第八ç«?/p>
入侵检测系ç»?/p>
第一èŠ?/p>
引言
通过电子手段对一个组织信息库的恶意攻击称为信息战
(information
warfare)
。攻击的ç›?/p>
的可能干扰组织的正常活动ï¼?/p>
甚至企图对组织的信息库造成严重的破坏ã€?/p>
对信息战的各种抵抗措
施都可归结为三类:保护、检测、响应ã€?/p>
保护
(
入侵的防èŒ?/p>
)
指保护硬件、软件、数据抵御各种攻击的技术。目前各种网络安全设æ–?/p>
如防火墙å�?/p>
VPN
,各种加密技术,身份认证技术,易攻击性扫描等都属于保护的范围之内,它
们是计算机系统的第一道防线ã€?/p>
检æµ?/p>
(
入侵的检æµ?/p>
)
研究如何高效正确地检测网络攻击。只有入侵防范不足以保护计算机的
安全ï¼?/p>
任何系统及协议都不可避免地存在缺陷,
可能是协议本身也可能是协议的实现ï¼?/p>
还有一äº?/p>
技术之外的社会关系问题ï¼?/p>
都能威胁信息安全ã€?/p>
因此即使采用这些保护措施ï¼?/p>
入侵者仍可能利用
相应缺陷攻入系统,这意味着入侵检测具有其他安全措施所不能代替的作用ã€?/p>
响应
(
入侵的响åº?/p>
)
是入侵检测之后的处理工作,主要包括损失评估,根除入侵者留下的å�?/p>
门,数据恢复,收集入侵者留下的证据等。这三种安全措施构成完整的信息战防御系统ã€?/p>
入侵检测(
Intrusion
Detection
ï¼?/p>
ID
)是本章讨论的主题之一,它通过监测计算机系统的
某些信息,加以分析,检测入侵行为,并做出反应。入侵检测系统所检测的系统信息包括系统è®?/p>
录,网络流量,应用程序日志等。入侵(
Intrusion
)定义为未经授权的计算机使用者以及不æ?/p>
当使ç”?/p>
(misuse)
计算机的合法用户
(
内部威胁
)
,危害或试图危害资源的完整性、保密性、可用æ€?/p>
的行为。入侵检测系统(
Intrusion Detection System
ï¼?/p>
IDS
)是实现入侵检测功能的硬件与软