本文为软考信息安全工程师个人学习笔记，依据官方考试大纲与公开技术规范整理，仅用于学习交流，不作为商业用途。
一、入侵检测概述
1.1 判断是否为入侵
判断是否为入侵的依据是：对目标的操作是否超出了目标的安全策略范围。
例如：用户只有读权限却进行写操作，即视为入侵。
入侵检测通过收集操作系统、系统程序、应用程序、网络包等信息，发现系统中违背安全策略或危及系统安全的行为。
具有入侵检测功能的系统称为入侵检测系统，简称为IDS（Intrusion Detection System）。
1.2 入侵检测模型
早期入侵检测模型
早期入侵检测模型根据审计记录数据，生成系统的轮廓，并检测轮廓的变化，发现入侵行为。
原理：基于审计数据建立系统正常行为轮廓（如用户行为基线），通过检测轮廓变化发现入侵。例如用户平时6点登录，某天10点登录即触发异常。
CIDF通用入侵检测模型
通用入侵检测模型CIDF（Common Intrusion Detection Framework）把入侵检测系统分成四个组件：
| 组件 | 英文 | 功能 |
|---|---|---|
| 事件产生器 | E-boxes | 从整个计算环境中获得事件，并向系统的其他部分提供事件 |
| 事件分析器 | A-boxes | 分析所得到的数据，并产生分析结果（如判断是否攻击） |
| 响应单元 | R-boxes | 对分析结果做出反应（拒绝/允许） |
| 事件数据库 | D-boxes | 存储各种中间和最终数据 |
CIDF组件关系：
事件产生器(E) ──→ 事件分析器(A) ──→ 响应单元(R)
│ │ │
└────────→ 事件数据库(D) ←─────────┘考试重点：CIDF四组件的名称和功能是高频考点。记忆口诀：E产生、A分析、R响应、D存储。
1.3 入侵检测作用
入侵检测系统扮演**"预警机"或"安全巡逻人员"**的角色，不是阻止入侵事件的发生，而是通过检测技术来发现系统中企图或已经违背安全策略的行为。
类比理解：防火墙如同小区门卫（阻止进出），IDS如同小区巡逻人员（发现异常行为但不直接阻止）。
六大作用：
| 序号 | 作用 |
|---|---|
| ① | 发现受保护系统中的入侵行为或异常行为 |
| ② | 检验安全保护措施的有效性 |
| ③ | 分析受保护系统所面临的威胁 |
| ④ | 有利于阻止安全事件扩大，及时报警触发网络安全应急响应 |
| ⑤ | 可以为网络安全策略的制定提供重要指导 |
| ⑥ | 报警信息可用作网络犯罪取证 |
1.4 全网态势感知
入侵检测技术还常用于安全态势感知，以获取网络信息系统的安全状况。网络安全态势感知平台通常汇聚入侵检测系统的报警数据，特别是分布在不同安全区域的报警，然后对其采取数据关联分析、时间序列分析等综合技术手段，给出网络安全状况判断及攻击发展演变趋势。
态势感知系统组成：
| 层级 | 功能 |
|---|---|
| 数据采集层 | 终端Agent、网络探针、安全设备日志 |
| 分析层 | 大数据平台进行关联分析和威胁建模 |
| 响应层 | 分钟级威胁阻断能力 |
工作原理：通过"采集-分析-响应"闭环，实现从单点检测到全网协同防御的升级。
数据采集方式：
- 日志分析：对设备产生的海量日志进行统一收集和关联分析，采用大数据分析技术将原始日志浓缩为关键告警
- 流量探针分析：在网络关键节点部署专用探针或利用交换/防火墙内置功能采集流量，检测流量中的异常模式或攻击特征
二、入侵检测原理
入侵检测技术原理分为两大类：误用检测 和异常检测。
2.1 误用检测
定义：又称基于特征的入侵检测方法，是指根据已知的入侵模式检测入侵行为。通过已知入侵模式库匹配当前行为。
分类：
| 分类 | 说明 |
|---|---|
| 基于条件概率 | 利用贝叶斯定理进行概率推理 |
| 基于状态迁移 | 通过状态机描述攻击过程 |
| 基于键盘监控 | 监控用户键盘输入序列 |
| 基于规则 | 预定义攻击特征规则进行匹配 |
核心缺点 ：高度依赖特征库，检测不出新的攻击（零日攻击）。
类比理解：误用检测类似杀毒软件的特征码匹配机制，只能识别已知病毒。
术语说明："误用检测"是英文misuse detection的直译术语，实际指特征库匹配检测。
2.2 异常检测
定义：通过统计分析，建立系统正常行为的"轨迹"，定义一组系统正常数值，然后将系统运行时的数值与定义的"正常"情况相比较，得出是否有被攻击。
分类：
| 分类 | 说明 |
|---|---|
| 基于统计 | 通过统计方法建立正常行为基线 |
| 基于模式预测 | 利用时间序列预测正常行为模式 |
| 基于文本分类 | 通过文本分类技术识别异常内容 |
| 基于贝叶斯推理 | 利用贝叶斯定理推断异常概率 |
典型场景：
- 异常登录（如地理位移异常------用户在北京登录后5分钟内在上海登录）
- 行为时间异常（如作息突变------用户平时9点上班，某天凌晨3点大量操作）
核心缺点 ：存在较多误报（正常行为偏离基线被误判为攻击）。
优势 ：可以检测出新的攻击（未知攻击/零日攻击）。
2.3 误用检测与异常检测对比
| 对比维度 | 误用检测 | 异常检测 |
|---|---|---|
| 检测依据 | 已知入侵特征库 | 系统正常行为基线 |
| 能否检测新攻击 | 不能 | 能 |
| 误报率 | 低 | 高 |
| 漏报率 | 高（新攻击漏报） | 低 |
| 典型技术 | 规则匹配、特征码 | 统计分析、贝叶斯推理 |
| 类比 | 杀毒软件特征码 | 行为分析引擎 |
考试高频对比：误用检测=低误报、高漏报、依赖特征库；异常检测=高误报、低漏报、可检测新攻击。选择题常考"哪种检测方式误报率高"------答案是异常检测。
三、入侵检测系统组成
入侵检测系统由五大模块组成：
| 模块 | 功能 |
|---|---|
| 数据采集模块 | 收集审计记录、协议数据等原始信息 |
| 入侵分析引擎模块 | 核心检测单元，分析数据判断是否入侵 |
| 应急处理模块 | 对检测到的入侵采取响应措施 |
| 管理配置模块 | 提供配置服务，是模块和用户的接口 |
| 相关的辅助模块 | 为入侵分析引擎模块提供信息支持 |
系统示意图：
配置系统库 ──→ 入侵检测器 ←── 数据采集（审计记录/协议数据）
│
├──→ 报警 ──→ 应急措施
│
└──→ 安全控制系统四、入侵检测系统分类
4.1 基于主机的入侵检测系统（HIDS）
定义：HIDS通过收集主机系统的日志文件、系统调用以及应用程序的使用、系统资源、网络通信和用户使用等信息，分析这些信息是否包含攻击特征或异常情况，并以此来判断该主机是否受到入侵。
检测依据：
| 检测指标 | 说明 |
|---|---|
| CPU利用率 | 异常高CPU占用可能暗示挖矿或恶意进程 |
| 内存利用率 | 内存泄漏或恶意程序消耗 |
| 磁盘空间大小 | 异常文件写入或数据泄露 |
| 网络端口使用情况 | 异常端口开放或连接 |
| 注册表 | 注册表被恶意修改 |
| 文件的完整性 | 系统文件被篡改 |
| 进程信息 | 异常进程或隐藏进程 |
| 系统调用 | 异常系统调用序列 |
典型软件：
| 软件 | 功能 |
|---|---|
| SWATCH | 实施监视日志的程序 |
| Tripwire | 文件和目录完整性检测工具软件包 |
| 网页防篡改系统 | 防止网页文件被入侵者非法修改 |
部署特点：需在每台主机安装代理（Agent），类比每台电脑安装的杀毒软件。
4.2 基于网络的入侵检测系统（NIDS）
定义：NIDS通过监听网络流量，分析数据包内容发现入侵行为。通常所说的IDS即指网络入侵检测系统（NIDS）。
优点：
| 优点 | 说明 |
|---|---|
| 大规模监控 | 单点可监控整个网络出口 |
| 隐蔽性 | 旁路部署不影响正常流量 |
| 被动检测 | 对攻击者不可见 |
| 部署优势 | 相比HIDS更易实现集中管控 |
缺点：
| 缺点 | 说明 |
|---|---|
| 性能瓶颈 | 高速网络易出现漏检 |
| 监测盲区 | VLAN环境受交换机镜像限制 |
| 加密局限 | 无法解析加密流量内容 |
| 结果判断 | 仅能检测攻击行为，无法确认攻击结果 |
4.3 HIDS与NIDS对比
| 对比维度 | HIDS | NIDS |
|---|---|---|
| 检测对象 | 单台主机 | 网络流量 |
| 部署方式 | 每台主机安装Agent | 旁路监听（镜像端口） |
| 加密流量 | 可检测（主机端解密后） | 无法检测（加密内容不可见） |
| 攻击结果确认 | 能确认（可查看主机状态） | 不能确认（仅看到攻击报文） |
| 部署复杂度 | 高（需逐台安装） | 低（单点部署） |
| 对网络性能影响 | 无 | 无（旁路） |
| 典型工具 | Tripwire、SWATCH | 商业IDS产品 |
考试重点：HIDS可检测加密流量但部署复杂，NIDS部署简单但无法解密加密流量。HIDS检测结果更精准，NIDS部署更简单。
4.4 分布式入侵检测系统（DIDS）
产生背景：
- 漏洞分布分散化
- 攻击行为协同化
- 数据来源多元化
- 流量处理瓶颈
系统类型：
| 类型 | 组成 |
|---|---|
| HDIDS（基于主机检测的分布式IDS） | 主机探测器 + 入侵管理控制器 |
| NDIDS（基于网络的分布式IDS） | 网络探测器 + 管理控制器 |
架构特点：
- 多探测器分布式部署
- 集中式管理控制器
- 支持跨子网攻击检测
演进关系：分布式入侵检测系统是现代态势感知系统的前身技术。
本章小结
本章节系统梳理了入侵检测的基础理论与技术原理：
- 入侵检测定义：判断依据是操作是否超出安全策略范围，IDS扮演"预警机"角色（发现而非阻止）
- CIDF模型：四组件（事件产生器E→事件分析器A→响应单元R→事件数据库D），记忆口诀"E产生、A分析、R响应、D存储"
- 六大作用：发现入侵/检验措施/分析威胁/阻止扩大/指导策略/犯罪取证
- 误用检测：基于特征库匹配已知攻击，分类（条件概率/状态迁移/键盘监控/规则），缺点是无法检测新攻击
- 异常检测：基于正常行为基线统计分析，分类（统计/模式预测/文本分类/贝叶斯推理），缺点是误报率高，优点是可检测新攻击
- 系统组成：五大模块（数据采集/分析引擎/应急处理/管理配置/辅助模块）
- HIDS：基于主机，检测CPU/内存/文件完整性等，典型工具Tripwire/SWATCH，需安装Agent
- NIDS：基于网络，旁路监听流量，优点是大规模监控/隐蔽性，缺点是高速网络漏检/无法解密加密流量
- 分布式IDS：HDIDS（主机探测器+管理控制器）和NDIDS（网络探测器+管理控制器），态势感知前身
上述内容中，CIDF四组件、误用检测与异常检测对比（误报率/漏报率/能否检测新攻击）、HIDS与NIDS优缺点对比为高频考点，入侵检测系统部署架构可能出现在下午案例分析题中。
本文为软考信息安全工程师个人学习笔记，依据官方考试大纲与公开技术规范整理，仅用于学习交流，不作为商业用途。