入侵检测系统
入侵检测系统
入侵检测系统的组成
IETF（互联网工程任务组—The Internet Engineering Task Force）将一个入侵检测系统分为四个组件： • 事件产生器（Event generators）：目的是从整个计算环境中获得 事件，并向系统的其他部分提供此事件。 • 事件分析器（Event analyzers）：分析得到的数据，并产生分析 结果。 • 响应单元（Response units ）：对分析结果作出作出反应的功能 单元，它可以作出切断连接、改变文件属性等强烈反应，也可以 只是简单的报警。 • 事件数据库（Event databases ）：存放各种中间和最终数据的 地方的统称，它可以是复杂的数据库，也可以是简单的文本文件。
入侵检测系统的简介
入侵检测系统的特点：ຫໍສະໝຸດ • • • 不需要人工干预即可不间断地运行 有容错功能 不需要占用大量的系统资源 能够发现异于正常行为的操作 能够适应系统行为的长期变化 判断准确 灵活定制 保持领先 IDS对数据的检测； 对IDS自身攻击的防护。 由于当代网络发展迅速，网络传输速率大大加快，这造成了IDS工作 的很大负担，也意味着IDS对攻击活动检测的可靠性不高。而IDS在应对 对自身的攻击时，对其他传输的检测也会被抑制。同时由于模式识别技 术的不完善，IDS的高虚警率也是它的一大问题。
IDS的缺点：
6.1.3 入侵行为误判 入侵行为的误判分为正误判、负误判和失控误判三种类型。 • 正误判：把一个合法操作判断为异常行为；
•
•
负误判：把一个攻击行为判断为非攻击行为并允许它通过检测；
失控误判：是攻击者修改了IDS系统的操作，使他总是出现负误判；
常见的网络入侵检测系统(IDS)和入侵防御系统(IPS)
常见的网络入侵检测系统（IDS）和入侵防御系统（IPS）网络入侵检测系统（Intrusion Detection System，IDS）和入侵防御系统（Intrusion Prevention System，IPS）是当今网络安全领域中非常重要的组成部分。
它们被广泛应用于各种网络环境中，包括企业网络、个人用户网络等。
本文将介绍一些常见的网络入侵检测系统和入侵防御系统，并探讨它们的工作原理和应用。
一、网络入侵检测系统（IDS）网络入侵检测系统用于监测网络中的异常活动和入侵行为。
它通过分析网络流量和系统日志来发现潜在的入侵事件，并及时进行警报。
IDS可以分为两种类型：基于签名的IDS和基于行为的IDS。
1.1 基于签名的IDS基于签名的IDS使用预定义的规则集合（也称为签名）来检测已知的入侵行为。
这些规则基于已知的攻击模式和攻击者使用的特定工具或技术。
当网络流量或系统日志与这些签名匹配时，IDS会发出警报。
1.2 基于行为的IDS基于行为的IDS通过对网络流量和系统行为的实时监测来检测未知的入侵行为。
它使用机器学习和行为分析算法来建立正常网络活动的基线，当检测到偏离基线的行为时，IDS会发出警报。
二、入侵防御系统（IPS）入侵防御系统与入侵检测系统类似，但不仅仅是检测入侵行为，还可以主动地阻止潜在的攻击。
IPS可以分为两种类型：基于规则的IPS和基于行为的IPS。
2.1 基于规则的IPS基于规则的IPS使用与IDS相似的签名规则集合来检测已知的入侵行为，并采取相应的阻止措施，比如阻止源IP地址或关闭特定的网络服务。
它可以在实时中断攻击流量或阻断攻击者与目标之间的连接。
2.2 基于行为的IPS基于行为的IPS通过分析网络流量和系统行为来检测未知的入侵行为，并采取相应的阻止措施。
它使用机器学习和行为分析算法来建立正常网络活动的基线，并监测偏离基线的行为。
当检测到异常行为时，IPS会实时采取措施进行防御。
入侵检测系统简介
入侵检测系统简介入侵检测系统（Intrusion Detection System，简称IDS）是一种用于保护计算机网络免受未经授权的访问和恶意攻击的安全工具。
它通过监控和分析网络流量以及系统日志，识别出潜在的入侵行为，并及时生成警报，帮助管理员采取适当的措施保护网络的安全。
一、入侵检测系统的作用入侵检测系统主要具有以下几个作用：1. 发现未知入侵行为：入侵检测系统可以分析网络流量和系统日志，通过与已知的入侵特征进行比较，识别出未知的入侵行为。
这有助于及时发现并应对新型的攻击手段。
2. 预防未知威胁：IDS可以根据已知的威胁情报对网络流量进行实时分析，从而及早发现潜在的威胁。
管理员可以通过及时更新系统规则和策略来增强网络的安全性，提前避免可能的攻击。
3. 提供实时警报和反馈：IDS能够实时监控网络流量和系统状态，并及时发出警报。
这可以帮助管理员快速响应并采取适当的措施，以减少潜在的损害或数据泄露。
4. 支持安全审计和合规性要求：入侵检测系统可以记录网络活动并生成详细的日志报告，为安全审计提供可靠的数据。
此外，IDS还可以帮助组织满足合规性要求，如GDPR、HIPAA等。
二、入侵检测系统的类型根据工作原理和部署方式的不同，入侵检测系统可以分为以下几类：1. 签名型入侵检测系统（Signature-based IDS）：这种类型的IDS使用已知的攻击特征来检测入侵行为。
它会将已知的攻击签名与网络流量进行比对，如果匹配成功，则判断为入侵。
由于该类型IDS需要事先定义并更新大量的攻击签名，因此对于未知的攻击手段无法有效检测。
2. 基于异常行为检测的入侵检测系统（Anomaly-based IDS）：这类IDS会建立正常网络活动的行为模型，并通过与该模型的比较来检测异常行为。
它可以及时发现未知的入侵行为，但也容易产生误报。
该类型IDS需要较长时间的学习和适应阶段，并需要不断调整和优化行为模型。
3. 巚杂入侵检测系统（Hybrid IDS）：这是一种结合了签名型和基于异常行为检测的入侵检测系统的混合型IDS。
介绍主流的入侵检测系统及其选择要素
介绍主流的入侵检测系统及其选择要素入侵检测系统是网络安全中至关重要的一部分，可以帮助组织及个人发现和阻止未经授权的访问、恶意软件和其他网络威胁。
随着网络威胁的不断增加和演变，主流的入侵检测系统不断发展和创新，以满足不同需求和预算。
本文将介绍几种主流的入侵检测系统及其选择要素，帮助读者了解和选择适合自己的系统。
1. 网络入侵检测系统（NIDS）网络入侵检测系统（Network Intrusion Detection System，简称NIDS）在网络上监视和分析网络流量，以侦测和报告潜在的入侵行为。
NIDS通常部署在网络的关键节点上，能够实时监控网络流量，通过比对已知的攻击特征来识别潜在的入侵行为。
一些主流的NIDS包括Snort、Suricata等。
选择NIDS时，要考虑以下要素：- 可定制性：一个好的NIDS应该能够支持用户定制规则，以适应不同网络环境和需求。
- 支持的协议：确保NIDS能够监测和分析常见的网络协议，以便有效检测各种类型的入侵行为。
- 实时性：NIDS应具备实时监测和报告功能，以快速响应潜在的入侵威胁，降低网络风险。
- 易用性：考虑到用户可能没有专业的安全技术背景，选择一个易于配置和使用的NIDS，有助于提高安全性。
2. 主机入侵检测系统（HIDS）主机入侵检测系统（Host Intrusion Detection System，简称HIDS）是在主机操作系统上运行的入侵检测系统，用于监视和分析特定主机的活动。
HIDS可以检测和报告主机上的异常行为，如未经授权的文件修改、系统配置更改等。
主流的HIDS包括OSSEC、Tripwire等。
选择HIDS时，要考虑以下要素：- 完整性监测：一个好的HIDS应该能够监测和检测主机文件和配置的完整性，以及对系统重要文件的未经授权修改。
- 实时监测：HIDS应该能够实时监测主机活动，及时发现并报告异常行为。
- 资源消耗：考虑HIDS对主机资源的消耗情况，选择一个能够平衡安全性和资源需求的系统。
网络入侵检测系统的原理和应用
网络入侵检测系统的原理和应用随着互联网的快速发展，网络安全问题也日益凸显。
网络入侵成为了互联网用户普遍面临的威胁之一。
为了保护网络安全，一种被广泛应用的解决方案是网络入侵检测系统（Intrusion Detection System，简称IDS）。
本文将深入探讨网络入侵检测系统的原理和应用。
一、网络入侵检测系统的原理网络入侵检测系统是通过监测和分析网络流量，以识别和防御恶意入侵活动的系统。
其原理基于以下几个方面：1. 流量监测：网络入侵检测系统会对通过网络传输的数据流进行实时监测。
它会收集网络中的数据包，并分析其中的关键信息，如源IP 地址、目的IP地址、协议类型、端口号等。
2. 异常检测：网络入侵检测系统会对网络流量进行行为分析，以发现异常活动。
常见的异常包括未授权的访问、异常的数据传输、大量的重复请求等。
3. 模式识别：网络入侵检测系统通过建立规则和模式数据库，对网络流量进行匹配和比对。
如果网络流量与已知的攻击模式相符，则被判定为入侵行为。
4. 实时响应：网络入侵检测系统在发现入侵行为后，会立即触发警报，并采取相应的安全措施，如封锁入侵IP地址、断开连接等，以保护网络的安全。
二、网络入侵检测系统的应用网络入侵检测系统的应用广泛，它可以用于以下场景：1. 企业网络安全：对于企业来说，网络入侵检测系统是维护网络安全的重要工具。
它可以帮助企业监控网络流量，并及时发现和应对潜在的入侵威胁，保护企业重要数据的安全。
2. 云计算环境：在云计算环境下，不同用户共享相同的基础设施和资源。
网络入侵检测系统可以用于监控和保护云计算环境中的虚拟机、容器等资源，防止入侵活动对云计算服务的影响。
3. 政府机构和军事系统：对于政府机构和军事系统来说，网络安全尤为重要。
网络入侵检测系统可以帮助监测并阻止潜在的网络入侵事件，保护机密信息的安全。
4. 个人网络安全：对于个人用户来说，网络入侵检测系统可以作为电脑和移动设备的安全防护工具。
了解网络入侵检测系统(IDS)和入侵防御系统(IPS)
了解网络入侵检测系统（IDS）和入侵防御系统（IPS）在当今的数字时代，网络安全变得越来越重要。
随着互联网的普及和数字化威胁的增加，保护企业和个人的网络免受入侵和攻击变得至关重要。
为了应对这一挑战，网络入侵检测系统（IDS）和入侵防御系统（IPS）被广泛应用于网络安全领域。
本文将介绍和探讨这两种系统的定义、功能和特点。
一、网络入侵检测系统（IDS）网络入侵检测系统（IDS）是一种用于监测网络流量、发现和识别恶意活动和攻击的安全工具。
IDS通过收集和分析网络数据，并检查其中的异常或可疑行为来识别潜在的入侵。
它具有以下主要功能和特点：1.实时监测：IDS能够实时监测网络流量，及时发现和响应威胁。
2.事件解析：IDS收集的数据可以被进一步分析，帮助安全团队了解入侵者的行为模式，从而改善网络的安全性。
3.警报和通知：当检测到异常行为时，IDS会生成警报并发送通知给网络管理员，以便及时采取应对措施。
4.被动模式：IDS通常以被动的方式工作，不会主动阻止入侵行为，而是提供警示和报告。
二、入侵防御系统（IPS）入侵防御系统（IPS）是一种网络安全工具，旨在实时检测和阻止恶意活动和攻击。
与IDS相比，IPS在识别入侵后能够主动地对网络进行防御和保护。
以下是IPS的主要功能和特点：1.实时防御：IPS能够在检测到入侵行为后，立即采取措施进行防御，以阻止攻击者进一步侵入网络。
2.主动阻止：与IDS不同，IPS具备主动阻止入侵的能力，可以自动将恶意流量阻断或防御。
3.策略和规则：IPS通过事先配置的策略和规则，对网络流量进行实时分析，以便准确地识别和防御潜在的攻击。
4.强化系统安全：IPS能够及时修复系统漏洞，并提供保护策略，增强网络的整体安全性。
三、IDS和IPS的使用场景1.企业网络安全：IDS和IPS在企业网络中的使用非常广泛。
它们能够监控和保护公司网络免受外部攻击和内部恶意行为的威胁。
2.政府机构：政府机构处理大量的敏感信息，因此网络安全至关重要。
了解网络入侵检测系统(IDS)和入侵防御系统(IPS)
了解网络入侵检测系统（IDS）和入侵防御系统（IPS）网络安全是当今信息社会中不可忽视的重要问题之一。
随着网络攻击日益复杂多样，保护网络免受入侵的需求也越来越迫切。
在网络安全领域，网络入侵检测系统（Intrusion Detection System，简称IDS）和入侵防御系统（Intrusion Prevention System，简称IPS）扮演了重要的角色。
本文将深入探讨IDS和IPS的定义、原理以及其在网络安全中的应用。
一、网络入侵检测系统（IDS）网络入侵检测系统（IDS）是一种监测和分析网络流量的工具，用来识别和报告可能的恶意活动。
IDS通常基于特定的规则和模式检测网络中的异常行为，如病毒、网络蠕虫、端口扫描等，并及时提醒管理员采取相应的应对措施。
IDS主要分为两种类型：基于主机的IDS（Host-based IDS，HIDS）和基于网络的IDS（Network-based IDS，NIDS）。
HIDS安装在单个主机上，监测该主机的活动。
相比之下，NIDS监测整个网络的流量，对网络中的异常行为进行检测。
在工作原理上，IDS通常采用两种检测方法：基于签名的检测和基于异常的检测。
基于签名的检测方式通过与已知攻击特征进行比对，识别已知的攻击方法。
而基于异常的检测则通过学习和分析网络流量的正常模式，识别那些与正常行为不符的异常活动。
二、入侵防御系统（IPS）入侵防御系统（IPS）是在IDS的基础上进行了扩展和改进。
IPS不仅能够检测网络中的异常活动，还可以主动阻断和防御攻击行为，以保护网络的安全。
与IDS的主要区别在于，IPS能够实施主动的防御措施。
当IPS检测到可能的入侵行为时，它可以根据事先设定的策略主动阻断攻击源，或者采取其他有效的手段来应对攻击，从而保护网络的安全。
为了实现功能的扩展，IPS通常与防火墙（Firewall）相结合，形成一个更综合、更高效的网络安全系统。
防火墙可以管理网络流量的进出，阻挡潜在的恶意攻击，而IPS则在防火墙的基础上提供更深入的检测和防御能力。
入侵检测系统(IDS)与入侵防御系统(IPS) 区别
入侵检测系统(IDS)与入侵防御系统(IPS) 区别1.入侵检测系统(IDS)IDS是英文“Intrusion Detection Systems”的缩写，中文意思是“入侵检测系统”。
专业上讲就是依照一定的安全策略，对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或者攻击结果，以保证网络系统资源的机密性、完整性和可用性。
我们做一个比喻——假如防火墙是一幢大厦的门锁，那么IDS就是这幢大厦里的监视系统。
一旦小偷进入了大厦，或内部人员有越界行为，只有实时监视系统才能发现情况并发出警告。
与防火墙不同的是，IDS入侵检测系统是一个旁路监听设备，没有也不需要跨接在任何链路上，无须网络流量流经它便可以工作。
因此，对IDS的部署的唯一要求是：IDS应当挂接在所有所关注的流量都必须流经的链路上。
在这里，“所关注流量”指的是来自高危网络区域的访问流量和需要进行统计、监视的网络报文。
IDS在交换式网络中的位置一般选择为：尽可能靠近攻击源、尽可能靠近受保护资源。
这些位置通常是：·服务器区域的交换机上；·Internet接入路由器之后的第一台交换机上；·重点保护网段的局域网交换机上。
2.入侵防御系统(IPS)IPS是英文“Intrusion Prevention System”的缩写，中文意思是入侵防御系统。
随着网络攻击技术的不断提高和网络安全漏洞的不断发现，传统防火墙技术加传统IDS 的技术，已经无法应对一些安全威胁。
在这种情况下，IPS技术应运而生，IPS技术可以深度感知并检测流经的数据流量，对恶意报文进行丢弃以阻断攻击，对滥用报文进行限流以保护网络带宽资源。
对于部署在数据转发路径上的IPS，可以根据预先设定的安全策略，对流经的每个报文进行深度检测（协议分析跟踪、特征匹配、流量统计分析、事件关联分析等），如果一旦发现隐藏于其中网络攻击，可以根据该攻击的威胁级别立即采取抵御措施，这些措施包括（按照处理力度）：向管理中心告警；丢弃该报文；切断此次应用会话；切断此次TCP连接。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Network IDS
Host IDS
基于主机与基于网络IDS
分布式入侵检测系统
网络系统结构的复杂化和大型化，使得：
系统的弱点或漏洞分散在网络中的各个主机上，这些弱
Web Servers
Host-based IDS
Telecommuters
基于主机入侵检测系统工作原理
检测内容：
系统调用、端口调用、系统日志、 安全审记、应用日志
客户端
网络服务器1
HIDS
Internet
网络服务器2
HIDS
ห้องสมุดไป่ตู้
X
HIDS在网络中的部署
Internet
防火墙
FTP服务器
邮件服务器 HIDS
发展历史
网络IDS
1990-现在
概念诞生
1980
产生模型
80年代中期
模型发展
80年代后期-90年代初
智能IDS
目前
异常检测
90年代初-现在 基于主机
前沿技术
人工神经网络技术
人工免疫技术 数据挖掘技术
12.5 入侵检测系统的局限性
误报和漏报的矛盾
隐私和安全的矛盾 被动分析与主动发现的矛盾 海量信息与分析代价的矛盾 功能性和可管理性的矛盾 单一产品与复杂网络应用的矛盾
滥用检测也被称为误用检测或者基于特征的检测。 这种方法首先直接对入侵行为进行特征化描述，建 立某种或某类入侵特征行为的模式，如果发现当前 行为与某个入侵模式一致，就表示发生了这种入侵。
比较
审计数据 入侵特征库 不匹配 入侵 数据分析模块 匹配
正常
滥用检测特点
前提：所有的入侵行为都有可被检测到的特征 攻击特征库: 当监测的用户或系统行为与库中的记 录相匹配时，系统就认为这种行为是入侵 过程
入侵检测系统的功能
识别黑客的常用入侵与攻击手段
监控网络异常通信 鉴别对系统漏洞及后门的利用 完善网络安全管理
12.2 入侵检测系统分类
基于主机的入侵检测系统
基于网络的入侵检测系统 分布式入侵检测系统
基于主机的入侵检测系统 （Host-based IDS，HIDS）
第12章 入侵检测系统
主要内容
入侵检测定义 12.2 入侵检测系统分类 12.3 入侵检测方法 12.4 入侵检测发展 12.5 入侵检测系统的局限性 12.6 网络入侵检测系统Snort
12.1
12.1 入侵检测定义
入侵
指一系列试图破坏信息资源完整性、一致性和可用性的
Snort的检测报告
监控 特征提取 匹配 判定
指标:误报低、漏报高
异常检测
基本思想：
任何人的正常行为都是有一定规律的，并且可以通过分
析这些行为产生的日志信息（假定日志信息足够完全） 总结出一些规律，而入侵和滥用行为则通常与正常行为 会有比较大的差异，通过检查出这些差异就可以检测出 入侵。
主要方法
12.4 入侵检测的发展
1980年Anderson提出：提出了精简审计的
概念，风险和威胁分类方法 1987年Denning研究发展了实时入侵检测系 统模型 IDES入侵检测专家系统：IDES提出了反常活 动与计算机不正当使用之间的相关性。 80年代，基于主机的入侵检测 90年代，基于主机和基于网络入侵检测的集 成
两种方式比较
误用检测（Misuse Detection）
建立起已知攻击的规则库 实时行为与规则匹配
优点：检测准确率高
缺点：无法检测未知入侵
异常检测（Anomaly Detection）
建立用户或系统的正常行为模式
不符合正常模式的行为活动为入侵 优点：能够检测出未知的入侵 缺点：难以建立正常行为模式
检测规则
Snort在网络中的应用
客户平台 客户平台
主机名：pc1 IP：10.1.1.10 MAC：00-10-A4-A2-09-66 集线器
主机名：pc2 IP：10.1.1.236 MAC：00-10-A4-A2-09-77
Linux服务器 主机名：Linux Server IP：10.1.1.220 MAC：00-10-A4-A2-09-88
12.6 网络入侵检测系统Snort
Snort是最流行的免费NIDS。 Snort是基于滥用检测的IDS，使用规则的定义来检 查网络中的问题数据包。 Snort由以下几个部分组成：数据包嗅探器、预处理 器、检测引擎、报警输出模块
网络 /Internet 嗅 探 器 预处 理器 检测 引擎 报警/ 日志 日志/数 据库
点有可能被入侵者用来攻击网络，而仅依靠一个主机或 网络的入侵检测系统很难发现入侵行为 入侵行为不再是单一的行为，而是表现出相互协作入侵 的特点，例如分布式拒绝服务攻击 入侵检测所依靠的数据来源分散化，使得收集原始的检 测数据变得比较困难
DIDS在网络中的部署
分布式入侵检测系统（DIDS）的目标是既能检测网络入侵 行为，又能检测主机的入侵行为。
基于网络入侵检测系统工作原理
检测内容：
包头信息+有效数据部分
网络服务器1
X
客户端
NIDS
Internet
网络服务器2
数据包=包头信息+有效数据部分
NIDS在网络中的部署
Internet
NIDS 防火墙
NIDS
Web服务器
Web服务器
Web服务器
DNS服务器 NIDS
工作站
工作站
工作站
工作站
工作站
异常检测方法的基本流程
比较 审计数据 用户轮廓 超过阈值
低于阈值 正常
入侵
数据分析模块
异常检测特点
前提：入侵是异常活动的子集 用户轮廓(Profile): 通常定义为各种行为参数及其 阀值的集合，用于描述正常行为范围 过程
监控 量化 比较 修正 判定
指标:漏报率低,误报率高
Internet
探测器1 探测器2
防火墙
FTP服务器 探测器3
邮件服务器 HIDS
Web服务器 HIDS
DNS服务器 探测器4
HIDS
工作站
工作站
HIDS
工作站
DIDS管理平台
12.3 入侵检测方法
滥用检测（Misuse
Detection） 异常检测（Anomaly Detection）
滥用检测
黑客入侵的过程和阶段
Phase 1:
Discover & Map
Automated Scanning & probing Internet
Phase 2:
Penetrate Perimeter
Phase 3:
Attack/Control Resources
Denial of Service Password App. Attack attacks Spoofing Privilege Protocol exploits grabbing
行为。
入侵检测
是通过从计算机网络系统中的若干关键节点收集信息，
并分析这些信息，监控网络中是否有违反安全策略的行 为或者是否存在入侵行为，是对指向计算和网络资源的 恶意行为的识别和响应过程。
入侵检测系统（Intrusion Detection System，IDS）
入侵检测系统通过监视受保护系统的状态和活动，采用
Windows的日志文件：
Sysevent.evt Secevent.evt Appevent.evt …
Host-based 入侵检测
Hacker
Customers Desktops Network
Partners
Internet
Servers
Host-based IDS
Branch Office
基于主机的入侵检测系统通常被安装在被保
护的主机上，对该主机的网络实时连接以及 系统审计日志进行分析和检查，当发现可疑 行为和安全违规事件时，系统就会向管理员 报警，以便采取措施。这些受保护的主机可 以是Web服务器、邮件服务器、DNS服务器 等关键主机设备。
主机的数据源
操作系统事件日志
应用程序日志
– 系统日志 – 关系数据库 – Web服务器
Linux的日志文件：
/var/log/wtmp：用户登录历史 /var/run/utmp：当前用户登录日志。 /var/log/messages：内核消息日志 /var/log/pacct：进程审计日志。 …还有其他一些日志文件， 位于var/log目录下
主机名：Snort IP：10.1.1.254 MAC：00-10-A4-A2-09-01 Snort IDS
Windows服务器 主机名：Windows Server IP：10.1.1.251 MAC：00-10-A4-A2-09-99
Snort的检测流程
检测引擎
规则库
数据包匹配
是
日志或报警
否 丢弃
异常检测或滥用检测的方式，发现非授权的或恶意的系 统及网络行为，为防范入侵行为提供有效的手段，是一 个完备的网络安全体系的重要组成部分。
入侵检测的通用流程
数据提取 数据 数据分析 事件 结果处理
数据提取模块为系统提供数据，在获得原始数据 以后需要对其进行简单的处理 数据分析模块对数据进行深入分析，发现攻击并 根据分析的结果产生事件，传递给结果处理模块。 结果处理模块根据事件产生响应。响应可以是积 极主动的，也可以是被动的