IDS简析

1.什么是IDS？

IDS是入侵检测系统（Intrusion Detection System）的缩写。它是一种安全技术，用于监控计算机网络或系统，以识别并响应恶意行为或未经授权的访问。IDS的主要功能是分析网络流量和系统活动日志，以检测可能的入侵行为或安全事件。

IDS可以分为两种类型：基于主机的IDS（HIDS）和基于网络的IDS（NIDS）。HIDS安装在单个计算机上，监视该主机的系统日志和活动。它可以检测到本地发生的攻击和异常行为。NIDS则位于网络上，监视经过它的网络流量。它可以通过分析数据包的内容和流量模式来检测网络中的攻击活动。

IDS可以使用多种检测方法，包括基于签名的检测，这根据已知攻击的特征进行匹配；基于异常行为的检测，这通过建立正常系统行为的模型来检测异常；以及基于统计分析的检测，这根据统计数据和模型来检测异常行为。

当IDS检测到潜在的入侵或安全事件时，它可以采取多种响应措施，如警报管理员、阻止流量、断开连接等。它还可以记录事件日志以进行后续分析和调查，以加强网络安全防御。

2. 2. IDS和防火墙有什么不同？

IDS和防火墙是网络安全中两个不同的概念和技术。

防火墙（Firewall）是一种网络安全设备或软件，位于网络中，用于监控和控制网络流量的进出。它通过定义规则和策略来过滤流量并阻止未经授权的访问尝试。防火墙可以实施访问控制，例如允许或禁止特定IP地址、端口或协议进行通信。它通常使用网络地址转换（NAT）来隐藏内部网络的真实IP地址。防火墙主要关注网络中的流量过滤和访问控制，以保护网络免受来自外部网络的攻击。

IDS（Intrusion Detection System）是一种用于监测和检测网络中入侵行为或安全事件的系统。它可以分析网络流量、系统日志和其他相关数据，以识别潜在的攻击、恶意活动或异常行为。IDS可以识别已知攻击的特征，并使用模型和算法来检测未知攻击和异常行为。它可以通过警报管理员、记录事件日志和采取其他响应措施来通知网络管理员。

因此，防火墙主要用于控制和过滤网络流量，阻止未经授权的访问，而IDS主要用于监测和检测潜在的入侵行为和安全事件。防火墙是一种前置性的防御措施，侧重于阻止攻击者进入网络，而IDS是一种后置性的安全措施，侧重于检测和响应已经进入网络的攻击。通常，防火墙和IDS可以结合使用，以提供更全面的网络安全保护。

 

3. IDS工作原理？

IDS（入侵检测系统）的工作原理可以分为两种主要方法：基于签名的检测和基于异常行为的检测。

1. 基于签名的检测（Signature-based Detection）：
   - 基于签名的检测使用已知攻击的特征或模式来进行匹配。IDS会维护一个攻击签名数据库，其中包含已知的攻击模式、恶意代码的特征等信息。
   - 当流量经过IDS时，它会将流量与攻击签名数据库进行比对。如果它发现与任何已知的攻击匹配的特征，就会触发报警或采取其他预定的响应措施。

2. 基于异常行为的检测（Behavior-based Detection）：
   - 基于异常行为的检测是建立在对正常系统行为的建模之上的。
   - IDS会监视网络流量、系统日志、进程活动等信息，并建立正常行为的模型或统计规则。
   - 当有异常行为出现时（例如非常规的流量模式、异常的登录行为、CPU或内存使用异常等），IDS会触发报警或采取其他预定的响应措施。

IDS的工作流程通常包括以下步骤：
1. 数据收集：IDS收集来自网络或主机的数据，如流量数据、日志、系统活动等。

所收集的信息内容：用户在网络、系统、数据库及应用系统中活动的状态和行为
·系统和网络的日志文件
·目录和文件中的异常改变
·程序执行中的异常行为
·物理形式的入侵信息
2. 数据分析、 检测与识别：IDS使用不同的分析方法，包括特征匹配、行为建模、统计分析等，对收集到的数据进行处理和分析；IDS将分析的结果与攻击签名数据库或正常行为模型进行比对，以识别潜在的攻击或异常行为。

① 操作模型 ② 方差 ③ 多元模型 ④ 马尔可夫过程模型 ⑤ 时间序列分析
·模式匹配
·统计分析
·完整性分析

3. 响应与报警：流行的响应方式：记录日志、实时显示、E-mail报警、声音报警、SNMP报警、实时TCP阻断、防火墙联动、WinPop显示、手机短信报警
·主动响应
·被动响应
异常检测：当某个事件与一个 已知的攻击特征（信号）相匹配时。一个基于异常的IDS会记录一个正常主机的活动大致轮廓，当一个事件在这个轮廓以外发生，就认为是异常，IDS就会告警。

值得注意的是，IDS可能会产生误报（误报警报）或错过一些新型攻击（漏报）。因此，对于更准确的入侵检测和安全保护，常常需要综合使用多种不同的检测技术和策略。

4. IDS的主要检测方法有哪些详细说明？

攻击检测：入侵检测类似于治安巡逻队，专门注重发现形迹可疑者
被动、离线地发现计算机网络系统中的攻击者。
实时、在线地发现计算机网络系统中的攻击者。

异常检测：IDS通常使用的两种基本分析方法之一，又称为基于行动的入侵检测技术。
收集操作活动的历史数据，建立代表主机、用户或网络连接的正常行为描述，判断是否发生入侵。

误用检测：又称特征检测
IDS通常使用的两种基本分析方法之一，又称基于知识的检测技术。
对已知的入侵行为和手段进行分析，提取检测特征，构建攻击模式或攻击签名，判断入侵行为。

5. IDS的部署方式有哪些？

 外网入侵检测、防火墙入侵检测、内网入侵检测、旁挂：需要在部署旁挂设备上使用端口镜像的功能，把需要采集的端口流量镜像到IDS旁挂口。也可以使用集线器、分光器实现流量复制。

6. IDS的签名是什么意思？签名过滤器有什么作用？例外签名配置作用是什么？

1. IDS的签名是什么意思

在IDS（入侵检测系统）中，签名是一种用于识别已知攻击或恶意行为的特定模式或规则集合。签名可以是特定的字符串、二进制码、网络流量模式或其他特征，用于识别已知的攻击类型或恶意代码。

签名是IDS基于基于签名的检测方法所使用的关键元素。IDS维护一个签名数据库，其中包含已知的攻击特征和恶意代码的描述。这些签名基于过去的攻击样本、漏洞的公开信息、安全厂商的研究等来源来创建。

当网络流量经过IDS时，IDS会将流量与签名数据库中的签名进行匹配。如果匹配成功，表示检测到了已知的攻击或恶意行为，IDS将触发报警或采取其他预定的响应措施。

签名可以描述多种不同类型的攻击，如网络扫描、DDoS攻击、恶意软件、漏洞利用等。当新的攻击或恶意行为出现时，需要将其分析成新的签名并将其添加到签名数据库中，以便IDS能够识别未来的攻击。

然而，基于签名的检测方法依赖于已知的攻击特征，无法检测出未知的攻击类型。因此，对于未知的攻击和零日漏洞，基于签名的检测方法可能会失效。为了提高IDS的准确性和覆盖范围，可以结合使用其他的入侵检测方法，如基于异常行为的检测。

2. 签名过滤器的作用

签名过滤器是若干签名的集合，我们根据特定的条件如严重性、协议、威胁类型等，将IPS特征库中适用于当前业务的签名筛选到签名过滤器中，后续就可以重点关注这些签名的防御效果。通常情况下，对于筛选出来的这些签名，在签名过滤器中会沿用签名本身的缺省动作。特殊情况下，我们也可以在签名过滤器中为这些签名统一设置新的动作，操作非常便捷。

签名过滤器的动作优先级高于签名缺省动作，当签名过滤器动作不采用缺省动作时以签名过滤器中的动作为准。

3. 例外签名的作用

由于签名过滤器会批量过滤出签名，且通常为了方便管理会设置为统一的动作。如果管理员需要将某些签名设置为与过滤器不同的动作时，可将这些签名引入到例外签名中，并单独配置动作。