第13讲：第7章-入侵检测系统的标准与评估
网络安全中的入侵检测系统应用评估
网络安全中的入侵检测系统应用评估随着网络的迅速发展和普及，保护网络安全已经成为当今社会不可或缺的重要任务。
在网络攻击和入侵事件频繁发生的背景下，入侵检测系统（Intrusion Detection System，简称IDS）成为了一种重要的防御手段之一。
在本文中，我们将对入侵检测系统的应用进行评估，探讨其在网络安全中的重要性和效果。
入侵检测系统是一种通过监控网络流量和系统活动，并进行异常检测，来识别潜在入侵和攻击行为的技术。
它主要分为两种类型：基于网络的入侵检测系统（Network-based Intrusion Detection System，简称NIDS）和基于主机的入侵检测系统（Host-based Intrusion Detection System，简称HIDS）。
首先评估入侵检测系统的重要性。
随着网络攻击的不断演化和变化，传统的安全防护手段已经难以应对复杂多变的攻击手法。
而入侵检测系统能够对实时网络流量进行监控和分析，及时识别异常行为并发出警报，为网络安全团队提供了第一手的信息。
它能够帮助公司和组织及时发现并应对潜在的网络攻击和入侵行为，减少损失和风险。
因此，在网络安全中使用入侵检测系统是至关重要的。
其次评估入侵检测系统的应用效果。
入侵检测系统通过监控网络流量和系统活动，通过事先定义的异常行为模式或利用机器学习算法等技术，快速识别恶意行为和异常行为。
一旦发现异常，入侵检测系统会立即触发警报，通知网络管理员或安全团队进行进一步的调查和应对。
入侵检测系统不仅可以帮助识别传统的网络攻击，如DDoS（分布式拒绝服务攻击）和SQL注入攻击，还可以检测未知和新型的威胁。
总体而言，入侵检测系统在提高网络安全性和保护信息资产方面具有重要作用。
在评估入侵检测系统时，还需要考虑其性能和可扩展性。
由于网络数据量巨大，入侵检测系统需要能够快速且准确地处理大量的网络流量数据。
同时，随着网络的扩展和公司规模的增长，入侵检测系统需要具备良好的可扩展性，能够适应不断变化的网络环境和规模。
入侵检测系统的设计和性能评估
入侵检测系统的设计和性能评估概述：入侵检测系统（Intrusion Detection System，IDS）是一种用于保护计算机网络免受恶意入侵的安全工具。
随着网络攻击威胁的不断增加，设计一款高效可靠的入侵检测系统至关重要。
本文将介绍入侵检测系统的设计原理和性能评估方法。
设计原理：入侵检测系统的设计原理基于对网络行为的监视和分析。
它分为两大类：基于主机的入侵检测系统（Host-based IDS，HIDS）和基于网络的入侵检测系统（Network-based IDS，NIDS）。
HIDS通过监视主机的操作系统和应用程序状态来检测入侵行为。
它可以分析文件的访问、进程的执行、系统配置的更改等。
HIDS的优点是可以检测本地攻击和未经过网络传输的攻击，但缺点是受限于主机本身的资源和性能。
NIDS通过监视网络流量和报文来检测入侵行为。
它可以分析报文的头部和负载，识别出异常的行为模式。
NIDS的优点是可以对整个网络进行监测，但缺点是很难检测到已加密的流量和分布式攻击。
性能评估：对入侵检测系统的性能评估是为了确保其有效性和可靠性。
常用的性能评估指标包括准确率、误报率、漏报率和响应时间。
准确率是指入侵检测系统正确识别出入侵行为的能力。
它可以通过混淆矩阵来计算，包括真正例、假正例、真负例和假负例。
准确率越高，表示系统的检测能力越强。
误报率是指入侵检测系统错误地将正常行为误报为入侵行为的概率。
误报率越低，表示系统的可靠性越高。
漏报率是指入侵检测系统未能检测到入侵行为的概率。
漏报率越低，表示系统的敏感性越高。
响应时间是指入侵检测系统从检测到入侵行为到采取相应措施的时间。
响应时间越短，表示系统的实时性越好。
为了评估入侵检测系统的性能，可以使用实验方法。
首先，收集真实的网络流量和入侵数据集。
然后，利用这些数据集对入侵检测系统进行测试，记录准确率、误报率、漏报率和响应时间等指标的数值。
最后，根据这些数值来评估系统的性能。
安全防护中的网络入侵检测系统设计与效果评估
安全防护中的网络入侵检测系统设计与效果评估网络入侵检测系统是一种有助于保护计算机网络免受网络攻击和恶意活动的一种安全防护工具。
设计和评估一套高效可靠的网络入侵检测系统是网络安全领域的重要研究内容。
本文将探讨网络入侵检测系统的设计原则和方法，并对其效果评估进行讨论。
一、网络入侵检测系统的设计原则网络入侵检测系统的设计应遵循以下原则：1. 实时监测：网络入侵检测系统应能够实时监测网络中的各种传输数据和通信行为，以及对异常行为及时作出反应。
2. 多层次防护：网络入侵检测系统应该采用多层次、多种方式的防护机制，包括网络层、主机层和应用层等多个层次。
3. 自适应学习：网络入侵检测系统应能够根据网络环境和威胁行为的变化调整检测策略和算法，并且具备学习和自适应能力。
4. 高性能和低误报率：网络入侵检测系统应具备高性能的检测能力，同时尽量降低误报率，减少误报给管理员带来的困扰。
二、网络入侵检测系统的设计方法1. 基于签名的检测方法：签名是一种用于表示特定入侵行为的模式或规则，基于签名的检测方法通过与已知的入侵行为进行对比，检测到相应的恶意活动。
2. 基于异常行为的检测方法：异常行为检测是通过分析网络中的行为模式，识别出异常行为来判断是否存在入侵。
3. 基于机器学习的检测方法：机器学习技术可以通过对网络流量数据进行训练和学习，从而识别出恶意行为和入侵行为。
4. 分布式检测方法：分布式检测方法可以部署多个检测节点，在不同的网络位置进行检测，提高检测的准确性和效率。
三、网络入侵检测系统效果评估的指标1. 检测率：检测率是指网络入侵检测系统检测出的真实入侵行为的比例，评估检测系统的敏感性和准确性。
2. 误报率：误报率是指网络入侵检测系统错误地将正常行为误判为入侵行为的比例，评估检测系统的准确性和可用性。
3. 响应时间：响应时间是指网络入侵检测系统从检测到入侵行为到采取相应措施的时间，评估系统的实时性和敏捷性。
4. 可扩展性：可扩展性是指网络入侵检测系统能否适应网络规模不断增大和新的威胁形式的变化，评估系统的适应能力和扩展性。
第12讲：第7章-入侵检测的标准与评估
CIDF定义IDS的6种协同方式
分析方式
B负责合并A1和A2的输出结 互补方式: 果,A1和A2可以检测不同的攻 互纠方式 击。
核实方式 调整方式
响应方式
A1 B
A2
13
第7章 入侵检测系统的标准与评估
7.1 入侵检测的标准化工作
CIDF的体系结构
CIDF定义IDS的6种协同方式
可以方便地为入侵检测报警描述特定的开发自定义
侵检测系统之间通信的要求说明，同时还有入侵检 测系统和管理系统之间通信的要求说明。
制定公共入侵语言规范。 制定一种入侵检测消息交换的体系结构，使得最适
合于用目前已存在协议实现入侵检测系统之间的通 信。
27
第7章 入侵检测系统的标准与评估
7.1 入侵检测的标准化工作
IMDEF
需求
消息交换需求 消息格式需求 通信机制需求 安全需求
7
第7章 入侵检测系统的标准与评估
7.1 入侵检测的标准化工作
7.1.1 CIDF
由S.Staniford-Chen等人提出 CIDF的规格文档由4部分组成：
Architecture Communication Language API
8
第7章 入侵检测系统的标准与评估
CIDF的公共入侵规范语言（CISL） 一个实例:以LINUX环境为例，针对一个含有
LOGIN_FAILED的日志记录[10]：Jul 31 08:57:45 zd213 login[1344] LOGIN_ FAILED 1 from 192.168.0.211 FORJohn Authentication failure。系统产生的GIDO如 下(限于篇幅，这里略去其对应的二进制编码形 式)：
入侵检测系统的测试与评估
随着入侵检测系统的广泛应用，对入侵检测系统进行测试和评估的要求也越来越迫切。
开发者希望通过测试和评估发现产品中的不足，用户希望测试和评估来帮助自己选择合适的入侵检测产品。
本文根据目前的相关研究，介绍了入侵检测系统测试评估的标准、指标，方法步骤、数据来源、环境配置、测试评估的现状以及其中存在的一些问题。
1 引言随着人们安全意识的逐步提高，入侵检测系统（IDS）的应用范围也越来越广，各种各样的IDS也越来越多。
那么IDS能发现入侵行为吗？IDS是否达到了开发者的设计目标？什么样的IDS才是用户需要的性能优良的IDS呢？要回答这些问题，都要对IDS进行测试和评估。
和其他产品一样，当IDS发展和应用到一定程度以后，对IDS进行测试和评估的要求也就提上日程表。
各方都希望有方便的工具，合理的方法对IDS进行科学。
公正并且可信地测试和评估。
对于IDS的研制和开发者来说，对各种IDS进行经常性的评估，可以及时了解技术发展的现状和系统存在的不足，从而将讲究重点放在那些关键的技术问题上，减少系统的不足，提高系统的性能；而对于IDS的使用者来说，由于他们对IDS依赖程度越来越大，所以也希望通过评估来选择适合自己需要的产品，避免各IDS产品宣传的误导。
IDS的用户对测试评估的要求尤为迫切，因为大多数用户对IDS本身了解得可能并不是很深入，他们希望有专家的评测结果作为自己选择IDS的依据。
总地来说，对IDS进行测试和评估，具有以下作用：·有助于更好地刻划IDS的特征。
通过测试评估，可更好地认识理解IDS的处理方法、所需资源及环境；建立比较IDS的基准；领会各检测方法之间的关系。
·对IDS的各项性能进行评估，确定IDS的性能级别及其对运行环境的影响。
·利用测试和评估结果，可做出一些预测，推断IDS发展的趋势，估计风险，制定可实现的IDS质量目标（比如，可靠性、可用性、速度、精确度）、花费以及开发进度。
网络安全中的入侵检测系统设计与评估
网络安全中的入侵检测系统设计与评估在当今数字化和网络化的时代，网络安全已经成为一个举世关注的问题。
随着网络的快速发展，网络攻击和入侵也越来越普遍和复杂。
为了保护网络系统的安全，入侵检测系统（Intrusion Detection System，简称IDS）成为至关重要的工具。
本文将探讨网络安全中的入侵检测系统的设计与评估。
入侵检测系统的设计在网络安全中扮演者重要角色。
入侵检测系统主要通过监控网络中的流量和活动，来对潜在的入侵行为进行检测和警告。
在设计入侵检测系统时，需要考虑以下几个关键方面。
首先，入侵检测系统需要具备高效准确的检测能力。
它需要能够识别和区分正常流量和恶意行为，及时发现潜在的攻击并及早采取反应。
为了实现这一目标，设计者可以使用多种技术，例如基于规则的检测、统计分析和机器学习等。
这些技术可以根据已知的攻击特征和异常行为来进行检测和评估。
其次，入侵检测系统需要具备实时性和可扩展性。
网络攻击和入侵是一个不断变化和演变的过程，因此入侵检测系统需要能够及时响应和适应新的威胁以及网络环境的变化。
此外，网络规模不断扩大，入侵检测系统也需要能够应对大规模的网络流量和设备数量。
因此，在设计入侵检测系统时应该考虑系统的可扩展性和高效的实时处理能力。
另外，入侵检测系统需要具备强大的防御和响应能力。
一旦检测到入侵行为，系统应该能够及时采取相应的反应措施，以保护网络系统和数据的安全。
这可能包括阻断攻击流量、隔离受感染的主机和修复受损的系统等。
因此，在设计入侵检测系统时，应该考虑系统与其他安全设备和工具的集成，以便实现全面的网络安全。
为了评估入侵检测系统的有效性和可靠性，需要采取适当的评估方法和指标。
评估入侵检测系统的方法可以分为实验评估和实际环境评估两种。
在实验评估中，可以使用模拟工具或网络流量生成器来模拟不同类型和规模的攻击，并测试入侵检测系统的检测效果和性能。
通过这种方式，可以确定系统的准确性、敏感性和误报率等。
入侵检测的评估与标准(一)
入侵检测的评估与标准(一)入侵检测的评估与标准1. 引言•入侵检测系统（Intrusion Detection System, IDS）是网络安全防护的重要组成部分之一。
•评估和标准对于确保入侵检测系统的可靠性和有效性非常重要。
2. 评估原则•评估入侵检测系统应该遵循以下原则：1.全面性：评估覆盖所有可能的入侵方法和技术。
2.实用性：评估结果能够为实际防御提供有效的指导和建议。
3.客观性：评估结果应基于客观的数据和准确的测试过程。
4.可复现性：评估过程应可重复进行，以确保结果的准确性。
3. 评估方法•常用的入侵检测系统评估方法包括：1.基准测试：通过使用已知的攻击模式和漏洞来评估系统的检测能力。
2.模拟攻击：利用模拟工具模拟各种攻击行为，测试系统的检测和响应能力。
3.实战测试：在真实网络环境中进行测试，检验系统对真实威胁的识别和响应能力。
4.安全漏洞扫描：通过扫描系统中的漏洞，评估系统的漏洞管理和修复能力。
4. 评估指标•在评估入侵检测系统时，可以考虑以下指标：1.准确率：系统正确识别和报警的比例。
2.假阳性率：系统错误地将正常行为误报为入侵行为的比例。
3.检测率：系统成功检测到的入侵事件的比例。
4.响应时间：系统发现入侵事件后采取相应措施所需的时间。
5.可伸缩性：系统在大规模网络环境下的工作能力和性能。
5. 入侵检测标准•国际上常用的入侵检测标准包括：1.入侵检测评估计划（Intrusion Detection EvaluationPlan, IDEP）：提供评估方法和工具，用于评估入侵检测系统的性能和效果。
2.入侵检测评估准则（Intrusion Detection EvaluationCriteria, IDEC）：定义了评估入侵检测系统所需满足的基本要求和性能标准。
3.入侵检测功能要求（Intrusion Detection FunctionalRequirements, IDFR）：规定了入侵检测系统应具备的基本功能和能力。
入侵检测的评估与标准
入侵检测的评估与标准入侵检测是一项重要的安全措施，旨在保护计算机网络免受未经授权的访问和恶意活动。
为了确保入侵检测系统的有效性和可靠性，以下是一些评估与标准，可应用于任何企业或组织。
1. 系统功能评估：- 是否具备实时监控网络流量和系统活动的能力。
- 是否能识别，并对威胁行为和异常活动做出警告和响应。
- 是否具备在入侵事件发生时，记录相关数据和事件日志的功能。
- 是否可以与其他安全设备和系统进行集成，以提供更全面的安全保护。
2. 检测准确性评估：- 是否能够准确地识别真正的入侵行为，并排除误报。
- 是否能够对已知的入侵行为和攻击进行准确的检测与识别。
- 是否能够及时发现和响应零日攻击和未知的入侵行为。
3. 应用程序和系统漏洞评估：- 是否具备针对已知的应用程序和系统漏洞进行扫描和检测的能力。
- 是否能够实时监测应用程序和系统的漏洞，并及时采取措施进行修复。
- 是否能够识别和阻止利用应用程序和系统漏洞的入侵行为。
4. 检测覆盖面评估：- 是否涵盖网络和系统的所有关键部分，包括入口点、边界设备、内部网络和终端用户等。
- 是否能够检测和阻止不同类型的入侵行为，例如网络入侵、内部滥用和恶意软件等。
- 是否能够在多个网络和系统环境下进行有效的入侵检测和防御。
5. 实施和操作管理评估：- 是否能够快速部署和配置入侵检测系统，并适应不同的网络环境和需求。
- 是否能够提供适当的培训和技术支持，以确保操作人员能够有效地使用和管理入侵检测系统。
- 是否具备监控和分析入侵检测数据的能力，并能够生成有用的报告和警报。
以上评估与标准可用于评估入侵检测系统的功能和性能。
企业或组织应根据自身需求和安全风险进行合理的选择和部署，并不断监测和优化入侵检测系统，以保护计算机网络免受潜在的入侵威胁。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
检测不出入侵情况 （1，1）点则表示检测系统的报警门限为0时， 检测系统把被监控系统的所有行为都视为入侵活 动的情况。 （0，1）点则代表了一个完美的检测系统，能 在没有虚警的情况下，检测出所有的入侵活动， 这是理想的情况。
15
第7章入侵检测系统的标准与评估
100% 检测率
A B C
0
虚警率
11
第7章入侵检测系统的标准与评估
7.3 入侵检测系统的性能指标
影响入侵检测系统性能的参数
先验概率P(I)可利用实验环境和实际环境得到。 因为入侵行为出现的概率一般很小，即 P ( I ) P (I ) P ( I ) P ( I ) 1
所以P(I |A) 的值主要取决于虚警率的影响。假 定某一时间段内受到入侵攻击的概率 P(I)=0.00001，图中给出了检测系统的报警信息 可信度与系统检测虚警率、检测率之间的关系。
评 估 网 络
IDS
攻击网络 通信流
Rome实验室的IDS测试环境
23
第7章入侵检测系统的标准与评估
7.6 测试环境和测试软件
为了较好地测试IDS，针对不同的测试目标，一 般构建专用的网络环境，下图是测试IDS功能的 网络配置图
路由器
攻击者 路由器
网络负载产生器
攻击目标
IDS探测器
IDS管理中心
评价检测算法性能的测度
通常可以用检测率随虚警率的变化曲线来评价检 测系统的性能 ，这个曲线称为接收器特性(ROCReceiver Operation Characteristic)曲线。 下图对应着采用不同检测算法的入侵检测系统A、 B、C，所做的ROC曲线簇。
A代表最坏情况，相当于对入侵行为没有识别能
入侵检测技术分析
第13讲
北京信息科技大学
刘凯 liukai@
0
入侵检测技术分析
第七章
入侵检测系统的评估
1
课程安排
入侵检测概述 入侵方法及手段 入侵检测系统 入侵检测流程 基于主机的入侵检测技术 基于网络的入侵检测技术 入侵检测系统的标准与评估 Snort 分析 入侵检测技术的发展趋势
系统活动记录未能为IDS提供足够的信息用来检 测入侵 入侵签名数据库中没有某种入侵攻击签名 模式匹配算法不能从系统活动记录中识别出入 侵签名
异常检测模块失效的原因如下：
异常阈值定义不合适 用户轮廓模板不足以描述用户的行为 异常检测算法设计错误。
19
第7章入侵检测系统的标准与评估
2学时 3学时 3学时 6学时 4学时 4学时 4学时 4学时 2学时 共32学时2
教材及参考书
《入侵检测技术》曹元大 人民邮电出版社 《入侵检测技术》薛静锋等 机械工业出版社 《Snort 2.0 入侵检测》Brian Caswell等著 宋劲松 等著 国防工业出版社 《入侵检测实用手册》Paul E. Proctor 中国电力 出版社 /
根据贝叶斯定理给出这二个参数的计算公式：
P(I )P( A / I ) P ( I | A) P ( I ) P ( A | I ) P (I ) P ( A | I )
P (I ) P (A | I ) P (I | A) P (I ) P (A | I ) P ( I ) P (A | I )
测试配置 测试要求
集成
送交受测系统 报告结果 30
小结
影响入侵检测系统的性能参数是什么 用ROC曲线来表示不同检测系统性能 测试评估的内容 入侵检测的评估方案
● —— 重要知识点
31
思考题
1 .入侵检测系统的报警可信度与虚警率、检测 率之间的关系是什么？ 2、评价入侵检测系统性能的3个因素是什么？ 分别表示什么含义？
7
第7章入侵检测系统的标准与评估
7.3 入侵检测系统的性能指标
影响入侵检测系统性能的参数
在异常检测和误用检测中都会产生误报。误报包括 虚警(False Positive)和漏警(False Negative)。 在异常检测中，由于不能保证入侵活动与异常活动 完全相符，因此会出现是异常却非入侵的情况或者 出现入侵却非异常的情况，前者会产生虚警，后者 会产生漏警。 在误用检测中，由于可能出现入侵特征定义的不准 确和不全面，因此会出现将正常模式当成入侵模式 的情况或者出现不能识别入侵模式的情况，前者会 产生虚警，后者会产生漏警。
8
第7章入侵检测系统的标准与评估
7.3 入侵检测系统的性能指标
影响入侵检测系统性能的参数
入侵检测可以看作一个简单的二值假设检验问题。 为便于分析,给出相关定义和符号。 假设I和﹁I分别表示入侵行为和目标系统的正常 行为，A表示检测系统发出警报，﹁A表示检测系统 没有警报。
检测率：指目标系统受到入侵攻击时，检测系统 能够正确报警的概率，可表示为P（A|I）。 虚警率：检测系统在检测时出现虚警的概率，用 P(A|﹁I)表示。 漏检率：检测系统在检测时出现漏警的概率，用 P(﹁A|I)表示。 9
是否即插即用 所支持的软件平台 与其它安全工具的集成是否容易 IDS运行需要的网络拓扑结构 支持的管理方式 管理协议 支持的网络协议 产品是否开放源代码
27
第7章入侵检测系统的标准与评估
7.7 用户评估标准
用户评估IDS涉及多种因素
4、IDS报告和审计 5、IDS检测与响应
7.5 测试评估内容
性能测试：在各种不同环境下，检验IDS的承受 强度，主要指标如下：
IDS引擎的吞吐量
包的重装 过滤的效率
产品可用性测试
评估系统用户界面的可用性、完整性和扩充性 跨平台能力 易用性 稳定性
21
第7章入侵检测系统的标准与评估
7.6 测试环境和测试软件
P( I |A)给出了检测系统报警信息的可信度，即 检测系统报警时，目标系统正受到入侵攻击的概率。 P(﹁ I |﹁A)则给出了检测系统没有报警时，目 标系处于安全状态的可信度。 我们期望系统的这两个参数的值越大越好。
10
第7章入侵检测系统的标准与评估
7.3 入侵检测系统的性能指标
影响入侵检测系统性能的参数
32
技术报告
请谈谈入侵检测技术分析这门课程的每一个章 节的主要内容? 你了解和掌握了哪些知识? 还有 哪些知识没有掌握? 为什么没有掌握? 还缺少 哪些基础知识? 最后请结合实际说明你对入侵 检测系统某些方面的理解和认识.(比如在需求方 面、在重要性方面、与其它安全机制的差异性 方面、未来的发展方向方面、架构方面、检测 机制方面、安全性方面、测试评估方面等等）。 注：若有参考文献，请按标准格式列在后面。
数据内容Байду номын сангаас别能力
抗攻击能力 冗错能力 检测精度和范围大小 通过何种方式报警
6、安全管理 7、产品安装和服务支持
28
第7章入侵检测系统的标准与评估
7.8 入侵检测评估方案
离线评估方案：DARPA与美国空军研究实验室联合发起的、 由林肯实验室主持进行一年一度的评估活动。
Lincoln实验室设计了一个离线的网络IDS测试环 境，如图所示。
监听数 据 IDS 审计数 据
检 测 结 果
ROC曲 线分析
Lincoln实验室的IDS测试环境
22
第7章入侵检测系统的标准与评估
7.6 测试环境和测试软件
Rome实验室设计了一个实时的网络环境来作评 测IDS。如图所示.
正常网络 通信流
6
第7章入侵检测系统的标准与评估
7.3 入侵检测系统的性能指标
影响入侵检测系统性能的参数
有效性: 研究检测机制的检测精度和系统报警 的可信度 效率: 从检测机制的处理数据的速度以及经济 性的角度来考虑
本节从有效性的角度对检测系统的检测性能及 影响性能的参数进行分析讨论. 下面利用贝叶斯理论来分析基于异常检测的入 侵检测系统的检测率、虚警率与报警可信度之 间的关系。
17
第7章入侵检测系统的标准与评估
7.4 网络入侵检测系统测试评估
一般情况下，IDS测试环境的组成有测试平台控 制器、正常合法使用用户、攻击者、服务器和 IDS系统。如图所示。
IDS测试环境组成示意图
18
第7章入侵检测系统的标准与评估
7.5 测试评估内容
误用检测失效的原因有以下3个方面：
7.5 测试评估内容
IDS的评估涉及入侵识别能力、资源使用状况、 强力测试反应等几个主要问题。下面就IDS的功 能、性能及产品可用性3个方面做进一步讨论：
功能性测试：能反映出IDS的攻击检测、报告、 审记、报警等能力
攻击识别 抗攻击性 过滤 报警 日志 报告
20
第7章入侵检测系统的标准与评估
3
上一讲回顾
入侵检测标准化工作
CIDF IDMEF
入侵检测系统的设计考虑
4
第7章入侵检测系统的标准与评估
入侵检测的标准化工作 入侵检测设计方面的考虑 评价入侵检测系统性能的标准 网络入侵检测系统测试评估 测试评估的内容 测试环境和测试软件 用户评估标准 入侵检测评估方案