网络通信安全管理员培训教材(PDF 30页)

定义：
› 入侵检测就是对（网络）系统的运行状态进行监视，
发现各种攻击企图、攻击行为或者攻击结果，以保
证系统资源的机密性、完整性与可用性。
功能：
›识别黑客常用入侵与攻击
›监控网络异常通信
›鉴别对系统漏洞及后门的利用
›完善网络安全管理
CIDF模型；
›CIDF模型是在对入侵检测系统进行规范化的进程
中提出的，也是逐渐被入侵检测领域所采纳的模型；
Denning的通用入侵检测系统模型。
›Denning的通用入侵检测系统模型作为入侵检测发
展历程中颇具影响力的实例，给入侵检测领域的研
究带来了相当重要的启示。
事件产生器的目的是从整个计算环境中获得事
件，并向系统的其他部分提供此事件
是入侵检测的第一步
采集内容
›系统日志
›应用程序日志
›系统调用
›网络数据
›用户行为
›其他IDS的信息
..............................