入侵检测技术目的-发现黑客

一.黑客常见的操作
1.制造并传播病毒木马
2.寝取隐私或敏感信息
3.控制你的计算机
4.服务器宕机（死机）
5网络瘫痪
二.常见的网络攻击手段：
网络攻击主要分为以下几种类型
（1）主动攻击：包含攻击者访问所需要信息的故意行为。
（2）被动攻击。主要是收集信息而不是进行访问，数据的合法用户对这种活动一点也不会觉察到。被动攻击包括：
1、窃听：包括键击记录、网络监听、非法访问数据、获取密码文件。
2、欺骗：包括获取口令、恶意代码、网络欺骗。
3、拒绝服务：包括导致异常型、资源耗尽型、欺骗型。
4、数据驱动攻击：包括缓冲区溢出、格式化字符串攻击、输入验证攻击、同步漏洞攻击、信任漏洞攻击。
攻击的方法主要有：

• 口令入侵
• 特洛伊木马
• WWW欺骗
• 电子邮件
• 节点攻击
• 网络监听
• 黑客软件
• 安全漏洞
• 端口扫描
  三、黑客入侵的基本步骤：
  
  四.黑客入侵成功的三个条件：
  1.被攻击目标要有漏洞，黑客能够发现漏洞-后门。
  2 找到漏洞后能够利用它-恶意代码（不能被发现）
  3.通过网络远程访问-且不能被被攻击目标发现不能被识别代码
  
  五、防火墙是门，入侵检测是摄像头
  1.FW是边界防护措施，IDS是动态监控措施；
  2.FW靠制定规则防止非授权的人进行访问，是提高入侵者的门槛；IDS通过发现入侵者的异常行为，判断谁是黑客，用以对付“伪装”进来的高级入侵者。
  
  六、怎样发现黑客
  1.误用：
  数据非正常操作的行为特征，建立相关的特征库，当监测的用户或系统行为与库中的记录相匹配时，系统就认为这种行为是入侵，称为误用检测。
• 指纹比对（犯罪记录）：建立恶意代码库，动态比对；
• 模式匹配（盗窃方式）：建立攻击者模型，采用状态机转态分析技术，连续符合一系列动作的行为链；

识别已知的黑客与已知的攻击方式，指纹要有样本才能提取；习行为链需要熟悉黑客做法的总结。
2、异常
首先总结正常操作应该具有的特征（用户轮廓），当用户活动与正常行为有重大偏离时即被认为是疑似入侵，称为用户异常检测，如访问时间、流量大小、通信协议等；

• 统计基线：通过大量“学习“，建立建立基于统计的基线模型
• 数据挖掘：建立业务访问模型，建立违规业务模型。
  *需要注意问题：
  1.异常未必是入侵
  2.入侵未必都有明显的异常

---

入侵检测技术是通过安全警报，引起管理者的关注，分析确认攻击者的动作行为后调动人员应急处理。

八、入侵检测系统产品组成
1.控制中心：
表现方式：软件
功能：

• 接受事件
• 策略下发
• 事件库升级
  2.探测引擎：
  表现方式：硬件/软件
  功能：
• 抓包、分析、上报事件
• 日志、分析、上报事件
  
  九、网络入侵检测系统的部署方式
  旁路并联：复制监控链路的流量，所以只报警，不阻断。重在分析，少影响业务。