如何檢測入侵？

我們的計算機系統和資訊安全始終面臨風險。網路的廣泛發展以及入侵和攻擊網路的工具和技巧的可訪問性日益增強，使得入侵檢測成為網路管理的重要組成部分。入侵可以被定義為任何威脅網路資源（包括使用者帳戶、檔案系統、系統核心等）的完整性、機密性或可用性的事件集合。

一些商業入侵檢測系統功能有限，無法提供完整的解決方案。這些系統通常採用誤用檢測方法。誤用檢測搜尋程式或使用者行為模式，這些模式與已知的入侵場景相關聯，並儲存為特徵碼。

這些手工編寫的特徵碼由人類專業人員根據他們對入侵方法的廣泛知識進行費力地維護。如果發現模式匹配，則會發出警報。人類安全分析師會分析這些警報以確定採取何種行動，無論是關閉系統的一部分、提醒相關網路服務提供商存在可疑流量，還是簡單地記錄異常流量以供將來參考。

大型複雜網路的入侵檢測系統通常每天會產生數千甚至數百萬個警報，這對安全分析師來說是一項極其繁重的任務。由於系統並非靜態的，因此每當出現新的軟體版本或網路配置更改時，都需要更新特徵碼。其侷限性在於誤用檢測只能識別與特徵碼匹配的案例。尤其無法檢測新的或以前未知的入侵方法。

異常檢測方法可以發現新的入侵。異常檢測構建正常網路行為的模型（稱為配置檔案），可以檢測與配置檔案顯著偏離的新模式。這些偏差可能代表實際入侵，也可能只是需要新增到配置檔案中的新行為。

異常檢測的優勢在於它可以檢測尚未觀察到的新型入侵。通常，人類分析師需要檢查這些偏差以確定哪些代表真正的入侵。異常檢測的一個決定性因素是高比例的誤報。可以將新的入侵模式新增到誤用檢測的特徵碼集中。

Ginni

更新於：2021年11月30日

110 次瀏覽

啟動您的職業生涯

完成課程獲得認證

開始學習