网络入侵检测系统的研究和发展

1.2入侵检测系统（IDS）诠释

IDS是一种网络安全系统，当有敌人或恶意用户视图通过Internet进入网络甚至计算机系统时，IDS

能够检测出来，并进行报警，通知网络该采取措施进行响应。

在本质上，入侵检测系统是一种典型的“窥探设备”。他不跨接多个物理网段（通常只有一个监听端口），无须转发所有流量，而只需要在网络上被动地、无声息地收集他所关心的报文即可。入侵检测/响应流程如图1所示（参见附录图1）。

我们做一个形象的比喻：假如防火墙是一幢大楼的门卫，那么IDS就是这幢大楼里的监视系统。

一旦小偷爬窗进入大楼，或内部人员有越界行为，只有实时监视系统才能发现情况并发出警告。IDS入侵检测系统以信息来源的不同和检测方法的差异分为几类。根据信息来源可分为基于主机IDS和基于网络的IDS，根据检测方法又可分为异常入侵检测和滥用入侵检测。不同于防火墙，IDS入侵检测系统是一个监听设备，没有跨接在任何链路上，无须网络流量流经它便可以工作。因此，对IDS的部署，惟一的要求是：IDS应当挂接在所有所关注流量都必须流经的链路上。在这里，"所关注流量"指的是来自高危网络区域的访问流量和需要进行统计、监视的网络报文。在如今的网络拓扑中，已经很难找到以前的HUB式的共享介质冲突域的网络，绝大部分的网络区域都已经全面升级到交换式的网络结构。因此，IDS在交换式网络中的位置一般选择在：

（1）尽可能靠近攻击源

（2）尽可能靠近受保护资源

这些位置通常是：

·服务器区域的交换机上

·Internet接入路由器之后的第一台交换机上

·重点保护网段的局域网交换机上

由于入侵检测系统的市场在近几年中飞速发展，许多公司投入到这一领域上来。Venustech(启

明星辰）、Internet Security System（ISS）、思科、赛门铁克等公司都推出了自己的产品。

目前，IDS分析及检测入侵阶段一般通过以下几种技术手段进行分析：特征库匹配、基于统计的分析和

完整性分析。其中前两种方法用于实时的入侵检测，而完整性分析则用于事后分析。