小白程序员必看收藏这份入门级网络安全指南——IDS详解与实战部署本文全面介绍了入侵检测系统IDS的概念、作用、功能及分类详细解析了IDS的架构、工作流程、性能关键参数、检测技术误用检测与异常检测以及响应策略主动与被动响应。文章还深入探讨了基于网络、主机及分布式IDS的部署方法并对比了各类IDS的特点与优缺点。最后文章总结了IDS的局限性并推荐了常用的开源IDS系统旨在为网络安全初学者提供系统学习与实践指导。文章目录[一、IDS是什么](#IDS_2)[二、入侵检测系统的作用和必然性](#_16)[三、入侵检测系统功能](#_27)[四、入侵检测系统的分类](#_34)[五、入侵检测系统的架构](#_48)[六、入侵检测工作过程](#_56)[七、入侵检测性能关键参数](#_59)[八、入侵检测技术](#_63)[九、入侵响应技术](#_108)[十、IDS的部署](#IDS_130)[十一、入侵检测体系结构主机入侵检测、网络入侵检测和分布式入侵检测的特点、优缺点](#_140)[九、入侵检测系统的局限性](#_195)[十、开源入侵检测系统](#_204)一、IDS是什么IDSintrusion detection system入侵检测系统是一种对网络传输进行即时监视在发现可疑传输时发出警报或者采取主动反应措施的网络安全设备。它与其他网络安全设备的不同之处便在于IDS是一种积极主动的安全防护技术。在很多中大型企业政府机构都会布有IDS。我们做一个比喻——假如防火墙是一幢大厦的门锁那么IDS就是这幢大厦里的监视系统。一旦小偷进入了大厦或内部人员有越界行为只有实时监视系统才能发现情况并发出警告。专业上讲IDS就是依照一定的安全策略对网络、系统的运行状况进行监视尽可能发现各种攻击企图、攻击行为或者攻击结果以保证网络系统资源的机密性、完整性和可用性。与防火墙不同的是IDS入侵检测系统是一个旁路监听设备没有也不需要跨接在任何链路上无须网络流量流经它便可以工作。因此对IDS的部署的唯一要求就是IDS应当挂接在所有所关注流量都必须流经的链路上。IDS的接入方式并行接入(并联)IDS在交换式网络中的位置一般选择为尽可能靠近攻击源尽可能靠近受保护资源。这些位置通常是服务器区域的交换机上边界路由器的相邻交换机上重点保护网段的局域网交换机上二、入侵检测系统的作用和必然性必然性网络安全本身的复杂性被动式的防御方式显得力不从心有关防火墙网络边界的设备自身可以被攻破对某些攻击保护很弱并非所有威胁均来自防火墙外部入侵很容易入侵教程随处可见各种工具唾手可得作用防火墙的重要补充构建网络安全防御体系重要环节克服传统防御机制的限制三、入侵检测系统功能监测并分析用户和系统的活动核查系统配置和漏洞对操作系统进行日志管理并识别违反安全策略的用户活动针对已发现的攻击行为作出适当的反应如告警、中止进程等四、入侵检测系统的分类按入侵检测形态硬件入侵检测软件入侵检测按目标系统的类型网络入侵检测主机入侵检测混合型按系统结构集中式分布式五、入侵检测系统的架构事件产生器它的目的是从整个计算环境中获得事件并向系统的其他部分提供此事件。事件分析器分析数据发现危险、异常事件通知响应单元响应单元对分析结果作出反应事件数据库存放各种中间和最终数据六、入侵检测工作过程七、入侵检测性能关键参数误报(false positive)实际无害的事件却被IDS检测为攻击事件。漏报(false negative)一个攻击事件未被IDS检测到或被分析人员认为是无害的。八、入侵检测技术1、误用检测技术基于模式匹配原理。收集非正常操作的行为特征建立相关的特征库当监测的用户或系统行为与库中的记录相匹配时系统就认为这种行为是入侵。前提所有的入侵行为都有可被检测到的特征。指标误报低、漏报高。攻击特征库当监测的用户或系统行为与库中的记录相匹配时系统就认为这种行为是入侵。特点采用模式匹配误用模式能明显降低误报率但漏报率随之增加。攻击特征的细微变化会使得误用检测无能为力。建立入侵行为模型(攻击特征)假设可以识别和表示所有可能的特征基于系统和基于用户的误用优点准确率高算法简单关键问题要识别所有的攻击特征就要建立完备的特征库特征库要不断更新无法检测新的入侵2、异常检测技术基于统计分析原理。首先总结正常操作应该具有的特征用户轮廓试图用定量的方式加以描述当用户活动与正常行为有重大偏离时即被认为是入侵。前提入侵是异常活动的子集。指标漏报率低误报率高。用户轮廓(Profile)通常定义为各种行为参数及其阀值的集合用于描述正常行为范围。特点异常检测系统的效率取决于用户轮廓的完备性和监控的频率不需要对每种入侵行为进行定义因此能有效检测未知的入侵系统能针对用户行为的改变进行自我调整和优化但随着检测模型的逐步精确异常检测会消耗更多的系统资源设定“正常”的行为模式假设所有的入侵行为是异常的基于系统和基于用户的异常优点可检测未知攻击自适应、自学习能力关键问题“正常”行为特征的选择统计算法、统计点的选择九、入侵响应技术主动响应 入侵检测系统在检测到入侵后能够阻断攻击、影响进而改变攻击的进程。形式由用户驱动系统本身自动执行基本手段对入侵者采取反击行动严厉方式温和方式介于严厉和温和之间的方式修正系统环境收集额外信息被动响应 入侵检测系统仅仅简单地报告和记录所检测出的问题。形式只向用户提供信息而依靠用户去采取下一步行动的响应。基本手段告警和通知SNMP简单网络管理协议结合网络管理工具使用。十、IDS的部署基于网络的IDS基于主机的IDS十一、入侵检测体系结构主机入侵检测、网络入侵检测和分布式入侵检测的特点、优缺点[ HIDS和NIDS的区别https://blog.51cto.com/mtbaby/1551049 ]主机入侵检测HIDS特点对针对主机或服务器系统的入侵行为进行检测和响应。主要优点性价比高更加细腻误报率较低适用于加密和交换的环境对网络流量不敏感确定攻击是否成功局限性它依赖于主机固有的日志与监视能力而主机审计信息存在弱点易受攻击入侵者可设法逃避审计IDS的运行或多或少影响主机的性能HIDS只能对主机的特定用户、应用程序执行动作和日志进行检测所能检测到的攻击类型受到限制全面部署HIDS代价较大网络入侵检测NIDS特点利用工作在混杂模式下的网卡来实时监听整个网段上的通信业务。主要优点隐蔽性好实时检测和响应攻击者不易转移证据不影响业务系统能够检测未成功的攻击企图局限性只检测直接连接网段的通信不能检测在不同网段的网络包交换以太网环境中会出现检测范围局限很难实现一些复杂的、需要大量计算与分析时间的攻击检测处理加密的会话过程比较困难分布式入侵检测DIDS一般由多个协同工作的部件组成分布在网络的各个部分完成相应的功能分别进行数据采集、数据分析等。通过中心的控制部件进行数据汇总、分析、对入侵行为进行响应。网络入侵和主机入侵对比图项目HIDSNIDS误报少一定量漏报与技术水平相关与数据处理能力有关不可避免系统部署与维护与网络拓扑无关与网络拓扑相关检测规则少量大量检测特征事件与信号分析特征代码分析安全策略基本安全策略点策略运行安全策略线策略安全局限到达主机的所有事件传输中的非加密、非保密信息安全隐患违规事件攻击方法或手段九、入侵检测系统的局限性对用户知识要求较高配置、操作和管理使用较为复杂网络发展迅速对入侵检测系统的处理性能要求越来越高现有技术难以满足实际需要高虚警率用户处理的负担重由于警告信息记录的不完整许多警告信息可能无法与入侵行为相关联难以得到有用的结果在应对对自身的攻击时对其他数据的检测也可能会被抑制或受到影响十、开源入侵检测系统[ 表格来源https://www.cnblogs.com/sztom/p/10217345.html ]IDSHIDS/NIDSUnixLinuxWindowsMacOS备注1SnortNIDSYesYesYesNo思科创建2OSSECHIDSYesYesYesYes3SuricataNIDSYesYesYesYesSnort的替代品4BroNIDSYesYesNoYes5SaganBothYesYesNoYesOSSEC的替代品6Security OnionBothNoYesNoNo7AIDEHIDSYesYesNoYes8Open WIPS-NGNIDSNoYesNoNo9SamhainHIDSYesYesNoYes10Fail2BanHIDSYesYesNoYes《网络安全从零到精通全套学习大礼包》96节从入门到精通的全套视频教程免费领取如果你也想通过学网络安全技术去帮助就业和转行我可以把我自己亲自录制的96节 从零基础到精通的视频教程以及配套学习资料无偿分享给你。网络安全学习路线图想要学习 网络安全作为新手一定要先按照路线图学习方向不对努力白费。对于从来没有接触过网络安全的同学我帮大家准备了从零基础到精通学习成长路线图以及学习规划。可以说是最科学最系统的学习路线大家跟着这个路线图学习准没错。配套实战项目/源码所有视频教程所涉及的实战项目和项目源码学习电子书籍学习网络安全必看的书籍和文章的PDF市面上网络安全书籍确实太多了这些是我精选出来的面试真题/经验以上资料如何领取电子书籍**学习网络安全必看的书籍和文章的PDF市面上网络安全书籍确实太多了这些是我精选出来的面试真题/经验以上资料如何领取