入侵检测之基于主机入侵检测系统

一般主要使用操作系统的审计、跟踪日志作为数据源，某些也会主动与主机系统进行交互以获得不存在于系统日志中的信息以检测入侵。这种类型的检测系统不需要额外的硬件．对网络流量不敏感，效率高，能准确定位入侵并及时进行反应，但是占用主机资源，依赖于主机的可靠性，所能检测的攻击类型受限。不能检测网络攻击。

1.1操作系统的审计

审计是指收集有关系统资源使用情况的数据。审计数据提供安全相关的系统事件的记录。以后便可以使用此数据来指定系统上执行的操作的职责。成功的审计应包括识别和验证。

通常审计服务的操作：

（1）监视系统上发生的与安全相关的事件

（2）在网络范围的审计迹中记录事件

（3）检测误用或未经授权的活动

（4&#x