安全防御第三次作业

1. 什么是IDS？

IDS是入侵检测系统（Intrusion Detection System）的缩写。它是一种安全技术，用于监控计算机网络或系统，以识别并响应恶意行为或未经授权的访问。IDS的主要功能是分析网络流量和系统活动日志，以检测可能的入侵行为或安全事件。

IDS可以分为两种类型：基于主机的IDS（HIDS）和基于网络的IDS（NIDS）。HIDS安装在单个计算机上，监视该主机的系统日志和活动。它可以检测到本地发生的攻击和异常行为。NIDS则位于网络上，监视经过它的网络流量。它可以通过分析数据包的内容和流量模式来检测网络中的攻击活动。

IDS可以使用多种检测方法，包括基于签名的检测，这根据已知攻击的特征进行匹配；基于异常行为的检测，这通过建立正常系统行为的模型来检测异常；以及基于统计分析的检测，这根据统计数据和模型来检测异常行为。

当IDS检测到潜在的入侵或安全事件时，它可以采取多种响应措施，如警报管理员、阻止流量、断开连接等。它还可以记录事件日志以进行后续分析和调查，以加强网络安全防御。

2. IDS和防火墙有什么不同？

IDS和防火墙是网络安全中两个不同的概念和技术

防火墙（Firewall）是一种网络安全设备或软件，位于网络中，用于监控和控制网络流量的进出。它通过定义规则和策略来过滤流量并阻止未经授权的访问尝试。防火墙可以实施访问控制，例如允许或禁止特定IP地址、端口或协议进行通信。它通常使用网络地址转换（NAT）来隐藏内部网络的真实IP地址。防火墙主要关注网络中的流量过滤和访问控制，以保护网络免受来自外部网络的攻击。

IDS（Intrusion Detection System）是一种用于监测和检测网络中入侵行为或安全事件的系统。它可以分析网络流量、系统日志和其他相关数据，以识别潜在的攻击、恶意活动或异常行为。IDS可以识别已知攻击的特征，并使用模型和算法来检测未知攻击和异常行为。它可以通过警报管理员、记录事件日志和采取其他响应措施来通知网络管理员。

因此，防火墙主要用于控制和过滤网络流量，阻止未经授权的访问，而IDS主要用于监测和检测潜在的入侵行为和安全事件。防火墙是一种前置性的防御措施，侧重于阻止攻击者进入网络，而IDS是一种后置性的安全措施，侧重于检测和响应已经进入网络的攻击。通常，防火墙和IDS可以结合使用，以提供更全面的网络安全保护。

3. IDS工作原理？

IDS（入侵检测系统）的工作原理可以分为两种主要方法：基于签名的检测和基于异常行为的检测。

基于签名的检测（Signature-based Detection）：

基于签名的检测使用已知攻击的特征或模式来进行匹配。IDS会维护一个攻击签名数据库，其中包含已知的攻击模式、恶意代码的特征等信息。
当流量经过IDS时，它会将流量与攻击签名数据库进行比对。如果它发现与任何已知的攻击匹配的特征，就会触发报警或采取其他预定的响应措施。

基于异常行为的检测（Behavior-based Detection）：

基于异常行为的检测是建立在对正常系统行为的建模之上的。
IDS会监视网络流量、系统日志、进程活动等信息，并建立正常行为的模型或统计规则。
当有异常行为出现时（例如非常规的流量模式、异常的登录行为、CPU或内存使用异常等），IDS会触发报警或采取其他预定的响应措施。

IDS的工作流程通常包括以下步骤：

数据收集：IDS收集来自网络或主机的数据，如流量数据、日志、系统活动等。

所收集的信息内容：用户在网络、系统、数据库及应用系统中活动的状态和行为

·系统和网络的日志文件

·目录和文件中的异常改变

·程序执行中的异常行为

·物理形式的入侵信息

数据分析、检测与识别：IDS使用不同的分析方法，包括特征匹配、行为建模、统计分析等，对收集到的数据进行处理和分析；IDS将分析的结果与攻击签名数据库或正常行为模型进行比对，以识别潜在的攻击或异常行为。

① 操作模型 ② 方差 ③ 多元模型 ④ 马尔可夫过程模型 ⑤ 时间序列分析

·模式匹配

·统计分析

·完整性分析

响应与报警：流行的响应方式：记录日志、实时显示、E-mail报警、声音报警、SNMP报警、实时TCP阻断、防火墙联动、WinPop显示、手机短信报警

·主动响应

·被动响应

异常检测：当某个事件与一个已知的攻击特征（信号）相匹配时。一个基于异常的IDS会记录一个正常主机的活动大致轮廓，当一个事件在这个轮廓以外发生，就认为是异常，IDS就会告警。

值得注意的是，IDS可能会产生误报（误报警报）或错过一些新型攻击（漏报）。因此，对于更准确的入侵检测和安全保护，常常需要综合使用多种不同的检测技术和策略。

4. IDS的主要检测方法有哪些详细说明？

攻击检测：入侵检测类似于治安巡逻队，专门注重发现形迹可疑者

被动、离线地发现计算机网络系统中的攻击者。

实时、在线地发现计算机网络系统中的攻击者。

异常检测：IDS通常使用的两种基本分析方法之一，又称为基于行动的入侵检测技术。

收集操作活动的历史数据，建立代表主机、用户或网络连接的正常行为描述，判断是否发生入侵。

误用检测：又称特征检测

IDS通常使用的两种基本分析方法之一，又称基于知识的检测技术。

对已知的入侵行为和手段进行分析，提取检测特征，构建攻击模式或攻击签名，判断入侵行为。

5. IDS的部署方式有哪些？

网络型（Network-Based）：这种类型的IDS被部署在网络的各个关键点，例如交换机、路由器和其他网络设备上。它们可以检测网络流量中的异常行为或潜在的攻击行为，例如未经授权的访问、数据包扫描、端口扫描等。
系统型（Host-Based）：这种类型的IDS被部署在特定的主机上，用于检测该主机上的潜在攻击行为。它们可以检测到针对特定主机的恶意软件、系统漏洞利用、异常行为等。
应用型（Application-Based）：这种类型的IDS被部署在特定的应用程序上，用于检测该应用程序中的潜在攻击行为。它们可以检测到针对特定应用程序的恶意软件、漏洞利用、异常行为等。
分布式（Distributed）：这种类型的IDS被部署在一个分布式的环境中，例如一个由多个检测点组成的网络。每个检测点都可以独立地检测其所在环境中的安全威胁，然后将这些信息集中起来进行综合分析和响应。
混合型（Hybrid）：这种类型的IDS结合了多种部署方式，例如网络型、系统型、应用型和分布式等。它们可以在多个层次上检测并响应安全威胁，从而提供更全面的安全保护

旁挂：需要在部署旁挂设备上使用端口镜像的功能，把需要采集的端口流量镜像到IDS旁挂口。也可以使用集线器、分光器实现流量复制。

6. IDS的签名是什么意思？签名过滤器有什么作用？例外签名配置作用是什么？

IDS的签名：签名是用来描述网络中存在的攻击行为的特征，通过将数据流和这些签名进行比较来检测和防范攻击。如果某个数据流匹配了某个签名中的特征项，设备就会按照签名的动作来处理数据流。
签名过滤器的作用：因为设备升级签名库后会存在大量签名，这些签名没有进行分类，且有些签名所包含的特征本网络中不存在，需要设置签名过滤器对其进行管理，并过滤掉。签名过滤器的动作分为三种：采用签名的缺省动作、告警、阻断。自定义签名过滤器时默认的动作是采用签名的缺省动作。
例外签名配置作用：由于签名过滤器会批量过滤出签名，为了方便管理就会设置统一的动作。如果管理员需要将某些签名设置为与过滤器不同的动作时，可将这些签名引入到例外签名中，并单独配置动作。例外签名的动作有阻断、告警、放行。