完整性分析则用于事后分析。
入侵检测技术
1.2 入侵检测系统的组成
用专家系统对入侵进行检测，经常是针对有特征的 入侵行为。规则，即是知识，不同的系统与设置具 有不同的规则，且规则之间往往无通用性。专家系 统的建立依赖于知识库的完备性，知识库的完备性 以取决于审计记录的完备性与实时性。入侵的特征 抽取与表达，是入侵检测专家系统的关键。在系统 实现中，将有关入侵的知识转化为if-then结构，条 件部分为入侵特征，then部分是系统防范措施。运 用专家系统防范有特征入侵行为的有效性完全取决 于专家系统知识库的完备性。
由于嗅探技术的限制，网络节点入侵检测仅仅能分析目 的地址是主机地址的包，但是由于网络节点入侵检测的 特性，当网络使用的是一个高速通信网络、加密网络或 者使用了交换式设备，网络节点入侵检测仍然能对所有 的子网进行检测。网络节点入侵检测的优势在于，能有 效的抵御针对特定主机的基于包的攻击。
1.3 常用的入侵检测方法 入侵检测系统常用的检测方法有特征测、统 计检测与专家系统。据公安部计算机信息系 统安全产品质量监督检验中心的报告，国内 送检的入侵检测产品中95%是属于使用入侵 模式匹配的特征检测产品，其他5%是采用 概率统计的统计检测产品与基于日志的专家 知识库型产品。
1．什么是入侵检测 入侵检测系统（IDS，Intrusion detection system）是为保证计算机系统的安全而设计与 配置的一种能够及时发现并报告系统中未授权 或异常现象的系统，是一种用于检测计算机网 络中违反安全策略行为的系统。入侵和滥用都 是违反安全策略的行为。
第7章(IDS)模板
控制和策略下发 事件上报
IDS控制中心
IDS引擎的主要功能
读取原始数据、分析数据、产生事件、策略 匹配、事件处理、通信等功能，IDS工作过 程如图 原始数据读取
原始数据分析
事件产生
事件规则库
响应策略匹配
策略规则库
时间响应处理
通信
IDS控制中心的主要功能
通信
事件读取
策略定制
日志分析
系统帮助
IDS系统
IDS Agent
IDS系统（实时入侵检测)
优点
IAP+ TLS
IAP +TL S IAP +TL S
IAP +TL S
对重要服务的攻击企图能及时发现 能进行系统受攻击程度的量化 对攻击进行一定的取证 弥补防火墙的不足
缺点
网管 告警 IDS 中心 Agent
网络IDS企业内部典型安装
Intranet
router
IDS Agent
IDS Agent
Firewall
DMZ
监控中心
IDS AgentServesIDS阻断入侵示意图
Intranet
攻击者 攻击者
router
IDS Agent Firewall 发现攻击
报警
DMZ
发现攻击
监控中心
发现攻击
（1）安全保障 （2）服务质量保证（QoS） （3）可扩充性和灵活性 （4）可管理性
虚拟专用网安全技术
虚拟专用网络VPN，提供了一种通过公用网络 安全地对企业内部专用网络进行远程访问的连 接方式。VPN连接使用隧道(Tunnel)作为传输 通道，这个隧道是建立在公共网络或专用网络 基础之上的，如：Internet或Intranet，使用 密码技术及专用协议实现的。 VPN常用的隧道协议包括以下几种：
《网络安全技术》习题与答案
答：攻击者意图在两组合同中各选一份使得其杂凑值相同，既非 弱碰撞攻击也非强碰撞攻击，而是介于两者之间的一种形式。为 计算成功概率，先考虑 M 组中的一份合同均不与 M-组中任一份合 同杂凑值相同的概率：ρ1=(1-1/264)^232；其次，当 M 组中的任 一份合同都满足这一条件时，攻击者才会失败，对应概率为：ρ 2=ρ1^232=((1-1/264)^232)^232=(1-1/264)^264；最后，攻击者成功的 概率则为：ρ=1-ρ2=1-(1-1/264)^264。其中^表示乘方运算。
PDRR 模型在 P2DR 模型的基础上把恢复环节提到了和防护、检测、 响应等环节同等的高度，保护、检测、恢复、响应共同构成了完 整的安全体系。PDRR 也是基于时间的动态模型，其中，恢复环节 对于信息系统和业务活动的生存起着至关重要的作用，组织只有 建立并采用完善的恢复计划和机制，其信息系统才能在重大灾难 事件中尽快恢复并延续业务。
WPDRRC 模型全面涵盖了各个安全因素，突出了人、策略、管理的 重要性，反映了各个安全组件之间的内在联系。该模型主要由六 个元素构成：预警、保护、检测、响应、恢复、反击。
6. 试分析古典密码和现代密码的异同？
答：在 1949 年之前，是密码发展的第一阶段—古典密码体制。古 典密码体制是通过某种方式的文字置换和移位进行，这种置换或 移位一般是通过某种手工或机械变换方式进行转换，同时简单地 使用了数学运算。古典密码的安全性主要依赖对算法本身的保密， 密钥的地位和作用并不十分突出。虽然在古代加密方法中已体现 了密码学的若干要素，但它只是一门艺术，而不是一门科学。
4. 何谓业务填充技术？主要用途如何？
答：所谓的业务填充即使在业务闲时发送无用的随机数据，增加 攻击者通过通信流量获得信息的困难，是一种制造假的通信、产
全国计算机等级考试三级网络技术知识点巩固——第7章 网络管理与网络安全
7.2 信息安全技术概述 7.2.1 信息安全的概念 信息安全要实现的目标有：真实性、保密性、完整性、可用性、不可抵赖性、可控制性、可 审查性。 7.2.2 信息安全策略 ① 先进的信息安全技术是网络安全的根本保证。 ② 严格的安全管理。 ③ 制定严格的法律法规。 7.2.3 信息安全性等级 ① 第一级为自主保护级 ② 第二级为指导保护级 ③ 第三级为监督保护级 ④ 第四级为强制保护级 ⑤ 第五级为专控保护级 7.3 网络安全问题与安全策略 7.3.1 网络安全的基本概念 网络安全是指网络系统的部件、程序、数据的安全性，它通过网络信息的存储、传输和 使用过程体现。 确保网络系统的信息安全是网络安全的目标，对网络系统而言，主要包括两个方面：信 息的存储安全和信息的传输安全。需要防止出现以下状况：①对网络上信息的监听 ②对用 户身份的假冒 ③对网络上信息的篡改 ④对发出的信息予以否认 ⑤对信息进行重放 一个完整的网络信息安全系统至少包括三类措施： ①社会的法律政策、 企业的规章制度 及网络安全教育 ②技术方面的措施 ③审计与管理措施 7.3.2 OSI 安全框架 国际电信联盟推荐方案 X.800，即 OSI 安全框架。OSI 框架主要关注三部分：安全攻击、 安全机制和安全服务。 安全攻击分两类：被动攻击（又分信息内容泄露攻击和流量分析两种）和主动攻击。主 动攻击包括对数据流进行篡改或伪造数据流，可分为 4 类：伪装、重放、消息篡改和分布式 拒绝服务。从网络高层的角度划分，攻击方法可以概括为两大类：服务供给与非服务攻击。 安全机制：用来保护系统免受侦听、组织安全攻击及恢复系统的机制成为安全机制。这 些安全机制可以分为两大类： 一类是在特定的协议层实现的， 另一类不属于任何的协议层或 安全服务。 7.3.3 网络安全模型 任何用来保证安全的方法都包含两个方面： 对发送信息的相关安全变换； 双方共享某些秘密 消息。 7.4 加密技术 7.4.1 密码学基本术语 原始的消息成为明文，加密后的消息成为密文，聪明文到密文的变换过程称为加密，从 密文到明文的变换过程称为解密。密码编码学和密码分析学统称为密码学。 1. 密码编码学 密码学系统具有以下三个独立的特征： ①转换明文为密文的运算类型 ②所用的密钥数 ③处
《网络信息安全》第17-18讲(5.1-5.3)
统管理员配置错误引起的，如在网络文件系统中，将目录和文件
以可写的方式共享，将未加shadow的用户密码文件以明码方式存 放在某一目录下，这都会给黑客带来可乘之机，应及时加以修正。
系统攻击者往往是安全漏洞的发现者和使用者
遵义师范学院
5.2 网络攻击的一般步骤
1．攻击的准备阶段
2) 信息收集
收集操作系统类型及版本的方法③：利用网络操作系统里的 TCP/IP堆栈作为特殊的“指纹”来确定系统的真正身份。因为不 同的操作系统在网络底层协议的各种实现细节上略有不同。可以 通过远程向目标发送特殊的包，然后通过返回的包来确定操作系
遵义师范学院
5.1 一般的常用入侵技术
6． www欺骗技术（钓鱼网站）
“钓鱼网站”近来在全球频繁出现，严重地影响了在线金融
服务、电子商务的发展，危害公众利益，影响公众应用互联网的 信心。黑客将用户要浏览的网页链接地址指向黑客自己的服务器， 当用户浏览目标网页的时候，实际上是向黑客发出请求，那么黑 客就可以达到欺骗的目的了。最典型的网络钓鱼攻击将收信人引 诱到一个通过精心设计与目标组织的网站非常相似的钓鱼网站上， 并获取收信人在此网站上输入的个人敏感信息，通常这个攻击过 程不会让受害者警觉。
遵义师范学院
第二部分 攻击与防护
第5章 黑客入侵技术
第6章 病毒原理 第7章 防火墙技术 第8章 入侵检测技术
遵义师范学院
第5章 黑客入侵技术
5.1 一般的常用入侵方法
5.2 网络攻击的一般步骤 5.3 扫描技术
遵义师范学院
5.1 一般的常用入侵技术
网络安全防护基础指南
网络安全防护基础指南第1章网络安全基础概念 (3)1.1 网络安全的重要性 (3)1.2 常见网络安全威胁 (4)1.3 网络安全防护策略 (4)第2章网络硬件安全 (4)2.1 网络设备的选择与部署 (5)2.1.1 设备选型原则 (5)2.1.2 设备部署策略 (5)2.2 网络设备的安全配置 (5)2.2.1 基本安全配置 (5)2.2.2 高级安全配置 (5)2.3 网络设备的管理与维护 (5)2.3.1 设备管理 (6)2.3.2 设备维护 (6)第3章操作系统安全 (6)3.1 操作系统安全基础 (6)3.1.1 操作系统安全概述 (6)3.1.2 操作系统安全风险 (6)3.2 操作系统的安全配置 (7)3.2.1 更新操作系统 (7)3.2.2 关闭不必要的服务 (7)3.2.3 配置防火墙 (7)3.2.4 设置强密码 (7)3.2.5 限制用户权限 (7)3.3 操作系统补丁管理 (7)3.3.1 补丁概述 (7)3.3.2 补丁获取途径 (7)3.3.3 补丁安装策略 (7)第4章应用程序安全 (8)4.1 应用程序漏洞分析 (8)4.1.1 漏洞类型 (8)4.1.2 漏洞成因与影响 (8)4.1.3 漏洞检测与评估 (8)4.2 应用程序安全防护策略 (8)4.2.1 输入验证 (8)4.2.2 访问控制 (8)4.2.3 加密与安全通信 (8)4.2.4 安全编码规范 (8)4.3 应用程序安全开发实践 (9)4.3.1 安全开发原则 (9)4.3.2 安全开发流程 (9)4.3.4 安全培训与意识提升 (9)4.3.5 安全评估与持续改进 (9)第5章数据安全 (9)5.1 数据加密技术 (9)5.1.1 对称加密 (9)5.1.2 非对称加密 (9)5.1.3 混合加密 (10)5.2 数据备份与恢复 (10)5.2.1 数据备份 (10)5.2.2 数据恢复 (10)5.3 数据安全防护策略 (10)5.3.1 访问控制 (10)5.3.2 数据加密 (10)5.3.3 数据脱敏 (11)5.3.4 安全审计 (11)第6章网络边界安全 (11)6.1 防火墙技术 (11)6.1.1 防火墙概述 (11)6.1.2 防火墙的类型 (11)6.1.3 防火墙的部署 (11)6.2 入侵检测与防御系统 (11)6.2.1 入侵检测系统（IDS） (11)6.2.2 入侵防御系统（IPS） (11)6.2.3 入侵检测与防御技术的应用 (12)6.3 虚拟私人网络（VPN） (12)6.3.1 VPN概述 (12)6.3.2 VPN的关键技术 (12)6.3.3 VPN的应用场景 (12)第7章网络入侵检测与防范 (12)7.1 网络入侵手段与检测方法 (12)7.1.1 网络入侵手段 (12)7.1.2 网络入侵检测方法 (13)7.2 入侵防范策略 (13)7.2.1 防范原则 (13)7.2.2 防范措施 (13)7.3 安全事件应急响应 (13)7.3.1 应急响应流程 (13)7.3.2 应急响应措施 (14)第8章网络安全审计与评估 (14)8.1 网络安全审计概述 (14)8.1.1 定义与作用 (14)8.1.2 审计标准与法规 (14)8.2 安全评估方法与工具 (15)8.2.2 安全评估工具 (15)8.3 安全审计与评估的实施 (15)第9章网络安全法律法规与标准 (16)9.1 我国网络安全法律法规体系 (16)9.1.1 法律层面 (16)9.1.2 行政法规与部门规章 (16)9.1.3 地方性法规、规章与政策 (16)9.2 国际网络安全标准与法规 (16)9.2.1 国际组织及标准 (16)9.2.2 欧盟网络安全法规 (16)9.2.3 美国网络安全法规 (16)9.3 网络安全合规性管理 (16)9.3.1 合规性评估 (16)9.3.2 合规性建设 (17)9.3.3 合规性监督与检查 (17)9.3.4 合规性风险管理 (17)第10章网络安全防护实践与案例分析 (17)10.1 网络安全防护体系建设 (17)10.1.1 防护策略制定 (17)10.1.2 防护技术选择 (17)10.1.3 安全设备部署 (17)10.1.4 安全运维与管理 (18)10.2 常见网络安全防护案例分析 (18)10.2.1 DDoS攻击防护案例 (18)10.2.2 数据泄露防护案例 (18)10.2.3 社交工程攻击防护案例 (18)10.2.4 内部威胁防护案例 (18)10.3 企业网络安全防护实践建议 (18)10.3.1 制定完善的安全政策和规章制度 (19)10.3.2 加强安全设备部署与管理 (19)10.3.3 增强数据安全保护 (19)10.3.4 定期进行安全检查与风险评估 (19)10.3.5 建立应急响应机制 (19)第1章网络安全基础概念1.1 网络安全的重要性网络安全是保护计算机网络免受非法侵入和破坏，保证网络数据完整、机密和可用性的重要措施。
第7章 基于网络的入侵检测技术
7.2.4 分析层
异常检测是定期执行的，代理层的各种代理定期地从消 息日志中统计网络和主机的行为模式，并利用学习的方法 与系统中存储的该对象的正常模式相比较，对于异常行为 模式（比如主机负载过高，夜间网络流量过高，通信的源 地址等于目的地址，登录失败等）向管理层报警。如图7.3 所示为NIDS的分析层结构。
• 这一层由通信模块、决策与统计模块和安全响应模块组 成。通信模块接收分析层的报警事件，在管理员控制下， 向分析模块发送配置和控制命令。决策与统计模块一方面 根据网络的配置和相应策略来决定处理行为，包括忽略， 报警、向其它管理层转发、终止当前的连接、自动配置防 火墙或路由器访问控制链表等，并可以执行用户配置的响 应程序；另一方面，从分析模块中获取的数据信息，整理、 归并到关系数据库中，并定期分析，将分析结果以图形化 的形式提交管理员。
版权所有，盗版必般会拦截它们在网络上可疑拦截的一切数据包， 当一个数据包被拦截后，可能会有以下几种情况：
• (1) 对包进行累加，在截取的时间段内对数据包进行累加，用 以确定该时间段内网络的负载，LANALYSER和MS的NM都在网 络负载的表示界面方面有很好的表现。
版权所有，盗版必纠
7.2.2 网络层
• 这一层的作用类似于TCP/IP 体系结构的网络层。它的作 用是接收从网络和系统主机传输到本层分类器的审计数据。 然后分类器将审计数据按照一定的分类原则将数据分为多 种审计类型（Audit classes）的数据（也就是拆包），然后 分别（也就是数据包的路由）传输给它上一层（代理层） 中相应的Agent。
版权所有，盗版必纠
7.2.3 代理层
• 这一层是整个体系结构的核心。在这一层中，每个Agent 执行基于审计内容的计算。计算完成后每个Agent 产生一 个怀疑值（Suspicious Value），这个怀疑值表明了Agent 管 理的相应系统（通过审计日志的记录）是否在一个入侵的 威胁之下。最后，每个Agent 分别报告它的怀疑值给它的 上一层（即：分析层）的分析模块（Analyzer），以做进一 步的处理。
入侵检测习题标准答案
入侵检测习题答案————————————————————————————————作者：————————————————————————————————日期：2第一章习题答案１.1 从物理安全和逻辑安全两个方面描述计算机安全的内容.答：计算机安全的内容包括物理安全和逻辑安全两方面。
物理安全指系统设备及相关设施受到物理保护，免于破坏、丢失等。
逻辑安全指计算机中信息和数据的安全，它存在于信息系统中从信息的产生、信息的传输、信息的存贮直至信息的应用这一全部过程，主要包括软件的安全、数据的安全和运行的安全。
软件的安全是保护各种软件及其文档不被任意篡改、失效和非法复制，数据安全是保护所存贮的数据资源不被非法使用和修改，运行安全是保护信息系统能连续正确地运行。
1.2 安全的计算机系统的特征有几个，它们分别是什么？答：安全的计算机信息系统是指可以信赖的按照期望的方式运行的系统，它必须能够保护整个系统使其免受任何形式的入侵。
它一般应该具有以下几个特征：●机密性（confidentiality）：机密性是指数据不会泄漏给非授权的用户、实体，也不会被非授权用户使用，只有合法的授权用户才能对机密的或受限的数据进行存取。
●完整性（Integrity）：完整性是指数据未经授权不能被改变。
也就是说，完整性要求保持系统中数据的正确性和一致性。
不管在什么情况下，都要保护数据不受破坏或者被篡改。
●可用性（Availability）：计算机资源和系统中的数据信息在系统合法用户需要使用时，必须是可用的。
即对授权用户，系统应尽量避免系统资源被耗尽或服务被拒绝的情况出现。
●可控性（Controliability）：可控性是指可以控制授权范围内的信息流向及行为方式，对信息的访问、传播以及具体内容具有控制能力。
同时它还要求系统审计针对信息的访问，当计算机中的泄密现象被检测出后，计算机的安全系统必须能够保存足够的信息以追踪和识别入侵攻击者，入侵者对此不能够抵赖。
网络安全与入侵检测技术研究
网络安全与入侵检测技术研究第一章：引言近年来，随着互联网的快速发展和普及，网络安全问题也越来越引起人们的关注。
网络安全涉及到个人隐私保护、数据泄露、网络入侵等诸多问题，而网络入侵检测技术作为网络安全的重要组成部分，发挥着重要的作用。
本文将围绕网络安全与入侵检测技术展开研究。
第二章：网络安全的背景与概念2.1 网络安全的背景发展2.2 网络安全的概念与要求第三章：入侵检测技术概述3.1 入侵检测技术的定义与分类3.2 入侵检测技术的原理与流程第四章：基于统计方法的入侵检测技术4.1 统计方法的原理与特点4.2 统计方法在入侵检测中的应用第五章：基于机器学习的入侵检测技术5.1 机器学习的基本概念与算法5.2 机器学习在入侵检测中的应用第六章：基于深度学习的入侵检测技术6.1 深度学习的原理与特点6.2 深度学习在入侵检测中的应用第七章：入侵检测技术的评估与优化7.1 入侵检测技术的评估指标7.2 入侵检测技术的优化方法第八章：网络安全与入侵检测技术的发展趋势8.1 云计算与大数据对网络安全的影响8.2 AI技术在入侵检测中的应用前景第九章：结论总结本文的研究内容和所得结果，对网络安全与入侵检测技术的发展提出展望，并指出未来研究的方向与重点。
以上就是关于网络安全与入侵检测技术的研究的章节划分，通过对网络安全的背景与概念的介绍，对入侵检测技术的概述，以及基于统计方法、机器学习和深度学习等方法的应用，对入侵检测技术的评估与优化等方面的研究，我们可以更好地理解网络安全与入侵检测技术的相关内容，以及其在实际应用中的意义和价值。
同时，通过对未来网络安全与入侵检测技术的发展趋势的展望，也可以为相关研究者提供一定的指导和启示，进一步推动该领域的研究和发展。
网络安全必将成为未来互联网发展的重要组成部分，而入侵检测技术的研究和创新将起到关键的推动作用。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
第七章 入侵检测技术
7.2 PPDR模型及入侵检测系统
入侵检测系统的功能要求:
实时性要求
可扩展性要求
适应性要求
安全性与可用性要求
有效性要求
第七章 入侵检测技术
7.2 PPDR模型及入侵检测系统
入侵检测系统的基本结构
数 据 提 取 数 据 分 析 事 件 响 应
数据
数据
业界将James P. Anderson在1980年发布的那篇《 Computer Security Threat Monitoring and Surveillance》作为入侵检测概念的最早起源 1. 将威胁分成外部渗透、内部渗透、不法行为 2. 提出将审计技术应用到对威胁的检测上
第七章 入侵检测技术
第七章 入侵检测技术
7.3 入侵检测的技术模型
基于误用的入侵检测
收集非正常操作的行为特征，建立相关的特征库，也就是所谓 的专家知识库。通过监测用户的或系统行为，将收集到的数据 与预先确定的特征知识库里的各种攻击模式进行比较，如果能 够匹配，则判断有攻击，系统就认为这种行为是入侵。 误用检测能迅速发现已知的攻击，并指出攻击的类型，便于采 取应对措施；用户可以根据自身情况选择所要监控的事件类型 和数量；并且误用检测没有浮点运算，效率较高。 缺点也是显而易见的：由于依赖误用模式库，它只能检测数据 库中己有的攻击，对未知的攻击无能为力。 误用检测中常用的方法有:简单的模式匹配、专家系统和状态 转移法。
（2）安装snort
bash#rpm -ihv --nodeps snort-1.7-1.i386.rpm
2015/11/2
24
第七章 入侵检测技术
7.5 入侵检测系统的性能指标
入侵检测系统的主要相关术语：
警告(Alert/Alarm)：用来表示一个系统被攻击者攻击，一般包含从攻击内 容中得到的攻击信息，或者异常事件和统计信息。
1997年，Cisco将网络入侵检测集成到其路由器设备， 入侵检测系统正式进入主流网络安全产品阶段。
2001～2003年之间，防火墙是无法控制和发现蠕虫传 播的，反倒是入侵检测产品可以对这些蠕虫病毒所利用 的攻击代码进行检测，一时间入侵检测名声大振。 2003年GARTNER的一篇《入侵检测已死》的文章，带 来了一个新的概念：入侵防御（IPS）。
误警(False Positive)：也成误报，指入侵检测系统对那些良性事件的报警， 这表明IDS的错误报警，太多的误警可能导致正常的报警事件被淹没。
漏警(False Negative)：也称漏报，当一个攻击事件已经发生，而入侵检测 系统却没有有效地检测出来，如果漏警太多，或者关键入侵事件的漏报就使入侵 检测系统失去了其存在意义.
入侵检测的技术模型
最早的入侵检测模型由Dorothy Denning在1986年提出。这 个模型与具体系统和具体输入无关，对此后的大部分实用系统都 很有借鉴价值。
审计记录/网络数据包等 特征表更新 规则更新
事件产生器
行为特征模块
规则模块
包含用于计算用户行为特征的所 有变量，执行基于行为的检测
事件
事件
图7.3 通用入侵检测系统的基本结构图
图7.3给出了一个通用的入侵检测系统结构。很多入侵检测系 统还包括界面处理，配置管理等模块。
第七章 入侵检测技术
7.2 PPDR模型及入侵检测系统
入侵检测系统的分类
基于主机的入侵检测系统（HIDS）
运行于被检测的主机之上，通过查询、监听当前 系统的各种资源的使用运行状态，发现系统资源被 非法使用和修改的事件，进行上报和处理。
预处理模块的作用是对当前截获的 数据包进行预先处理，以便后续处 理模块对数据包的处理操作。
二维规则链表匹配
Snort程序流程图 2015/11/2
22
第七章 入侵检测技术
8.4 入侵检测系统Snort
系统组成和处理流程
数据包捕获器 Lib/Winpcap 数据包解码器 Decoder 预处理器 Oreprocessor 检测引擎 Detection Engine 输出插件 Output plug
7.1 入侵检测的基本概念
1986年Dorothy Denning等人才在其论文An Intrusion Detection Model中给出了一个入侵检测的抽象模型IDES （入侵检测专家系统），并在1988年开发出一个IDES系 统。 审计数据源 二维检测思想： 基于专家系统的特征检测； 模式匹配器 轮廓特征引擎 （误用检测方向）
从入侵检测分类上来看，属于基于网络和误用的入侵检 测软件； 可以运行在Linux、OpenBSD、FreeBSD、Solaris、 以及其它Unix系统、Windows等操作系统之上；
第七章 入侵检测技术
7.4 常用入侵检测系统介绍
Snort的工作模式
网络嗅探分析仪（Sniffer） IP包日志记录器 网络入侵检测系统
由系统安全策略、入侵模式等组 成，执行基于知识的检测
第七章 入侵检测技术
7.3 入侵检测的技术模型
基于异常检测的入侵检测
任何一种入侵和滥用行为通常与正常的行为存在严重的差异， 通过检查出这些差异就可以检查出入侵。 这种方法主要是建立计算机系统中正常行为的模式库，然后根 据收集到的信息数据，通过某种方法，看是否存在重大偏差， 如果偏差在规定范围之外，则认为发生了入侵行为。 异常检测的一个很大的优点是不需要保存各种攻击特征的数据 库，随着统计数据的增加，检测的准确性会越来越高，可能还 会检测到一些未知的攻击。 但由于用户的行为有很大的不确定性，很难对其行为确定正常 范围，因此门限值的确定也比较困难，出错的概率比较大。同 时，它只能说明系统发生了异常的情况，并不能指出系统遭受 了什么样的攻击，这给系统管理员采取应对措施带来了一定困 难。 异常检测中常用的方法有：量化分析、统计分析和神经网络。
第七章 入侵检测技术
7.4 常用入侵检测系统介绍
Snort
Snort系统是一个以开放源代码（Open Source）形式 发行的网络入侵检测系统，由Martin Roesch编写，并 由遍布世界各地的众多程序员共同维护和升级。
Snort是一个功能强大、跨平台、轻量级的网络入侵检 测系统;
系统组成和处理流程
数据包捕获器 Lib/Winpcap 数据包解码器 Decoder 预处理器 Oreprocessor 检测引擎 Detection Engine 输出插件 Output plug
Snort通过两种机制来实现， 其一是将网卡设置为混杂模式， 另一方式则是利用Libpcap/Winpcap 函数库从网卡捕获网络数据包。
分布式入侵检测系统（DIDS）
典型的DIDS是管理端/传感器结构。NIDS作为传 感器放置在网络的各个地方，并向中央管理平台汇 报情况。 对DIDS来说，传感器可以使用NIDS、HIDS，或 者同时使用，而且传感器有的工作在混杂模式，有 的工作在非混杂模式。
第七章 入侵检测技术
7.3 入侵检测的技术模型
基于统计异常模型的异常检测。 （异常检测方向）
异常检测器
策略规则
警告/报告
图7.1 IDES系统模型
第七章 入侵检测技术
7.1 入侵检测的基本概念
1990年Herberlein等人开发出了第一个真正意义上的 入侵检测系统NSM（Network Security Monitor）。
上世纪90年代中期，商业入侵检测产品初现端倪， 1994年出现了第一台入侵检测产品：ASIM。
2015/11/2 26
第七章 入侵检测技术
7.5 入侵检测系统的性能指标
噪声(Noise)：指入侵检测系统生成但又没有真正威胁的报警， 这些报警是正确的，并且也是可疑的，如配置于防火墙之外的入 侵检测系统检测到的扫描事件，可能被防火墙过滤而没有产生扫 描攻击，但是入侵检测系统却检测到并产生报警。 重复报警(Repetitive Alarm)： 指入侵检测系统对某一入侵事 件的反复报警，重复报警并不表示入侵检测系统的错误行为，太 多的重复报警也可能使网络管理员产生视觉疲劳，影响对其他攻 击产生适当响应，另外与其他安全技术协同工作也可能产生严重 问题，过多的重复报警可能会产生拒绝服务。
Snort的检测就是二维规则链表和网 络数据匹配的过程，一旦匹配成功 则把检测结果输出到输出插件。
二维规则链表匹配
Snort程序流程图 2015/11/2
输出方式采用输出插件方式，输出 插件使得Snort在向用户提供格式化 输出时更加灵活。
23
第七章 入侵检测技术
SNORT的安装
（1）如何获得snort 从snort的站点http：//获得其源代 码或者RPM包。使用源代码安装snort需要libpcap库， 可以从ftp：//下载。
– 安装于被保护的主机中
– 主要分析主机内部活动
–占用一定的系统资源
第七章 入侵检测技术
入侵检测的实现方式
基于网络的入侵检测系统（NIDS）
网络IDS是网络上的一个监听设备(或一个专用主机)，通过监听网络上的 所有报文，根据协议进行分析，并报告网络中的非法使用者信息。 –安装在被保护的网段（共享网络、交换环境中交换机要 支持端口映射）中， 只需要在网络的关键点进行部署即可 –混杂模式监听
–分析网段中所有的数据包，对那些基于协议入侵的行为有很好的防范作用
–实时检测和响应 –与主机操作系统无关
2015/11/2 13
第七章 入侵检测技术
网 络 数 据
读取网络数据 网络报文数据
协议分析
事件数据库
N
比较数据
Y
上报事件
网络IDS工作模型
2015/11/2 14