IDS基础知识

1. 什么是IDS？

“入侵检测系统”

依照一定的安全策略，对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或者攻击结果，以保证网络系统资源的机密性、完整性和可用性。

2. IDS和防火墙有什么不同？ 

IDS入侵检测系统是一个监听设备，没有跨接在任何链路上，无须网络流量流经它便可以工作。因此，对IDS的部署，唯一的要求是：IDS应当挂接在所有所关注流量都必须流经的链路上。

IDS在交换式网络中的位置一般选择在：

　　（1）尽可能靠近攻击源

　　（2）尽可能靠近受保护资源

　　这些位置通常是：

　　·服务器区域的交换机上

　　·Internet接入路由器之后的第一台交换机上

　　·重点保护网段的局域网交换机上

防火墙是一种隔离（非授权用户在区域间）并过滤（对受保护的网络有害的流量或数据包）的设备。而IDS则是一种对网络传输进行即时监视，在发现可疑传输时发出警报或者采取主动反应措施的网络安全设备。

3. IDS工作原理？ 

 I DS：在捕捉到某一攻击事件后，按策略进行检查，如果策略中对该攻击事件设置了防火墙阻断，那么入侵检测系统就会发给防火墙一个相应的动态阻断策略，防火墙根据该动态策略中的设置进行相应的阻断，阻断的时间、阻断时间间隔、源端口、目的端口、源IP和目的IP等信息，完全依照入侵检测系统发出的动态策略来执行。

4. IDS的主要检测方法有哪些详细说明？ 

异常检测模型（Anomaly Detection)

首先总结正常操作应该具有的特征（用户轮廓），当用户活动与正常行为有重大偏离时即被认为是入侵。

误用检测模型（Misuse Detection）

收集非正常操作的行为特征，建立相关的特征库，当检测的用户或系统行为与库中的记录相匹配时，系统就认为这种行为是入侵，误用检测模型也称为特征检测。

1、IDS分为实时入侵检测和事后入侵检测：

#1 实时入侵检测：在网络连接过程中进行，发现入侵迹象立即断开当前连接，并收集证据和实施数据恢复。

#2 事后入侵检测：由安全人员进行检测。

2、入侵检测分类：

#1 基于网络：通过连接在网络的站点捕获数据包，分析是否具有已知攻击模式。

#2 基于主机：通过分析系统审计数据来发现可疑活动，比如内存和文件的变化；输入数据只要来源于系统日志。

3、入侵检测技术途径：

#1 信息收集：系统日志、目录以及文件的异常改变、程序执行中的异常行为、物理形式的入侵信息。

#2 数据分析：

5.IDS的部署方式有哪些？

• 直路：直接串连进现网，可以对攻击行为进行实时防护，缺点是部署的时候需要断网，并增加了故障点
• 单臂：旁挂在交换机上，不需改变现网，缺点是流量都经过一个接口，处理性能减半，另外不支持BYPASS

6. IDS的签名是什么意思？签名过滤器有什么作用？例外签名配置作用是什么？ 

IDS签名：入侵防御签名用来描述网络种存在的攻击行为的特征，通过将数据流和入侵防御签名进行比较来检测和防范攻击。

签名过滤器的作用： 由于设备长时间工作，累积了大量签名，需要对其进行分类，没有价值会被过滤器过滤掉。起到筛选的作用。

例外签名

由于签名过滤器会批量过滤出签名，且通常为了方便管理会设置为统一的动作。如果管理员需要将某些签名设置为与过滤器不同的动作时，可将这些签名引入到例外签名中，并单独配置动作。

例外签名作用： 就是为了更加细化的进行流量的放行，精准的控制。