入侵检测基于数据分析方法

‘壹’ 简述入侵检测常用的四种方法

入侵检测系统所采用的技术可分为特征检测与异常检测两种。

1、特征检测

特征检测(Signature-based detection) 又称Misuse detection ，这一检测假设入侵者活动可以用一种模式来表示，系统的目标是检测主体活动是否符合这些模式。

它可以将已有的入侵方法检查出来，但对新的入侵方法无能为力。其难点在于如何设计模式既能够表达“入侵”现象又不会将正常的活动包含进来。

2、异常检测

异常检测(Anomaly detection) 的假设是入侵者活动异常于正常主体的活动。根据这一理念建立主体正常活动的“活动简档”，将当前主体的活动状况与“活动简档”相比较，当违反其统计规律时，认为该活动可能是“入侵”行为。

异常检测的难题在于如何建立“活动简档”以及如何设计统计算法，从而不把正常的操作作为“入侵”或忽略真正的“入侵”行为。

(1)入侵检测基于数据分析方法扩展阅读

入侵分类：

1、基于主机

一般主要使用操作系统的审计、跟踪日志作为数据源，某些也会主动与主机系统进行交互以获得不存在于系统日志中的信息以检测入侵。

这种类型的检测系统不需要额外的硬件．对网络流量不敏感，效率高，能准确定位入侵并及时进行反应，但是占用主机资源，依赖于主机的可靠性，所能检测的攻击类型受限。不能检测网络攻击。

2、基于网络

通过被动地监听网络上传输的原始流量，对获取的网络数据进行处理，从中提取有用的信息，再通过与已知攻击特征相匹配或与正常网络行为原型相比较来识别攻击事件。

此类检测系统不依赖操作系统作为检测资源，可应用于不同的操作系统平台；配置简单，不需要任何特殊的审计和登录机制；可检测协议攻击、特定环境的攻击等多种攻击。

但它只能监视经过本网段的活动，无法得到主机系统的实时状态，精确度较差。大部分入侵检测工具都是基于网络的入侵检测系统。

3、分布式

这种入侵检测系统一般为分布式结构，由多个部件组成，在关键主机上采用主机入侵检测，在网络关键节点上采用网络入侵检测，同时分析来自主机系统的审计日志和来自网络的数据流，判断被保护系统是否受到攻击。

‘贰’ 什么是入侵检测

入侵检测是防火墙的合理补充，帮助系统对付网络攻击，扩展了系统管理员的安全管理能力(包括安全审计、监视、进攻识别和响应)，提高了信息安全基础结构的完整性。

它从计算机网络系统中的若干关键点收集信息，并分析这些信息，看看网络中是否有违反安全策略的行为和遭到袭击的迹象。入侵检测被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护。

检测步骤

(1)信息收集。入侵检测的第一步是信息收集，内容包括系统、网络、数据及用户活动的状态和行为。

而且，需要在计算机网络系统中的若干不同关键点(不同网段和不同主机)收集信息，这除了尽可能扩大检测范围的因素外，还有一个重要的因素就是从一个源来的信息有可能看不出疑点，但从几个源来的信息的不一致性却是可疑行为或入侵的昂好标识。

当然，入侵检测很大程度上依赖于收集信息的可靠性和正确性，因此，很有必要只昶用所知道的真正的和精确的软件来报告这些信息。因为黑客经常替换软件以搞混和移走这些信息，例如替换被程序调用的子程序、库和其他工具。

黑客对系统的修改可能使系统功能失常并看起来跟正常的一样，而实际上不是。例如，UNIX系统的PS指令可以被替换为一个不显示侵入过程的指令，或者是编辑器被替换成一个读取不同于指定文件的文件(票客隐藏了初始文件并用另一版本代替)。

这需要保证用来检测网络系统的软件的完整性，特别是入侵检测系统软件本身应具有相当强的坚固性，防止被篡改而收集到错误的信息。

(2)信号分析。对上述四类收集到的有关系统、网络、数据及用户活动的状态和行为等信息，一般通过三种技术手段进行分析：模式匹配、统计分析和完整性分析。其中前两种方法用于实时的入侵检测，而完整性分析则用于事后分析。

‘叁’ 什么是ids!

IDS是指入侵检测系统。

入侵检测系统是一种用于监控网络和计算机系统，以检测可能对网络和系统造成损害的行为的安全工具。其主要功能是实时监控网络流量和系统的活动，寻找潜在的安全威胁和异常行为。IDS能够分析网络流量、日志文件、系统调用等数据源，并根据这些数据的模式匹配、统计分析等方法来判断是否存在入侵行为。当IDS检测到可疑行为时，会发出警报，并采取相应的措施，如封锁攻击源、记录攻击轨迹等。

入侵检测系统的详细解释：

1. 基本功能：IDS的核心功能是实时监控网络流量和系统的活动，识别出与已知攻击模式相匹配的行为或异常活动。这些攻击模式可以包括恶意软件的通信模式、异常的登录尝试等。

2. 数据来源：IDS的数据来源非常广泛，包括网络流量数据、系统日志文件、用户行为数据等。通过对这些数据的分析，IDS可以判断网络或系统是否受到攻击。

3. 检测方法：IDS采用多种检测方法来识别攻击。常见的检测方法包括模式匹配、统计分析、行为分析等。模式匹配是通过匹配已知的攻击签名来检测攻击；统计分析则是通过分析网络流量的正常模式来识别异常行为；行为分析则是通过分析系统的行为来判断是否存在恶意行为。

4. 重要性：IDS对于网络安全至关重要。它可以帮助企业和组织及时发现并应对网络攻击，减少潜在的安全风险。同时，IDS还可以帮助企业和组织了解自身的网络安全状况，优化安全策略，提高网络安全防护能力。

总的来说，入侵检测系统是一种重要的网络安全工具，它可以帮助企业和组织保护其网络和系统的安全，及时发现并应对潜在的安全威胁。