入侵检测系统
第五章入侵检测系统
历史 用户当前操作
入侵 检测
专家 知识
断开连接
收集证据 数据恢复
图2 事后入侵检测原理
8.1.3 入侵检测一般步骤
入侵检测的一般过程包括数据提取、数据分析和事件响应。 1．入侵数据提取（信息收集） 主要是为系统提供数据，提取的内容包括系统、网络、 数据及用户活动的状态和行为。需要在计算机网络系统中的 若干不同关键点（不同网段和不同主机）收集信息。一是尽 可能扩大检测范围，二是检测不同来源的信息的一致性。入 侵检测很大程度上依赖于收集信息的可靠性和正确性。 入侵检测数据提取可来自以下4个方面。 （1）系统和网络日志； （2）目录和文件中的的改变； （3）程序执行中的不期望行为； （4）物理形式的入侵信息。
8.1.2入侵检测原理
入侵检测可分为实时入 侵检测和事后入侵检测， 其原理分别如图1和图2 所示。 实时入侵检测在网络连 接过程中进行，系统根 据用户的历史行为模型、 存储在计算机中的专家 知识以及神经网络模型 对用户当前的操作进行 判断，一旦发现入侵迹 象立即断开入侵者与主 机的连接，并收集证据 和实施数据恢复。
8.1.1 入侵检测系统的产生
审计技术：产生、记录并检查按时间顺序排列的系统事件记 录的过程。 国际上在20世纪70年代就开始了对计算机和网络遭受攻击进 行防范的研究，审计跟踪是当时的主要方法。1980年4月， James P. Anderson为美国空军做了一份题为《Computer Security Threat Monitoring and Surveillance》（计算 机安全威胁监控与监视）的技术报告，这份报告被公认为是 入侵检测的开山之作，报告里第一次详细阐述了入侵检测的 概念。他提出了一种对计算机系统风险和威胁的分类方法， 并将威胁分为外部渗透、内部渗透和不法行为三种，还提出 了利用审计跟踪数据，监视入侵活动的思想。 1984～1986年入侵检测专家系统产生。 商业的入侵检测系统一直到了20世纪80年代后期才出现，但 总的看来，现在对IDS的研究还不够深入，产品的性能也有 待提高。
入侵检测系统
入侵检测系统的组成
IETF（互联网工程任务组—The Internet Engineering Task Force）将一个入侵检测系统分为四个组件： • 事件产生器（Event generators）：目的是从整个计算环境中获得 事件，并向系统的其他部分提供此事件。 • 事件分析器（Event analyzers）：分析得到的数据，并产生分析 结果。 • 响应单元（Response units ）：对分析结果作出作出反应的功能 单元，它可以作出切断连接、改变文件属性等强烈反应，也可以 只是简单的报警。 • 事件数据库（Event databases ）：存放各种中间和最终数据的 地方的统称，它可以是复杂的数据库，也可以是简单的文本文件。
入侵检测系统的简介
入侵检测系统的特点：ຫໍສະໝຸດ • • • 不需要人工干预即可不间断地运行 有容错功能 不需要占用大量的系统资源 能够发现异于正常行为的操作 能够适应系统行为的长期变化 判断准确 灵活定制 保持领先 IDS对数据的检测； 对IDS自身攻击的防护。 由于当代网络发展迅速，网络传输速率大大加快，这造成了IDS工作 的很大负担，也意味着IDS对攻击活动检测的可靠性不高。而IDS在应对 对自身的攻击时，对其他传输的检测也会被抑制。同时由于模式识别技 术的不完善，IDS的高虚警率也是它的一大问题。
IDS的缺点：
6.1.3 入侵行为误判 入侵行为的误判分为正误判、负误判和失控误判三种类型。 • 正误判：把一个合法操作判断为异常行为；
•
•
负误判：把一个攻击行为判断为非攻击行为并允许它通过检测；
失控误判：是攻击者修改了IDS系统的操作，使他总是出现负误判；
常见的网络入侵检测系统(IDS)和入侵防御系统(IPS)
常见的网络入侵检测系统（IDS）和入侵防御系统（IPS）网络入侵检测系统（Intrusion Detection System，IDS）和入侵防御系统（Intrusion Prevention System，IPS）是当今网络安全领域中非常重要的组成部分。
它们被广泛应用于各种网络环境中，包括企业网络、个人用户网络等。
本文将介绍一些常见的网络入侵检测系统和入侵防御系统，并探讨它们的工作原理和应用。
一、网络入侵检测系统（IDS）网络入侵检测系统用于监测网络中的异常活动和入侵行为。
它通过分析网络流量和系统日志来发现潜在的入侵事件，并及时进行警报。
IDS可以分为两种类型：基于签名的IDS和基于行为的IDS。
1.1 基于签名的IDS基于签名的IDS使用预定义的规则集合（也称为签名）来检测已知的入侵行为。
这些规则基于已知的攻击模式和攻击者使用的特定工具或技术。
当网络流量或系统日志与这些签名匹配时，IDS会发出警报。
1.2 基于行为的IDS基于行为的IDS通过对网络流量和系统行为的实时监测来检测未知的入侵行为。
它使用机器学习和行为分析算法来建立正常网络活动的基线，当检测到偏离基线的行为时，IDS会发出警报。
二、入侵防御系统（IPS）入侵防御系统与入侵检测系统类似，但不仅仅是检测入侵行为，还可以主动地阻止潜在的攻击。
IPS可以分为两种类型：基于规则的IPS和基于行为的IPS。
2.1 基于规则的IPS基于规则的IPS使用与IDS相似的签名规则集合来检测已知的入侵行为，并采取相应的阻止措施，比如阻止源IP地址或关闭特定的网络服务。
它可以在实时中断攻击流量或阻断攻击者与目标之间的连接。
2.2 基于行为的IPS基于行为的IPS通过分析网络流量和系统行为来检测未知的入侵行为，并采取相应的阻止措施。
它使用机器学习和行为分析算法来建立正常网络活动的基线，并监测偏离基线的行为。
当检测到异常行为时，IPS会实时采取措施进行防御。
第3章 入侵检测系统
活动简档
保存主体正常活动的有关信息,具体实现依赖 于检测方法 随机变量:
1. 事件计数器(Event Counter):简单地记录特定事件的发 (Event Counter): 生次数 2. 间隔计时器(Interv计量器(Resource Measure):记录某个时间内特定 动作所消耗的资源量
代理
代理应该安装在像数据库、Web服务器、DNS 服务器和文件服务器等重要的资源上 适合放置代理资源的列表
1 1、账号、人力资源和研发数据库 2、局域网和广域网的骨干，包括路由器和交换机 3、临时工作人员的主机 4、SMTP，HTTP和FTP服务器 5、Modem池服务器和交换机、路由器、集线器 6、文件服务器 7、新的网络连接设备
管理式入侵检测模型
基于SNMP的IDS模型,简称SNMP-IDSM
攻击者采取的步骤
使用端口扫描、操作系统检测或者其他黑客工 具收集目标有关信息 寻找系统漏洞并利用这些漏洞 攻击成功，清除日志记录或隐藏自己 安装后门 使用已攻破的系统作为跳板入侵其他主机
SNMP-IDSM的五元组
<WHERE, WHEN, WHO, WHAT, HOW> WHERE：描述产生攻击的位置 WHEN：事件的时间戳 WHO：表明IDS观察到的事件 WHAT：记录详细信息，如协议类型、协议说明 数据等 HOW：用来连接原始事件和抽象事件
异常记录
用以表示异常事件的发生情况 格式为: <Event, Time-stamp, Profile>,含义: 1. Event: 指明导致异常的事件,如审计数据 2. Time-stamp: 产生异常事件的时间戳 3. Profile: 检测到异常事件的活动简档
活动规则
网络安全防护的入侵检测系统
网络安全防护的入侵检测系统随着互联网的普及和网络技术的快速发展，我们越来越依赖于网络来完成各种任务和活动。
然而，网络的普及也带来了一系列安全威胁，如入侵、黑客攻击等。
因此，建立有效的网络安全防护措施变得非常重要。
其中，入侵检测系统（Intrusion Detection System，IDS）作为网络安全防护的重要组成部分，具有检测和应对网络入侵的功能，对于保护网络安全具有巨大的意义。
一、入侵检测系统的概念和作用入侵检测系统是一种监视网络或系统中异常活动的安全设备，它的作用是检测和分析网络中的恶意行为和入侵事件，并及时采取应对措施。
入侵检测系统通过监控网络流量、分析日志和异常行为等手段，发现并警报任何可能的入侵事件，从而及时保护网络安全。
二、入侵检测系统的分类根据工作原理和部署位置的不同，入侵检测系统可以分为主机入侵检测系统（Host-based IDS）和网络入侵检测系统（Network-based IDS）两种类型。
1. 主机入侵检测系统主机入侵检测系统部署在主机上，通过监视主机行为，检测并分析主机上的异常活动。
主机入侵检测系统能够捕获主机级别的信息，如文件修改、注册表变化、系统文件损坏等。
它主要用于检测主机上的恶意软件、病毒、木马等威胁，并能及时阻止它们对系统的进一步侵害。
2. 网络入侵检测系统网络入侵检测系统部署在网络上，通过监视网络流量，检测并分析网络中的异常活动。
网络入侵检测系统能够捕获网络层次的信息，如IP地址、端口号、协议类型等。
它主要用于检测网络流量中的入侵行为、DDoS攻击、端口扫描等，并能及时阻止它们对网络的进一步侵害。
三、入侵检测系统的工作原理入侵检测系统主要通过以下几个步骤来实现入侵检测和预防：1. 监控和收集信息入侵检测系统通过监控网络流量、日志和系统行为等方式，收集和获取信息。
网络入侵检测系统可以通过流量分析技术、协议分析技术等来获取数据，而主机入侵检测系统则可以通过监视主机上的日志和系统行为来获取数据。
入侵检测系统简介
入侵检测系统简介入侵检测系统（Intrusion Detection System，简称IDS）是一种用于保护计算机网络免受未经授权的访问和恶意攻击的安全工具。
它通过监控和分析网络流量以及系统日志，识别出潜在的入侵行为，并及时生成警报，帮助管理员采取适当的措施保护网络的安全。
一、入侵检测系统的作用入侵检测系统主要具有以下几个作用：1. 发现未知入侵行为：入侵检测系统可以分析网络流量和系统日志，通过与已知的入侵特征进行比较，识别出未知的入侵行为。
这有助于及时发现并应对新型的攻击手段。
2. 预防未知威胁：IDS可以根据已知的威胁情报对网络流量进行实时分析，从而及早发现潜在的威胁。
管理员可以通过及时更新系统规则和策略来增强网络的安全性，提前避免可能的攻击。
3. 提供实时警报和反馈：IDS能够实时监控网络流量和系统状态，并及时发出警报。
这可以帮助管理员快速响应并采取适当的措施，以减少潜在的损害或数据泄露。
4. 支持安全审计和合规性要求：入侵检测系统可以记录网络活动并生成详细的日志报告，为安全审计提供可靠的数据。
此外，IDS还可以帮助组织满足合规性要求，如GDPR、HIPAA等。
二、入侵检测系统的类型根据工作原理和部署方式的不同，入侵检测系统可以分为以下几类：1. 签名型入侵检测系统（Signature-based IDS）：这种类型的IDS使用已知的攻击特征来检测入侵行为。
它会将已知的攻击签名与网络流量进行比对，如果匹配成功，则判断为入侵。
由于该类型IDS需要事先定义并更新大量的攻击签名，因此对于未知的攻击手段无法有效检测。
2. 基于异常行为检测的入侵检测系统（Anomaly-based IDS）：这类IDS会建立正常网络活动的行为模型，并通过与该模型的比较来检测异常行为。
它可以及时发现未知的入侵行为，但也容易产生误报。
该类型IDS需要较长时间的学习和适应阶段，并需要不断调整和优化行为模型。
3. 巚杂入侵检测系统（Hybrid IDS）：这是一种结合了签名型和基于异常行为检测的入侵检测系统的混合型IDS。
入侵检测系统 IDS
集中式架构
通过中心节点收集和处理网络中所 有节点的数据，实现全局检测和响 应，适用于规模较小的网络。
混合式架构
结合分布式和集中式架构的优点， 实现分层检测和响应，提高检测效 率和准确性，同时降低误报率。
设备配置与参数设置
设备选型
根据网络规模、流量、安 全需求等因素，选择适合 的IDS设备，如硬件IDS、 软件IDS或云IDS等。
数据分析
IDS使用各种检测算法和技术，如模 式匹配、统计分析、行为分析等，对 收集到的数据进行分析，以识别潜在 的攻击行为或异常活动。
响应与记录
IDS可以采取自动或手动响应措施， 如阻断攻击源、通知管理员等，并记 录相关活动以供后续分析和调查。
常见类型与特点
基于网络的IDS（NIDS）
NIDS部署在网络中，通过监听网络流量来检测攻击。它可以实时监测并分析网络数据包 ，以识别潜在的攻击行为。NIDS具有部署灵活、可扩展性强的特点。
参数配置
根据网络环境和安全策略 ，配置IDS设备的参数，如 检测规则、阈值、日志存 储等。
设备联动
将IDS设备与其他安全设备 （如防火墙、SIEM等）进 行联动，实现安全事件的 自动响应和处置。
数据收集、处理和分析流程
数据收集
通过镜像、分流等方式，将网 络流量数据收集到IDS设备中。
数据处理
对收集到的数据进行预处理， 如去重、过滤、格式化等，以 便于后续的分析和检测。
新兴技术对IDS的影响和启示
人工智能和机器学习
通过应用人工智能和机器学习技术，IDS可以实现对网络 流量的智能分析和威胁的自动识别，提高检测效率和准确 性。
大数据分析技术
借助大数据分析技术，IDS可以对海量数据进行深入挖掘 和分析，发现隐藏在其中的威胁和异常行为。
网络安全的入侵检测系统
网络安全的入侵检测系统随着互联网的普及和发展，网络安全问题变得愈发突出。
为了保护用户信息和确保网络环境的安全稳定，各种安全技术应运而生。
其中，入侵检测系统（Intrusion Detection System，简称IDS）是一种重要的安全防护措施。
本文将介绍网络安全的入侵检测系统及其作用、分类和实现原理。
一、入侵检测系统的概述入侵检测系统（Intrusion Detection System）是一种通过对网络流量进行监控、检测和分析，来寻找并应对可能的入侵行为的安全设备。
其主要作用是帮助网络管理员发现和响应各种针对网络系统的威胁和攻击，以降低网络系统被入侵的风险。
二、入侵检测系统的分类根据入侵检测系统的部署位置和检测方法，可以将其分为两种常见的分类：主机入侵检测系统（Host-based IDS）和网络入侵检测系统（Network-based IDS）。
1. 主机入侵检测系统主机入侵检测系统部署在网络中的每台主机上，通过监控主机上的系统日志和事件，以及分析主机的行为和进程等信息，来检测是否存在异常活动和潜在的入侵行为。
主机入侵检测系统可以对主机内部的安全事件进行较为详细的分析，但其规模较小，只能保护单个主机。
2. 网络入侵检测系统网络入侵检测系统则部署在网络的关键节点上，通过对网络流量进行实时监测和分析，来检测网络中的入侵行为。
网络入侵检测系统可以对整个网络进行全面的监控，并结合攻击特征库和模式识别算法，快速识别和应对网络攻击事件。
但相对于主机入侵检测系统，网络入侵检测系统对网络资源要求较高，需要投入较大的运维成本。
三、入侵检测系统的实现原理入侵检测系统通过以下步骤实现对网络安全的监测和检测。
1. 流量监测入侵检测系统首先需要对网络流量进行实时监测。
这可以通过物理设备（如交换机、路由器等）上的镜像端口或网络流量监测仪来实现，也可以通过网络流量分析工具来捕获并处理数据包。
2. 流量分析监测到的网络流量将被送到流量分析引擎中进行分析。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
第八章入侵检测系统第一节引言通过电子手段对一个组织信息库的恶意攻击称为信息战(information warfare)。
攻击的目的可能干扰组织的正常活动，甚至企图对组织的信息库造成严重的破坏。
对信息战的各种抵抗措施都可归结为三类：保护、检测、响应。
保护 (入侵的防范)指保护硬件、软件、数据抵御各种攻击的技术。
目前各种网络安全设施如防火墙及VPN，各种加密技术，身份认证技术，易攻击性扫描等都属于保护的范围之内，它们是计算机系统的第一道防线。
检测 (入侵的检测)研究如何高效正确地检测网络攻击。
只有入侵防范不足以保护计算机的安全，任何系统及协议都不可避免地存在缺陷，可能是协议本身也可能是协议的实现，还有一些技术之外的社会关系问题，都能威胁信息安全。
因此即使采用这些保护措施，入侵者仍可能利用相应缺陷攻入系统，这意味着入侵检测具有其他安全措施所不能代替的作用。
响应 (入侵的响应)是入侵检测之后的处理工作，主要包括损失评估，根除入侵者留下的后门，数据恢复，收集入侵者留下的证据等。
这三种安全措施构成完整的信息战防御系统。
入侵检测（Intrusion Detection，ID）是本章讨论的主题之一，它通过监测计算机系统的某些信息，加以分析，检测入侵行为，并做出反应。
入侵检测系统所检测的系统信息包括系统记录，网络流量，应用程序日志等。
入侵（Intrusion）定义为未经授权的计算机使用者以及不正当使用(misuse)计算机的合法用户(内部威胁)，危害或试图危害资源的完整性、保密性、可用性的行为。
入侵检测系统（Intrusion Detection System，IDS）是实现入侵检测功能的硬件与软件。
入侵检测基于这样一个假设，即：入侵行为与正常行为有显著的不同，因而是可以检测的。
入侵检测的研究开始于20世纪80年代，进入90年代入侵检测成为研究与应用的热点，其间出现了许多研究原型与商业产品。
入侵检测系统在功能上是入侵防范系统的补充，而并不是入侵防范系统的替代。
相反，它与这些系统共同工作，检测出已经躲过这些系统控制的攻击行为。
入侵检测系统是计算机系统安全、网络安全的第二道防线。
一个理想的入侵检测系统具有如下特性：➢能以最小的人为干预持续运行。
➢能够从系统崩溃中恢复和重置。
➢能抵抗攻击。
IDS必须能监测自身和检测自己是否已经被攻击者所改变。
➢运行时占用系统的开销最小。
➢能够根据被监视系统的安全策略进行配置。
➢能在使用过程中适应系统和用户行为的改变。
当被监控系统的规模和受攻击的机会增加时，我们认为下列的特征也同样重要：➢能够检测具有一定规模的网络。
➢保证当IDS某一部分被攻破时，对其余部分造成的影响尽可能的小。
➢允许动态的再配置，即它必须有不用重新启动而能再次配置的功能。
➢提供很低的误报率。
➢提供互操作性，在不同环境中运行的IDS组件能够相互作用。
➢提供方便的用户界面，使管理者方便地配置和监视系统。
➢能够以实时或接近于实时的方式检测入侵。
目前的入侵检测系统（包括研究的原型和商业化的IDS）的数目已经超过一百个，它们只具有上述特征的一部分。
第二节入侵检测系统结构CIDF (Common Intrusion Detection Framework)定义了通用的IDS系统结构，它将入侵检测系统分为四个功能模块，如图8.1所示：图8.1 CIDF模型事件产生器（Event generater， E-box）收集入侵检测事件,并提供给IDS其他部件处理，是IDS的信息源。
事件包含的范围很广泛，既可以是网络活动也可是系统调用序列等系统信息。
事件的质量、数量与种类对IDS性能的影响极大。
事件分析器（Analysis engine, A-box）对输入的事件进行分析并检测入侵。
许多IDS的研究都集中于如何提高事件分析器的能力,包括提高对已知入侵识别的准确性以及提高发现未知入侵的几率等。
事件数据库（Event database, D-box）E-boxes 和 A-boxes 产生大量的数据，这些数据必须被妥善地存储，以备将来使用。
D-box的功能就是存储和管理这些数据,用于IDS的训练和证据保存。
事件响应器（Response unit, C-box）对入侵做出响应，包括向管理员发出警告，切断入侵连接，根除入侵者留下的后门以及数据恢复等。
CIDF概括了IDS的功能，并进行了合理的划分。
利用这个模型可描述当今现有的各种IDS的系统结构。
对IDS的设计及实现提供了有价值的指导。
第三节入侵检测系统分类为了准确地分类，首先要确定用来分类的IDS特征。
IDS是复杂的系统，若只用一种特征分类，结果将是粗糙的。
因此本章根据多种特征对IDS进行了不同角度的分类。
事件分析器是IDS的核心部分，故首先对检测方法进行分类。
其次从事件产生器的角度分类，将采集事件种类或采集事件的方法作为分类标准。
一、检测方法分类入侵检测的方法可大体分为两类：滥用检测(misuse detection)、异常检测(anomaly detection)。
在IDS中，任何一个事件都可能属于以下三种情况: ➢已知入侵➢已知正常状态➢无法判定状态第三种事件可能是一种未知的入侵, 也可能是正常状态，但在现有的系统和技术下无法判定。
目前的检测方法都是对已知入侵和已知正常状态的识别，其中滥用检测识别已知入侵，但对于无法判定状态中的未知入侵将漏报(false negative)，异常检测根据已知的正常状态将已知入侵、无法判定状态都当作异常，因此会产生误报(false positive)。
（一）滥用检测根据对已知入侵的知识，在输入事件中检测入侵。
这种方法不关心正常行为，只研究已知入侵，能较准确地检测已知入侵，但对未知入侵的检测能力有限。
目前大多数的商业IDS都使用此类方法。
滥用检测所采用的技术包括：（二）专家系统使用专家系统技术，用规则表示入侵。
通常使用的是 forward-chaining、production-based等专家系统工具。
例如DARPA的Emerald项目，将P-BEST工具箱应用于入侵检测。
（三）状态转换模型将入侵表示为一系列系统状态转换，通过监视系统或网络状态的改变发现入侵。
典型系统是NetSTAT。
（四）协议分析与字符串匹配将已知攻击模式与输入事件进行匹配以判定入侵的发生，这种方法具有速度高、扩展性好的特点，但容易产生误报。
典型系统包括shadow、Bro和Snort等。
（五）异常检测与滥用检测相反，异常检测对系统正常状态进行研究，通过监测用户行为模式、主机系统调用特征、网络连接状态等，建立系统常态模型。
在运行中，将当前系统行为与常态模型进行比较，根据其与常态偏离的程度判定事件的性质。
这种方法很有可能检测到未知入侵与变种攻击，但现有系统通常都存在大量的误报。
未知入侵的检测是IDS中最具挑战性的问题，其难度比不正当行为检测要大。
异常检测通常使用统计学方法和机器学习方法。
（六）统计学方法使用统计分析方法建立系统常态模型。
统计的数据源包括：用户的击键特征、telnet对话的平均长度等。
通过监测输入值与期望值的偏离程度判断事件的属性，Emerald和cmds都包括了这种方式。
（七）机器学习方法将机器学习领域的方法和工具如神经网络、数据挖掘、遗传算法、贝叶斯网络和人工免疫系统等应用于异常检测中。
这种方法也是通过建立常态模型进行异常识别。
每种方法都具有不同的适用范围和特色。
目前研究的热点之一是噪声数据学习。
（八）混合检测上述两类检测方法各有所长，滥用检测能够准确高效地发现已知攻击；异常检测能识别未知攻击。
目前任何一种系统都不能很好地完成全部入侵检测任务。
混合IDS 中同时包含模式识别与异常识别系统，并且根据两种方法的特点对其进行分工，既能精确识别已知攻击，又能发现部分未知攻击，可减少误报和漏报。
Emerlad是一种典型的混合系统。
二、系统结构分类从IDS所监视的事件种类上可分为基于网络的IDS（Network-based IDS，NIDS）和基于主机的IDS。
按照IDS的响应方式可分为实时IDS和非实时IDS，按照采集事件的方式分为分布式IDS与集中式IDS。
基于主机的IDS数据源包括：系统调用序列，存储系统的活动记录，系统日志等。
由于基于主机的IDS对主机的信息有充分的掌握并且拥有对主机的较强的控制权，因此与网络入侵检测系统相比，其检测的准确性更高，误报率更低。
同时基于主机的IDS 更难以欺骗，对攻击的响应也更有效：可切断入侵连接，杀死进程。
它的缺点是只能对一个主机进行保护，并对主机产生一定的负担，而且移植性差。
基于网络的IDS通过监视网络流量检测入侵活动，简称为网络入侵检测系统(NIDS)。
NIDS能对整个网络加以保护，其优点在于简便性和可移植性。
NIDS的使用不会对现有网络系统造成明显影响，并能应用于各种网络环境。
网络入侵检测系统由于只处理网络数据，对数据的语义掌握是不充分的，容易受到攻击和欺骗。
适应高速网及提高可扩展性是NIDS需要解决的问题。
以上两种IDS都不能单独完成有效的入侵检测，二者的结合能达到取长补短的效果。
目前一些商业IDS已经采用了这种方案，如RealSecurity，Axnet。
IDS的应用规模也是一个重要的参数。
现有的商业IDS的应用范围都是局域网。
随着网络入侵的发展，攻击已进化为从不同主机发起的协同攻击。
对这种攻击的检测是现有IDS所不能胜任的，需要依靠多点分布式网络入侵检测系统，通过联防来检测。
三、典型的入侵检测系统IDS的研究从上世纪80年代就已开始，第一个商业IDS也在1991年诞生。
目前各种IDS研究项目和商业产品的数量极为庞大，下面对具有代表性的入侵检测系统加以介绍，分为商业IDS、IDS研究项目和自由软件三个类别。
（一）开放源码的IDS项目：SnortSnort是一种运行于单机的基于滥用检测的网络入侵检测系统。
Snort通过libpcap获取网络包，并进行协议分析。
它定义了一种简单灵活的网络入侵描述语言，对网络入侵进行描述 (入侵特征或入侵信号)。
Snort根据入侵描述对网络数据进行匹配和搜索，能够检测到多种网络攻击与侦察，包括:缓冲区溢出攻击，端口扫描，CGI 攻击，SMB侦察等。
并提供了多种攻击响应方式。
对于最新的攻击方法，使用Snort 的入侵描述语言能够快速方便地写出新攻击的描述，从而使Snort能够检测到这种攻击。
在Internet上已建立了发布Snort入侵模式数据库的站点。
Snort是极具活力的自由软件，在世界各地的志愿者开发下，技术和功能在不断提高。
（二）商业产品国际市场上的主流商业IDS产品大部分为基于网络的，采用滥用检测方法的系统。
主要有：1、RealSecureRealSecure 由Internet Security Systems（ISS）开发，包括三种系统部件：网络入侵检测agent，主机入侵检测agent和管理控制台。