一、入侵檢測系統分析

1.1 什么是入侵檢測系統

所謂入侵，是指任何試圖危及計算機資源的完整性、機密性或可用性的行為。而入侵檢測，顧名思義，便是對入侵行為的發覺。它通過從計算機網絡或系統中的若干關鍵點收集信息，并對這些信息進行分析，從而發現網絡或系統中是否有違反安全策略的行為和遭到襲擊的跡象。進行入侵檢測的軟件與硬件的組合便是入侵檢測系統(簡稱IDS)。與其他安全產品不同的是，入侵檢測系統需要更多的智能，它必須可以將得到的數據進行分析，并得出有用的結果。一個合格的入侵檢測系統能大大簡化管理員的工作，保證網絡安全地運行。

1.2 入侵檢測系統的分類

按檢測所使用數據源的不同可以將IDS分為基于主機的IDS和基于網絡的IDS。

基于主機的IDS使用各種審計日志信息(如主機日志、路由器日志、防火墻日志等)作為檢測的數據源。通常，基于主機的IDS可監測系統、事件和操作系統下的安全記錄以及系統記錄。當有文件發生變化時，IDS將新的記錄條目與攻擊標記相比較，看它們是否匹配。如果匹配，系統就會向管理員報警，以采取措施。

基于網絡的入侵檢測系統使用原始網絡分組數據包作為數據源?；诰W絡的IDS通常利用一個運行在混雜模式下的網絡適配器來實時監視并分析通過網絡的所有通信業務。一旦檢測到了攻擊行為，IDS的響應模塊就會對攻擊采取相應的反應，如通知管理員、中斷連接、終止用戶等。

1.3 入侵檢測的檢測方法

入侵檢測技術通過對入侵行為的過程與特征的研究，使安全系統對入侵事件和入侵過程能做出實時響應，從檢測方法上分為兩種：誤用入侵檢測和異常入侵檢測。

在誤用入侵檢測中，假定所有入侵行為和手段都能夠表達為一種模式或特征，那么所有已知的入侵方法都可以用匹配的方法發現。誤用入侵檢測的關鍵是如何表達入侵的模式，把真正的入侵與正常行為區分開來。其優點是誤報少，局限性是它只能發現已知的攻擊，對未知的攻擊無能為力。

在異常入侵檢測中，假定所有入侵行為都是與正常行為不同的，這樣，如果建立系統正常行為的軌跡，那么理論上可以把所有與正常軌跡不同的系統狀態視為可疑企圖。比如，通過流量統計分析將異常時間的異常網絡流量視為可疑。異常入侵檢測的局限是并非所有的入侵都表現為異常，而且系統的軌跡難于計算和更新。

對比這兩種檢測方法可以發現，異常檢測難于定量分析，這種檢測方式有一種固有的不確定性。與此不同，誤用檢測會遵循定義好的模式，能通過對審計記錄信息做模式匹配來檢測，但僅可檢測已知的入侵方式。所以這兩類檢測機制都不完美。就具體的檢測方法來說，現在已經有了很多入侵檢測的方法，但任何一種方法都有它的局限性，都不能解決所有問題。因而對于入侵檢測方法的研究仍然是當前入侵檢測研究的一個重點。

二、Linux下的實現

在對入侵檢測技術研究的基礎上，我們在Linux系統下設計并實現了一個基于網絡的入侵檢測系統。

2.1 系統的組成結構

該系統的組成結構如圖1所示。數據采集模塊負責從網絡上收集原始的網絡數據流，在經過一定的預處理后，這些數據被送到數據分析模塊，由數據分析模塊進行分析，以便判斷是否有違反安全策略的入侵行為發生。并及時將分析結果送到告警模塊，由告警模塊向控制臺產生告警信息。用戶可以通過用戶界面與控制臺交互，通過控制臺，一方面可以對各個模塊進行配置，另一方面也可以接收告警信息。

圖1 系統的組成結構

2.2 系統的功能描述

該系統實現了入侵檢測的主要功能，包括數據采集、數據預處理、入侵分析以及告警。具體來說，可以完成以下功能：

捕獲符合指定條件的網絡數據包。

進行IP重組，提供IP包數據。

重組TCP流，提供TCP流數據。

重組應用層數據流，提供HTTP數據流。

實現基于規則的入侵檢測方法。

向控制臺提交分析結果。

接受控制臺的配置和管理。

由于該系統功能的實現主要體現在數據采集模塊和數據分析模塊中，所以下面將對這兩個模塊加以詳細說明。

我們一直都在努力堅持原創.......請不要一聲不吭，就悄悄拿走。

我原創，你原創，我們的內容世界才會更加精彩！

【所有原創內容版權均屬TechTarget，歡迎大家轉發分享。但未經授權，嚴禁任何媒體(平面媒體、網絡媒體、自媒體等)以及微信公眾號復制、轉載、摘編或以其他方式進行使用?！?/p>

微信公眾號

TechTarget

官方微博

TechTarget中國

總結

以上是生活随笔為你收集整理的专门入侵检测linux叫什么,入侵检测系统分析及其在Linux下的实现（上）的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。