¿Qué es la detección de intrusiones y la estructura del sistema de detección de intrusiones?
La detección de intrusiones es un complemento razonable del firewall.
La estructura del sistema de detección de intrusiones consta de:
1. Generador de eventos: Su propósito es obtener eventos de todo el entorno informático y proporcionar este evento a otras partes del sistema.
2. Analizador de eventos: obtiene datos después del análisis y genera resultados del análisis.
3. Unidad de respuesta: Es una unidad funcional que reacciona a los resultados del análisis. Puede realizar reacciones fuertes como cortar conexiones y cambiar atributos de archivos, o también puede simplemente dar una alarma.
4. Base de datos de eventos: La base de datos de eventos es el nombre colectivo del lugar donde se almacenan diversos datos intermedios y finales. Puede ser una base de datos compleja o un simple archivo de texto.
Información ampliada:
El sistema de detección de intrusiones se divide en dos modos en función del comportamiento de la detección de intrusiones: detección de anomalías y detección de uso indebido. El primero debe establecer primero un modelo de comportamiento normal de acceso al sistema. Cualquier comportamiento de visitante que no se ajuste a este modelo será juzgado como una intrusión.
Este último, por el contrario, debe primero resumir todos los comportamientos adversos e inaceptables que puedan ocurrir y establecer un modelo. Cualquier comportamiento del visitante que se ajuste a este modelo será juzgado como una intrusión.
Las estrategias de seguridad de estos dos modos son completamente diferentes, y cada uno tiene sus propias fortalezas y debilidades: la tasa de falsos negativos de detección de anomalías es muy baja, pero el comportamiento que no se ajusta a los patrones de comportamiento normales es No es necesariamente un ataque malicioso, por lo que esta estrategia tiene una mayor tasa de falsos positivos.
La detección de uso indebido tiene una baja tasa de falsos positivos debido a patrones de comportamiento inaceptables que coinciden directamente con anomalías de alineación. Sin embargo, los comportamientos maliciosos cambian constantemente y es posible que no se recopilen en la biblioteca de patrones de comportamiento, por lo que la tasa de falsos negativos es muy alta.
Esto requiere que los usuarios formulen estrategias y seleccionen modos de detección de comportamiento en función de las características y requisitos de seguridad del sistema. Ahora los usuarios adoptan una estrategia que combina los dos modos.
Enciclopedia Baidu: Detección de intrusiones
Enciclopedia Baidu: Sistema de detección de intrusiones