入侵检测技术 课后答案

第1章入侵检测概述思考题：（1）分布式入侵检测系统（DIDS）是如何把基于主机的入侵检测方法和基于网络的入侵检测方法集成在一起的？答：分布式入侵检测系统是将主机入侵检测和网络入侵检测的能力集成的第一次尝试，以便于一个集中式的安全管理小组能够跟踪安全侵犯和网络间的入侵。

DIDS的最初概念是采用集中式控制技术，向DIDS中心控制器发报告。

DIDS解决了这样几个问题。

在大型网络互联中的一个棘手问题是在网络环境下跟踪网络用户和文件。

DIDS允许用户在该环境中通过自动跨越被监视的网络跟踪和得到用户身份的相关信息来处理这个问题。

DIDS是第一个具有这个能力的入侵检测系统。

DIDS解决的另一个问题是如何从发生在系统不同的抽象层次的事件中发现相关数据或事件。

这类信息要求要理解它们对整个网络的影响，DIDS用一个6层入侵检测模型提取数据相关性，每层代表了对数据的一次变换结果。

（2）入侵检测作用体现在哪些方面？答：一般来说，入侵检测系统的作用体现在以下几个方面：●监控、分析用户和系统的活动；●审计系统的配置和弱点；●评估关键系统和数据文件的完整性；●识别攻击的活动模式；●对异常活动进行统计分析；●对操作系统进行审计跟踪管理，识别违反政策的用户活动。

（3）为什么说研究入侵检测非常必要？答：计算机网络安全应提供保密性、完整性以及抵抗拒绝服务的能力，但是由于连网用户的增加，网上电子商务开辟的广阔前景，越来越多的系统受到入侵者的攻击。

为了对付这些攻击企图，可以要求所有的用户确认并验证自己的身份，并使用严格的访问控制机制，还可以用各种密码学方法对数据提供保护，但是这并不完全可行。

另一种对付破坏系统企图的理想方法是建立一个完全安全的系统。

但这样的话，就要求所有的用户能识别和认证自己，还要采用各种各样的加密技术和强访问控制策略来保护数据。

而从实际上看，这根本是不可能的。

因此，一个实用的方法是建立比较容易实现的安全系统，同时按照一定的安全策略建立相应的安全辅助系统。

入侵检测系统就是这样一类系统，现在安全软件的开发方式基本上就是按照这个思路进行的。

就目前系统安全状况而言，系统存在被攻击的可能性。

如果系统遭到攻击，只要尽可能地检测到，甚至是实时地检测到，然后采取适当的处理–– 1措施。

入侵检测系统一般不是采取预防的措施以防止入侵事件的发生，入侵检测作为安全技术其主要目的有：（1）识别入侵者；（2）识别入侵行为：（3）检测和监视已成功的安全突破；（4）为对抗入侵及时提供重要信息，阻止事件的发生和事态的扩大。

从这个角度看待安全问题，入侵检测非常必要，它可以有效弥补传统安全保护措施的不足。

第2章入侵方法与手段选择题：（1） B.（2） B思考题：（1）一般来说，黑客攻击的原理是什么？答：黑客之所以能够渗透主机系统和对网络实施攻击，从内因来讲，主要因为主机系统和网络协议存在着漏洞，而从外因来讲原因有很多，例如人类与生俱来的好奇心等等，而最主要的是个人、企业甚至国家的利益在网络和互联网中的体现。

利益的驱动使得互联网中的黑客数量激增。

（2）拒绝服务攻击是如何实施的？答：最基本的DoS攻击是利用合理的服务请求来占用过多的服务资源，致使服务超载，无法响应其他的请求。

这些服务资源包括网络带宽，文件系统空间容量，开放的进程或者向内的连接。

这种攻击会导致资源的匮乏，无论计算机的处理速度多么快，内存容量多么大，互连网的速度多么快都无法避免这种攻击带来的后果。

因为任何事都有一个极限，所以，总能找到一个方法使请求的值大于该极限值，因此就会使所提供的服务资源匮乏，象是无法满足需求。

（3）秘密扫描的原理是什么？答：秘密扫描不包含标准的TCP三次握手协议的任何部分，所以无法被记录下来，从而比SYN扫描隐蔽得多。

秘密扫描技术使用FIN数据包来探听端口。

当一个FIN数据包到达一个关闭的端口，数据包会被丢掉，并且回返回一个RST数据包。

否则，当一个FIN数据包到达一个打开的端口，数据包只是简单的丢掉（不返回RST）。

（4）分布式拒绝服务攻击的原理是什么？答：DDoS攻击手段是在传统的DoS攻击基础之上产生的一类攻击方式。

理解了DoS 攻击的话，DDoS的原理就很简单。

如果说计算机与网络的处理能力加大了10倍，用一台攻击机来攻击不再能起作用的话，攻击者使用10台攻击机同时攻击呢？用100台呢？–– 2DDoS就是利用更多的傀儡机来发起进攻，以比从前更大的规模来进攻受害者。

（5）缓冲区溢出攻击的原理是什么？答：缓冲区是计算机内存中的临时存储数据的区域，通常由需要使用缓冲区的程序按照指定的大小来创建的。

一个强健的程序应该可以创建足够大的缓冲区以保存它接收的数据，或者可以监测缓冲区的使用情况并拒绝接收超过缓冲区中可以保存的数据。

如果程序没有对缓冲区边界进行检查，即可以允许没有干扰地输入数据，而不考虑大小问题。

这样多出的数据就会被写到缓冲区之外，这时就可能写入到其它的内存区域中。

如果在这部分内存中已经存放了一些重要的内容（例如计算机操作系统的某一部分，或者更有可能是其它数据或应用程序自己的代码），那么它的内容就被覆盖了（发生数据丢失）。

（6）格式化字符串攻击的原理是什么？答：所谓格式化串，就是在*printf()系列函数中按照一定的格式对数据进行输出，可以输出到标准输出，即printf()，也可以输出到文件句柄，字符串等，对应的函数有fprintf,sprintf,snprintf,vprintf,vfprintf,vsprintf,vsnprintf等。

能被黑客利用的地方也就出在这一系列的*printf()函数中，*printf()系列函数有三条特殊的性质，这些特殊性质如果被黑客结合起来利用，就会形成漏洞。

格式化串漏洞和普通的缓冲溢出有相似之处，但又有所不同，它们都是利用了程序员的疏忽大意来改变程序运行的正常流程。

第3章入侵检测系统选择题：（1） D（2） D思考题：（1）入侵检测系统有哪些基本模型？答：在入侵检测系统的发展历程中，大致经历了三个阶段：集中式阶段、层次式阶段和集成式阶段。

代表这三个阶段的入侵检测系统的基本模型分别是通用入侵检测模型（Denning模型）、层次化入侵检测模型（IDM）和管理式入侵检测模型（SNMP-IDSM）。

（2）简述IDM模型的工作原理？答：IDM模型给出了在推断网络中的计算机受攻击时数据的抽象过程。

也就是给出了将分散的原始数据转换为高层次的有关入侵和被监测环境的全部安全假设过程。

通过把收集到的分散数据进行加工抽象和数据关联操作，IDM构造了一台虚拟的机器环境，–– 3这台机器由所有相连的主机和网络组成。

将分布式系统看作是一台虚拟的计算机的观点简化了对跨越单机的入侵行为的识别。

（3）入侵检测系统的工作模式可以分为几个步骤，分别是什么？答：入侵检测系统的工作模式可以分为4个步骤，分别为：从系统的不同环节收集信息；分析该信息，试图寻找入侵活动的特征；自动对检测到的行为作出响应；记录并报告检测过程和结果。

（4）基于主机的入侵检测系统和基于网络的入侵检测系统的区别是什么？答：基于主机的入侵检测系统可监测系统、事件和操作系统下的安全记录以及系统记录。

当有文件发生变化时，入侵检测系统将新的记录条目与攻击标记相比较，看它们是否匹配。

如果匹配，系统就会向管理员报警，以采取措施。

基于网络的入侵检测系统使用原始网络数据包作为数据源。

基于网络的入侵检测系统通常利用一个运行在混杂模式下的网络适配器来实时监视并分析通过网络的所有通信业务。

（5）异常入侵检测系统的设计原理是什么？答：异常入侵检测系统利用被监控系统正常行为的信息作为检测系统中入侵行为和异常活动的依据。

在异常入侵检测中，假定所有入侵行为都是与正常行为不同的，这样，如果建立系统正常行为的轨迹，那么理论上可以把所有与正常轨迹不同的系统状态视为可疑企图。

对于异常阈值与特征的选择是异常入侵检测的关键。

比如，通过流量统计分析将异常时间的异常网络流量视为可疑。

异常入侵检测的局限是并非所有的入侵都表现为异常，而且系统的轨迹难于计算和更新。

（6）误用入侵检测系统的优缺点分别是什么？答：误用入侵检测系统的优点是误报少；缺点是它只能发现已知的攻击，对未知的攻击无能为力。

（7）简述防火墙对部署入侵检测系统的影响。

答：防火墙系统起防御来自外部网络的攻击的作用，在这时和入侵检测系统互相配合可以做更有效的安全管理。

通常将入侵检测系统部署在防火墙之后，进行继防火墙一次过滤后的二次防御。

但是在有些情况下，还需要考虑来自外部的针对防火墙本身的攻击行为。

如果黑客觉察到防火墙的存在并攻破防火墙的话，对内部网络来说是非常危险的。

因此在高安全性要求的环境下在防火墙外部部署入侵检测产品，进行先于防火墙的一次检测、防御。

这样用户可以预知那些恶意攻击防火墙的行为并及时采取相应的安全措施，以保证整个网络的安全性。

–– 4第4章入侵检测流程选择题：（1） C（2） A思考题：（1）入侵分析的目的是什么？答：入侵分析的主要目的是提高信息系统的安全性。

除了检测入侵行为之外，人们通常还希望达到以下目标：重要的威慑力；安全规划和管理；获取入侵证据。

（2）入侵分析需要考虑哪些因素？答：入侵分析需要考虑的因素主要有以下四个方面：需求；子目标；目标划分；平衡。

（3）告警与响应的作用是什么？答：在完成系统安全状况分析并确定系统所存在的问题之后，就要让人们知道这些问题的存在，在某些情况下，还要另外采取行动。

这就是告警与响应要完成的任务。

（4）联动响应机制的含义是什么？答：入侵检测的主要作用是通过检查主机日志或网络传输内容，发现潜在的网络攻击，但一般的入侵检测系统只能做简单的响应，如通过发RST包终止可疑的TCP连接。

而对于大量的非法访问，如DoS类攻击，仅仅采用入侵检测系统本身去响应是远远不够的。

因此，在响应机制中，需要发挥各种不同网络安全技术的特点，从而取得更好的网络安全防范效果。

这就需要采用入侵检测系统的联动响应机制。

目前，可以与入侵检测系统联动进行响应的安全技术包括防火墙、安全扫描器、防病毒系统、安全加密系统等。

但其中最主要的是防火墙联动，即当入侵检测系统检测到潜在的网络攻击后，将相关信息传输给防火墙，由防火墙采取响应措施，从而更有效的保护网络信息系统的安全。

第5章基于主机的入侵检测技术一、ABCD二、思考题1．基于主机的数据源主要有哪些？–– 5答：基于主机的数据源主要有系统日志、应用程序日志等。

2．获取审计数据后，为什么首先要对这些数据进行预处理？答：当今现实世界中的数据库的共同特点是存在不完整的、含噪声的和不一致的数据，用户感兴趣的属性，并非总是可用的。

网络入侵检测系统分析数据的来源与数据结构的异构性，实际系统所提供数据的不完全相关性、冗余性、概念上的模糊性以及海量审计数据中可能存在大量的无意义信息等问题，使得系统提供的原始信息很难直接被检测系统使用，而且还可能造成检测结果的偏差，降低系统的检测性能。