2024年网络安全最全网络安全 入侵检测技术(2)，2024年最新网络安全开发基础在线培训学校

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

1984年到1986年，乔治敦大学的Dorothy Denning和SRI/CSL的Peter Neumann研究出了一个实时入侵检测系统模型——IDES（入侵检测专家系统）
1990年，加州大学戴维斯分校的L. T. Heberlein等人开发出了NSM (Network Security Monitor)
第一次直接将网络数据流作为审计数据来源，因而可以在不将审计数据转换成统一格式的情况下监控异种主机。
两大阵营正式形成：基于网络的IDS和基于主机的IDS

1988年之后，美国开展对分布式入侵检测系统(DIDS)的研究，将基于主机和基于网络的检测方法集成到一起。
DIDS是分布式入侵检测系统历史上的一个里程碑式的产品。
从20世纪90年代到现在，入侵检测系统的研发呈现出百家争鸣的繁荣局面，并在智能化和分布式两个方向取得了长足的进展。

IDS的通用模型

事件产生器
事件分析器
事件数据库
响应单元

事件产生器

负责收集、采集各种原始数据，且将其转换为事件，向系统的其他部分提供此事件。
收集内容：系统、网络数据及用户活动的状态和行为。
不同关键点的信息：系统或网络的日志文件、网络流量、系统目录和文件的异常变化、程序执行中的异常行为

事件分析器

接收事件信息，对其进行分析，判断是否为入侵行为或异常现象，最后将判断的结果转变为告警信息。
分析方法
模式匹配（与已知的攻击进行比较）
统计分析（确定对象的异常行为）
完整性分析（常用于事后分析）

事件数据库

存放各种中间和最终数据的地方
从事件产生器或事件分析器接收数据，一般会将数据进行较长时间的保存，以便于今后的关联分
析等。

响应单元

根据告警信息作出反应，是IDS中的主动武器
可作出
强烈反应：切断连接、改变文件属性等
简单的报警：给管理员发送短信等。

入侵检测技术的分类

检测IDS性能的两个关键参数
误报率（False Positive）
实际无害的事件却被IDS检测为攻击事件
漏报率（False Negative）
一个攻击事件未被IDS检测到或被分析人员认为是无害的

入侵检测系统分类
根据其采用的分析方法（检测原理）
根据数据来源
根据体系结构
根据系统的工作方式

根据其采用的分析方法（检测原理）可分为
异常检测（Anomaly Detection）
前提：假设入侵行为与正常行为不同，即入侵是异常活动的子集
对正常行为用定量的方式加以描述，当用户活动与正常行为有重大偏离时即被认为是入侵。
利用统计的分析方法
误用检测（Misuse Detection）
前提：假设所有入侵行为和手段都能表达为一种模式或特征，又称特征检测，即所有的入侵行为都有可以被检测到的特征

利用特征匹配的方法

异常检测
用户轮廓（Profile）
通常定义为各种行为参数及其阈值的集合，用于描述正常行为范围
指标
漏报率低，误报率高

特点
异常检测系统的效率取决于用户轮廓的完备性和监控的
频率
不需要对每种入侵行为进行定义，因此能有效检测未知
的入侵
系统能针对用户行为的改变进行自我调整和优化，但随
着检测模型的逐步精确，异常检测会消耗更多的系统资
源

误用检测
攻击特征库
当检测的用户或系统行为与库中的记录相匹配时，系统就认为这种行为是入侵

指标
误报率低、漏报率高
特点
采用模式匹配，误用模式能明显降低误报率，但漏报率随之增加，攻击特征的细微变化，会使得误用检测无能为力。

根据数据来源可分为
基于主机的IDS（HIDS)
        系统获取数据的依据是系统运行所在的主机
        保护的目标也是系统运行所在的主机
基于网络的IDS（NIDS）
        系统获取的数据是网络传输的数据包保护的目标是网络的正常运行

根据体系结构可分为
集中式IDS

有多个分布于不同主机上的审计程序，但只有一个中央入侵检测服务器。
可伸缩性、可配置性差

分布式IDS

将中央检测服务器的任务分配给多个HIDS，他们不分等级，负责监控当地主机的可疑活动。
可伸缩性、安全性高；但维护成本高，监控主机的工作负荷重。

根据系统的工作方式可分为

如何自学黑客&网络安全

黑客零基础入门学习路线&规划

初级黑客
1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（一周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（一周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（一周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）
恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；如果等保模块学的好，还可以从事等保工程师。薪资区间6k-15k

到此为止，大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗？

如果你想要入坑黑客&网络安全，笔者给大家准备了一份：282G全网最全的网络安全资料包评论区留言即可领取！

7、脚本编程（初级/中级/高级）
在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力.

如果你零基础入门，笔者建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习；搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP， IDE强烈推荐Sublime；·Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，不要看完；·用Python编写漏洞的exp,然后写一个简单的网络爬虫；·PHP基本语法学习并书写一个简单的博客系统；熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)；·了解Bootstrap的布局或者CSS。

8、超级黑客
这部分内容对零基础的同学来说还比较遥远，就不展开细说了，附上学习路线。

网络安全工程师企业级学习路线

如图片过大被平台压缩导致看不清的话，评论区点赞和评论区留言获取吧。我都会回复的

视频配套资料&国内外网安书籍、文档&工具

当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。

一些笔者自己买的、其他平台白嫖不到的视频教程。

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！