简述基于网络的入侵检测系统任务？

一、简述基于网络的入侵检测系统任务？

基于网络的入侵检测系统任务包括：

监视、分析用户及系统活动；

审计系统构造和弱点；

识别、反映已知进攻的活动模式，向相关人士报警；

统计分析异常行为模式；

评估重要系统和数据文件的完整性；

审计、跟踪管理操作系统，识别用户违反安全策略等 。

二、基于网络的入侵检测系统有什么缺点？

入侵检测系统的优点：

1.能够使现有的安防体系更完善。

2.能够更好地掌握系统的情况。

3.能够追踪攻击者的攻击线路。

4.界面友好，便于建立安防体系。

5.能够抓住肇事者。入侵检测系统的缺点：1.不能够在没有用户参与的情况下对攻击行为展开调查。2.不能够在没有用户参与的情况下阻止攻击行为的发生。3.不能克服网络协议方面的缺陷。4.不能克服设计原理方面的缺陷。5.响应不够及时，签名数据库更新得不够快。

6.经常是事后才检测到，适时性不好。

三、什么是基于网络入侵防御系统？

是防火墙防御系统，其可以防御大部分网络入侵危害。

四、基于遗传算法的入侵检测技术特点？

经现代医学研究表明，DNA是现存生命最重要的遗传物质。而遗传则是指经由基因的传递，使后代获得亲代的特征。遗传学正是研究遗传这一现象的一门学科，除遗传因素外，还有环境，以及环境与遗传的交互作用也是决定生物特征的因素。 遗传算法是一种可用于复杂系统优化的一种搜索算法，与传统的算法相比，具有以下4个特点：

第一，它是以决策变量的编码作为运算对象；

第二，遗传算法直接以适应度作为搜索信息，无需导数等其他辅助信息；

第三，遗传算法使用多个点的搜索信息，具有隐含并行性；

最后，它没有使用非确定性规则，而是采用了概率搜索技术。

五、什么是入侵检测，以及入侵检测的系统结构组成？

入侵检测是防火墙的合理补充。 入侵检测的系统结构组成：

1、事件产生器：它的目的是从整个计算环境中获得事件，并向系统的其他部分提供此事件。

2、事件分析器：它经过分析得到数据，并产生分析结果。

3、响应单元：它是对分析结果作出反应的功能单元，它可以作出切断连接、改变文件属性等强烈反应，也可以只是简单的报警。

4、事件数据库：事件数据库是存放各种中间和最终数据的地方的统称，它可以是复杂的数据库，也可以是简单的文本文件。

六、简述入侵检测系统的工作原理？

入侵检测技术（IDS）可以被定义为对计算机和网络资源的恶意使用行为进行识别和相应处理的系统。包括系统外部的入侵和内部用户的非授权行为,是为保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未授权或异常现象的技术，是一种用于检测计算机网络中违反安全策略行为的技术

七、网络入侵检测的一些定义？

入侵检测（Intrusion Detection）是对入侵行为的检测。它通过收集和分析网络行为、安全日志、审计数据、其它网络上可以获得的信息以及计算机系统中若干关键点的信息，检查网络或系统中是否存在违反安全策略的行为和被攻击的迹象。入侵检测作为一种积极主动地安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵。因此被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监测。入侵检测通过执行以下任务来实现：监视、分析用户及系统活动；系统构造和弱点的审计；识别反映已知进攻的活动模式并向相关人士报警；异常行为模式的统计分析；评估重要系统和数据文件的完整性；操作系统的审计跟踪管理，并识别用户违反安全策略的行为。 入侵检测是防火墙的合理补充，帮助系统对付网络攻击，扩展了系统管理员的安全管理能力（包括安全审计、监视、进攻识别和响应），提高了信息安全基础结构的完整性。它从计算机网络系统中的若干关键点收集信息，并分析这些信息，看看网络中是否有违反安全策略的行为和遭到袭击的迹象。 　　入侵检测是防火墙的合理补充，帮助系统对付网络攻击，扩展了系统管理员的安全管理能力（包括安全审计、监视、进攻识别和响应），提高了信息安全基础结构的完整性。它从计算机网络系统中的若干关键点收集信息，并分析这些信息，看看网络中是否有违反安全策略的行为和遭到袭击的迹象。入侵检测被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护。这些都通过它执行以下任务来实现： 　　· 监视、分析用户及系统活动； 　　· 系统构造和弱点的审计； 　　· 识别反映已知进攻的活动模式并向相关人士报警； 　　· 异常行为模式的统计分析； 　　· 评估重要系统和数据文件的完整性； 　　· 操作系统的审计跟踪管理，并识别用户违反安全策略的行为。 　　对一个成功的入侵检测系统来讲，它不但可使系统管理员时刻了解网络系统（包括程序、文件和硬件设备等）的任何变更，还能给网络安全策略的制订提供指南。更为重要的一点是，它应该管理、配置简单，从而使非专业人员非常容易地获得网络安全。而且，入侵检测的规模还应根据网络威胁、系统构造和安全需求的改变而改变。入侵检测系统在发现入侵后，会及时作出响应，包括切断网络连接、记录事件和报警等。编辑本段分类情况　　入侵检测系统所采用的技术可分为特征检测与异常检测两种。特征检测　　特征检测 (Signature-based detection) 又称 Misuse detection ，这一检测假设入侵者活动可以用一种模式来表示，系统的目标是检测主体活动是否符合这些模式。它可以将已有的入侵方法检查出来，但对新的入侵方法无能为力。其难点在于如何设计模式既能够表达“入侵”现象又不会将正常的活动包含进来。异常检测　　异常检测 (Anomaly detection) 的假设是入侵者活动异常于正常主体的活动。根据这一理念建立主体正常活动的“活动简档”，将当前主体的活动状况与“活动简档”相比较，当违反其统计规律时，认为该活动可能是“入侵”行为。异常检测的难题在于如何建立“活动简档”以及如何设计统计算法，从而不把正常的操作作为“入侵”或忽略真正的“入侵”行为。编辑本段工作步骤　　对一个成功的入侵检测系统来讲，它不但可使系统管理员时刻了解网络系统（包括程序、文件和硬件设备等）的任何变更，还能给网络安全策略的制订提供指南。更为重要的一点是，它应该管理、配置简单，从而使非专业人员非常容易地获得网络安全。而且，入侵检测的规模还应根据网络威胁、系统构造和安全需求的改变而改变。入侵检测系统在发现入侵后，会及时作出响应，包括切断网络连接、记录事件和报警等。编辑本段常用术语　　随着IDS（入侵检测系统）的超速发展，与之相关的术语同样急剧演变。本文向大家介绍一些IDS技术术语，其中一些是非常基本并相对通用的，而另一些则有些生僻。由于IDS的飞速发展以及一些IDS产商的市场影响力，不同的产商可能会用同一个术语表示不同的意义，从而导致某些术语的确切意义出现了混乱。对此，本文会试图将所有的术语都囊括进来。Alert　　（警报） 　　当一个入侵正在发生或者试图发生时，IDS系统将发布一个alert信息通知系统管理员。如果控制台与IDS系统同在一台机器，alert信息将显示在监视器上，也可能伴随着声音提示。如果是远程控制台，那么alert将通过IDS系统内置方法（通常是加密的）、SNMP（简单网络管理协议，通常不加密）、email、SMS（短信息）或者以上几种方法的混合方式传递给管理员。Anomaly　　（异常） 　　当有某个事件与一个已知攻击的信号相匹配时，多数IDS都会告警。一个基于anomaly（异常）的IDS会构造一个当时活动的主机或网络的大致轮廓，当有一个在这个轮廓以外的事件发生时 入侵检测图片(2)，IDS就会告警，例如有人做了以前他没有做过的事情的时候，例如，一个用户突然获取了管理员或根目录的权限。有些IDS厂商将此方法看做启发式功能，但一个启发式的IDS应该在其推理判断方面具有更多的智能。Appliance　　（IDS硬件） 　　除了那些要安装到现有系统上去的IDS软件外，在市场的货架上还可以买到一些现成的IDS硬件，只需将它们接入网络中就可以应用。一些可用IDS硬件包括CaptIO、Cisco Secure IDS、OpenSnort、Dragon以及SecureNetPro。ArachNIDS　　ArachNIDS是由Max Visi开发的一个攻击特征数据库，它是动态更新的，适用于多种基于网络的入侵检测系统。 　　ARIS：Attack Registry & Intelligence Service（攻击事件注册及智能服务） 　　ARIS是SecurityFocus公司提供的一个附加服务，它允许用户以网络匿名方式连接到Internet上向SecurityFocus报送网络安全事件，随后SecurityFocus会将这些数据与许多其它参与者的数据结合起来，最终形成详细的网络安全统计分析及趋势预测，发布在网络上。它的URL地址是。Attack　　（攻击） 　　Attacks可以理解为试图渗透系统或绕过系统的安全策略，以获取信息、修改信息以及破坏目标网络或系统功能的行为。以下列出IDS能够检测出的最常见的Internet攻击类型： 　　攻击类型1－DOS（Denial Of Service attack，拒绝服务攻击）：DOS攻击不是通过黑客手段破坏一个系统的安全，它只是使系统瘫痪，使系统拒绝向其用户提供服务。其种类包括缓冲区溢出、通过洪流（flooding）耗尽系统资源等等。 　　攻击类型2－DDOS（Distributed Denial of Service，分布式拒绝服务攻击）：一个标准的DOS攻击使用大量来自一个主机的数据向一个远程主机发动攻击，却无法发出足够的信息包来达到理想的结果，因此就产生了DDOS，即从多个分散的主机一个目标发动攻击，耗尽远程系统的资源，或者使其连接失效。 　　攻击类型3－Smurf：这是一种老式的攻击，但目前还时有发生，攻击者使用攻击目标的伪装源地址向一个smurf放大器广播地址执行ping操作，然后所有活动主机都会向该目标应答，从而中断网络连接。 　　攻击类型4－Trojans（特洛伊木马）：Trojan这个术语来源于古代希腊人攻击特洛伊人使用的木马，木马中藏有希腊士兵，当木马运到城里，士兵就涌出木马向这个城市及其居民发起攻击。在计算机术语中，它原本是指那些以合法程序的形式出现，其实包藏了恶意软件的那些软件。这样，当用户运行合法程序时，在不知情的情况下，恶意软件就被安装了。但是由于多数以这种形式安装的恶意程序都是远程控制工具，Trojan这个术语很快就演变为专指这类工具，例如BackOrifice、SubSeven、NetBus等等。Automated Response　　（自动响应） 　　除了对攻击发出警报，有些IDS还能自动抵御这些攻击。抵御方式有很多：首先，可以通过重新配置路由器和防火墙，拒绝那些来自同一地址的信息流；其次，通过在网络上发送reset包切断连接。但是这两种方式都有问题，攻击者可以反过来利用重新配置的设备，其方法是：通过伪装成一个友方的地址来发动攻击，然后IDS就会配置路由器和防火墙来拒绝这些地址，这样实际上就是对“自己人”拒绝服务了。发送reset包的方法要求有一个活动的网络接口，这样它将置于攻击之下，一个补救的办法是：使活动网络接口位于防火墙内，或者使用专门的发包程序，从而避开标准IP栈需求。CERT　　（Computer Emergency Response Team，计算机应急响应小组） 　　这个术语是由第一支计算机应急反映小组选择的，这支团队建立在Carnegie Mellon大学，他们对计算机安全方面的事件做出反应、采取行动。现在许多组织都有了CERT，比如CNCERT/CC（中国计算机网络应急处理协调中心）。由于emergency这个词有些不够明确，因此许多组织都用Incident这个词来取代它，产生了新词Computer Incident Response Team（CIRT），即计算机事件反应团队。response这个词有时也用handling来代替，其含义是response表示紧急行动，而非长期的研究。CIDF　　（Common Intrusion Detection Framework；通用入侵检测框架） 　　CIDF力图在某种程度上将入侵检测标准化，开发一些协议和应用程序接口，以使入侵检测的研究项目之间能够共享信息和资源，并且入侵检测组件也能够在其它系统中再利用。CIRT　　（Computer Incident Response Team，计算机事件响应小组） 　　CIRT是从CERT演变而来的，CIRT代表了对安全事件在哲学认识上的改变。CERT最初是专门针对特定的计算机紧急情况的，而CIRT中的术语incident则表明并不是所有的incidents都一定是emergencies，而所有的emergencies都可以被看成是incidents。CISL　　（Common Intrusion Specification Language，通用入侵规范语言） 　　CISL是CIDF组件间彼此通信的语言。由于CIDF就是对协议和接口标准化的尝试，因此CISL就是对入侵检测研究的语言进行标准化的尝试。CVE　　（Common Vulnerabilities and Exposures，通用漏洞披露） 　　关于漏洞的一个老问题就是在设计扫描程序或应对策略时，不同的厂商对漏洞的称谓也会完全不同。还有，一些产商会对一个漏洞定义多种特征并应用到他们的IDS系统中，这样就给人一种错觉，好像他们的产品更加有效。MITRE创建了CVE，将漏洞名称进行标准化，参与的厂商也就顺理成章按照这个标准开发IDS产品。Crafting Packet　　（自定义数据包） 　　建立自定义数据包，就可以避开一些惯用规定的数据包结构，从而制造数据包欺骗，或者使得收到它的计算机不知该如何处理它。Desynchronization　　（同步失效） 　　Desynchronization这个术语本来是指用序列数逃避IDS的方法。有些IDS可能会对它本来期望得到的序列数感到迷惑，从而导致无法重新构建数据。这一技术在1998年很流行，现在已经过时了，有些文章把desynchronization这个术语代指其它IDS逃避方法。Eleet　　当黑客编写漏洞开发程序时，他们通常会留下一个签名，其中最声名狼藉的一个就是elite。如果将eleet转换成数字，它就是31337，而当它是指他们的能力时，elite=eleet，表示精英。31337通常被用做一个端口号或序列号。目前流行的词是“skillz”。Enumeration　　（列举） 　　经过被动研究和社会工程学的工作后，攻击者就会开始对网络资源进行列举。列举是指攻击者主动探查一个网络以发现其中有什么以及哪些可以被他利用。由于现在的行动不再是被动的，它就有可能被检测出来。当然为了避免被检测到，他们会尽可能地悄悄进行。Evasion　　（躲避） 　　Evasion是指发动一次攻击，而又不被IDS成功地检测到。其中的窍门就是让IDS只看到一个方面，而实际攻击的却是另一个目标，所谓明修栈道，暗渡陈仓。Evasion的一种形式是为不同的信息包设置不同的TTL（有效时间）值，这样，经过IDS的信息看起来好像是无害的，而在无害信息位上的TTL比要到达目标主机所需要的TTL要短。一旦经过了IDS并接近目标，无害的部分就会被丢掉，只剩下有害的。Exploit　　（漏洞利用） 　　对于每一个漏洞，都有利用此漏洞进行攻击的机制。为了攻击系统，攻击者编写出漏洞利用代码或教本。 　　对每个漏洞都会存在利用这个漏洞执行攻击的方式，这个方式就是Exploit。为了攻击系统，黑客会编写出漏洞利用程序。 　　漏洞利用：Zero Day Exploit（零时间漏洞利用） 　　零时间漏洞利用是指还未被了解且仍在肆意横行的漏洞利用，也就是说这种类型的漏洞利用当前还没有被发现。一旦一个漏洞利用被网络安全界发现，很快就会出现针对它的补丁程序，并在IDS中写入其特征标识信息，使这个漏洞利用无效，有效地捕获它。False Negative　　（漏报） 　　漏报是指一个攻击事件未被IDS检测到或被分析人员认为是无害的。 　　False Positives（误报） 　　误报是指实际无害的事件却被IDS检测为攻击事件。 　　Firewalls（防火墙） 　　防火墙是网络安全的第一道关卡，虽然它不是IDS，但是防火墙日志可以为IDS提供宝贵信息。防火墙工作的原理是根据规则或标准，如源地址、端口等，将危险连接阻挡在外。FIRST　　（Forum of Incident Response and Security Teams，事件响应和安全团队论坛） 　　FIRST是由国际性政府和私人组织联合起来交换信息并协调响应行动的联盟，一年一度的FIRST受到高度的重视。Fragmentation

八、入侵检测的什么入侵行为？

常见的比如：

1 暴力破解

2 SQL注入

3 文件上传

4 跨站脚本攻击

九、入侵检测系统的优缺点有哪些？

入侵检测系统（Intrusion Detection System，IDS）是一种安全工具，用于监控网络或计算机系统中的异常活动和攻击行为。IDS的优点和缺点如下：

优点：

1. 实时监测：IDS能够实时监测并记录网络中的异常活动和攻击行为，可以及时发现入侵事件并采取相应的防御措施。

2. 提供警报和报告：IDS可以生成警报和报告，通知系统管理员或安全团队有关潜在的入侵事件，使其能够快速响应和解决问题。

3. 检测新型攻击：IDS可以识别和检测新型的攻击方式和攻击模式，对未知的威胁进行监测和防御。

4. 降低安全风险：IDS能够有效减少网络和计算机系统遭受入侵的风险，保护敏感数据和资源的安全性。

5. 可配置性：IDS可以根据需要进行配置和自定义，以适应不同组织和网络环境的安全需求。

缺点：

1. 虚警率高：IDS可能会误报或产生大量的虚警，即无效的警报，导致管理人员忽视真正的入侵事件。

2. 漏报率高：IDS无法保证100％的入侵检测率，某些高级攻击可能会被遗漏或无法识别，导致系统安全风险。

3. 高昂成本：IDS的采购、部署和维护都需要一定的成本，特别是对于大型网络或系统来说，需要投入更多的资源和人力。

4. 需要更新和维护：IDS需要不断更新和维护，以识别新的入侵事件和攻击方式，否则可能会失去对最新威胁的检测能力。

5. 隐私问题：IDS监测网络流量和系统活动，涉及用户隐私，需要妥善处理和保护用户数据的机密性和隐私权。

综上所述，尽管IDS具有一些缺点，但其优点远远超过了缺点，在保护网络和计算机系统的安全方面发挥着重要作用。

十、入侵检测系统的精度受什么影响？

根据Porras等的研究，给出了评价入侵检测系统（IDS）性能的三个因素：

·准确性（Accuracy）：指IDS从各种行为中正确地识别入侵的能力，当一个IDS的检测不准确时，就有可能把系统中的合法活动当作入侵行为并标识为异常（虚警现象）。

·处理性能（Performance）：指一个IDS处理数据源数据的速度。显然，当IDS的处理性能较差时，它就不可能实现实时的IDS，并有可能成为整个系统的瓶颈，进而严重影响整个系统的性能。

·完备性（Completeness）：指IDS能够检测出所有攻击行为的能力。如果存在一个攻击行为，无法被IDS检测出来，那么该JDS就不具有检测完备性。也就是说，它把对系统的入侵活动当作正常行为（漏报现象）。由于在一般情况下，攻击类型、攻击手段的变化很快，我们很难得到关于攻击行为的所有知识，所以关于IDS的检测完备性的评估相对比较困难。