入侵检测流程

入侵检测流程

• 入侵检测的过程
• 入侵检测系统的数据源
• 入侵分析的概念
• 入侵分析的模型
• 入侵检测的分析方法
• 告警与响应

入侵检测系统的数据源

堪于主机的数据源:

• 系统运行状态信息
• 系统记帐信息
• 系统日志（Syslog）
• C2级安全性审计信息

基于网络的数据源

• SNMP信息
• 网络通信包

其他来源

• 应用程序日志文件
• 其他入侵检测系统的报警信息
• 其他网络设备和安全产品的信息

入侵分析的概念

• 入侵检测系统是一个复杂的数据处理系统，所涉及到的问题域中的各种关系也比较复杂。
• 从入侵检测的角度来说，分析是指针对用户和系统活动数据进行有效的组织、整理并提取特征，以鉴别出感兴趣的行为。这种行为的鉴别可以实时进行，也可以事后分析，在很多情况下，事后的进步分析是为了寻找行为的责任人。

入侵分析的目的

• 重要的威慑力:目标系统使用IDS进行入侵分析，对于入侵者来说具有很大的威慑力，因为这意味着攻击行为可能会被发现或被追踪。
• 安全规划和管理:分析过程中可能会发现在系统安全规划和管理中存在的漏洞，安全管理员可以根据分析结果对系统进行重新配置，避免被攻击者用来窃取信息或破坏系统。
• 获取入侵证据:入侵分析可以提供有关入侵行为详细的、可信的证据，这些证据可以用于事后追究入侵者的责任。

入侵分析应考虑的因素

• 需求
• 子目标
• 目标划分
• 平衡

入侵分析的模型

入侵分析处理过程可分为三个阶段:

• 构建分析器
• 分析数据
• 反馈和更新

构建分析器

• 收集并生成事件信息
• 预处理信息
• 建立行为分析引擎
• 将事件数据输入引擎中
• 保存已输入数据的模型

分析数据

• 输入事件记录
• 事件预处理
• 比较事件记录和知识库
• 产生响应

反馈和更新

• 反馈和更新是一个非常重要的过程。
• 在误用检测系统中，反映这个阶段的主要功能是攻击信息的特征数据库是否可以更新。每天都能够