yangshang4hu的博客

　　入侵检测是对系统运行状态进行监视，发现各种攻击企图和行为或者攻击结果，以保证系统资源的机密性、完整性和可用性。入侵检测系统( Int rusion Detect ion Sy stem, 简称IDS)根据检测数据来源分为：基于主机的入侵检测系统从单个主机上提取数据（如审计数据等）作为入侵检测分析的数据源；基于网络的入侵检测系统从网络上提取数据（如网络链路层的数据帧）作为入侵分析的数据源。入侵检测系统按检测方法分为：异常入侵检测根据异常行为和计算机资源情况检测入侵，并试图用定量方式描述可接受的行为特征，以区分正常的、潜在的入侵行为；误用入侵检测指用已知系统和应用软件的弱点攻击模式来检测入侵行为。目前入侵检测技术存在：现有IDS 误报警率偏高，很难确定真正的入侵行为；事件响应与恢复机制不完善，不适当的自动响应机制存在很大的安全风险；IDS 缺乏国际统一标准，缺乏统一的入侵检测术语和概念框架；IDS 本身正在发展和变化，远未成熟，还存在对入侵检测系统自身的攻击；缺少对检测结果作进一步说明和分析的辅助工具，日益增长的网络流量导致检测分析难度加大。