入侵检测系统的标准与评价
入侵检测系统概述及主要产品分析
不能克服网络协议方面 的缺陷
不能克服设计原理方面 的缺陷
响应不够及时，签名数据库 更新得不够快。经常是事后
才检测到，适时性不好。
IDS的发展趋势
1、大规模分布式入侵检测，传统的入侵检 测技术一般只局限于单一的主机或网络框架， 显然不能适应大规模网络的监测，不同的入 侵检测系统之间也不能协同工作。因此，必
➢ 2、NetRanger在全球广域网上运行很成功。例如，它有一个路径备 份(Path-doubling)功能。如果一条路径断掉了，信息可以从备份路径 上传过来。它甚至能做到从一个点上监测全网或把监测权转给第三方 。
➢ 3、NetRanger的另一个强项是其在检测问题时不仅观察单个包的内 容，而且还看上下文，即从多个包中得到线索。
防火墙为网络提供了第一道防线，入侵检测被认为 是防火墙之后的第二道闸门，在不影响网络性能的 情况下对网络进行检测，从而提供对内部攻击、外 部攻击和误操作的实时保护。由于入侵检测系统是 防火墙后的又一道防线，从而可以极大地减少网络 免受各种攻击的伤害。
入侵检测系统的作用
使系统管理员时
刻了解网络系统
入侵检测系统概述及主要产品分析
（IDS）
C 目录 ONTENTS
1 入侵检测系统的概念 2 入侵检测系统的主要技术 3 入侵检测系统的类型 4 入侵检测系统的主要产品 5 IDS优、缺点及发展趋势
侵检测系统IDS简介
• IDS是英文“Intrusion Detection Systems”的缩 写，中文意思是“入侵检测系统”。 是指监视（ 或者在有可能的情况下阻止）入侵或者试图控制 你的系统或者网络资源行为的系统。入侵检测系 统能有效地提升黑客进入网络系统的门槛。入侵 检测系统能够通过向管理员发出入侵或者入侵企 图来加强当前的存取控制系统，例如防火墙；识 别防火墙通过不能识别的攻击，如来自企业内部 的攻击；在发现入侵企图后提供必要而信息。
信息安全技术入侵检测系统技术要求和测试评价方法
ICS35.040L 80信息安全技术入侵检测系统技术要求和测试评价方法Information security technology-Techniques requirements and testing and evaluation approaches forintrusion detection system中华人民共和国国家质量监督检验检疫总局 中国国家标准化管理委员会发布GB/T 20275—2006目次前言 (III)1 范围 (1)2 规范性引用文件 (1)3 术语和定义 (1)4 缩略语 (2)5 入侵检测系统等级划分 (3)5.1 等级划分说明 (3)5.1.1 第一级 (3)5.1.2 第二级 (3)5.1.3 第三级 (3)5.2 安全等级划分 (3)5.2.1网络型入侵检测系统安全等级划分 (3)5.2.2主机型入侵检测系统安全等级划分 (6)6 入侵检测系统技术要求 (7)6.1 第一级 (7)6.1.1 产品功能要求 (7)6.1.2 产品安全要求 (9)6.1.3 产品保证要求 (10)6.2 第二级 (11)6.2.1 产品功能要求 (11)6.2.2 产品安全要求 (12)6.2.3 产品保证要求 (13)6.3 第三级 (15)6.3.1 产品功能要求 (15)6.3.2 产品安全要求 (15)6.3.3 产品保证要求 (16)7 入侵检测系统测评方法 (18)7.1 测试环境 (18)7.2 测试工具 (19)7.3 第一级 (19)7.3.1 产品功能测试 (19)7.3.2 产品安全测试 (25)7.3.3 产品保证测试 (27)7.4 第二级 (29)7.4.1 产品功能测试 (29)7.4.2 产品安全测试 (31)IGB/T ××××—200×7.4.3 产品保证测试 (33)7.5 第三级 (37)7.5.1 产品功能测试 (37)7.5.2 产品安全测试 (38)7.5.3 产品保证测试 (39)参考文献 (44)IIGB/T 20275—2006前言（略）IIIGB/T 20275—2006信息安全技术入侵检测系统技术要求和测试评价方法1 范围本标准规定了入侵检测系统的技术要求和测试评价方法，技术要求包括产品功能要求、产品安全要求、产品保证要求，并提出了入侵检测系统的分级要求。
安全防护中的网络入侵检测系统设计与效果评估
安全防护中的网络入侵检测系统设计与效果评估网络入侵检测系统是一种有助于保护计算机网络免受网络攻击和恶意活动的一种安全防护工具。
设计和评估一套高效可靠的网络入侵检测系统是网络安全领域的重要研究内容。
本文将探讨网络入侵检测系统的设计原则和方法，并对其效果评估进行讨论。
一、网络入侵检测系统的设计原则网络入侵检测系统的设计应遵循以下原则：1. 实时监测：网络入侵检测系统应能够实时监测网络中的各种传输数据和通信行为，以及对异常行为及时作出反应。
2. 多层次防护：网络入侵检测系统应该采用多层次、多种方式的防护机制，包括网络层、主机层和应用层等多个层次。
3. 自适应学习：网络入侵检测系统应能够根据网络环境和威胁行为的变化调整检测策略和算法，并且具备学习和自适应能力。
4. 高性能和低误报率：网络入侵检测系统应具备高性能的检测能力，同时尽量降低误报率，减少误报给管理员带来的困扰。
二、网络入侵检测系统的设计方法1. 基于签名的检测方法：签名是一种用于表示特定入侵行为的模式或规则，基于签名的检测方法通过与已知的入侵行为进行对比，检测到相应的恶意活动。
2. 基于异常行为的检测方法：异常行为检测是通过分析网络中的行为模式，识别出异常行为来判断是否存在入侵。
3. 基于机器学习的检测方法：机器学习技术可以通过对网络流量数据进行训练和学习，从而识别出恶意行为和入侵行为。
4. 分布式检测方法：分布式检测方法可以部署多个检测节点，在不同的网络位置进行检测，提高检测的准确性和效率。
三、网络入侵检测系统效果评估的指标1. 检测率：检测率是指网络入侵检测系统检测出的真实入侵行为的比例，评估检测系统的敏感性和准确性。
2. 误报率：误报率是指网络入侵检测系统错误地将正常行为误判为入侵行为的比例，评估检测系统的准确性和可用性。
3. 响应时间：响应时间是指网络入侵检测系统从检测到入侵行为到采取相应措施的时间，评估系统的实时性和敏捷性。
4. 可扩展性：可扩展性是指网络入侵检测系统能否适应网络规模不断增大和新的威胁形式的变化，评估系统的适应能力和扩展性。
简析入侵检测系统性能测试与评估
简析八 侵楦测系统性 雒ｉ ｉ ｉ Ｊ Ｔ ． ￣ 与 评估
宝鸡文理学院计算机科学系 贾建军 谢俊屏
［ 摘 要】 计 算机 系统的入侵 直接 威胁到各行 各业的发展 、 国家的机 密和财 产的安全。入侵检 测 系统可 以有效提 高计算机 系统的安 全性 ， 是信 息安 全保 障的关键技 术之 一。对入侵检 测 系统性能 的测试 与评 估可 以加 强其 有效性和可 用性 。本 文简要 分析 了入侵检 测 系统的性能测试与评估 ， 对测试评估 中存在 的问题做 了一些探 讨。 ［ 关键词 ］ 入侵检 测 系统性 能 测试评估
１ 、 引 言
ห้องสมุดไป่ตู้
自１ ９ ８ ５ 年首 次提 出入侵检测 系统 至今 已有 近三十 年的演变 和发 展， 很多实验 室和公 司都 已经形成 了 自己的入侵 检测 系统和产 品。多 年来 由于入侵 检测 系统 缺乏相应 的标 准 ， 形成 的诸 多系统 和产品的性 能干差万别 。伴随着入 侵检测系统 的发展 和应用 、 面对功能越来 越复 杂 的系统和产 品 ， 实现 对多种入侵检测 系统进行 测试和评估 的要求也 越来 越迫切 。当前对于入侵检测 系统进行测试 和评 估 已经成为该领域 个非 常重要的研究 内容 。开发者希望通过测试 和评 估发 现产品 中的 不足 ， 而用户 也希望通 过测试和评估来 帮助选择 适合 自己的人侵检测 产 品。本文重 点讨 论入侵检测系统性能指标的测试与评估。 ２ 、 测试评估入侵检测 系统性能的指标 就 目前 的入 侵检测 系统和产品来看 ， 其主要性 能指标可 以归纳为 准确性 、 完 备性 、 实时处理 能力和可靠性 。 准确性 ： 指系统从各种行为 中正确地识别 入侵 的能力 ， 当系统检测 不准确时 ， 就有可能把系统 中的合法 活动 当作入 侵行为并标识为异常 ， 通常也称 为虚警现象。 完备性 ： 指 系统能够检 测出所有攻 击行为 的能力 。如果存 在一个 攻击行 为 ， 无法被系统检测 出来 ， 那么该 系统就 不具 有检测完备性 。也 就是说 ， 它把 对系统 的入侵 活动 当作 正常行为 （ 漏 报现象 ） 。由于在一 般 情况下 ， 攻 击类型 、 攻 击手段 的变 化很快 ， 我们 很难 得到关 于攻击行 为的所 有知识 ， 所以对 于系统检测完备性的评 估相 对比较 困难。 实时处理能 力 ： 指 系统 分析和处理 数据的速 度。有效 的实时处理 可以使 系统安全管理者能够在入侵攻击 尚未造 成更 大危害以前做 出反 应， 阻止入侵者进一步 的破坏活动 。显然 ， 当入侵检测系统的处理性能 较差 时， 它就不可能实现实时 的入侵 检测 ， 并 有可能成为整个系统的瓶 颈， 进 而 严 重影 响 整个 系 统 的 性 能 。 可靠性 ： 由于大多数 的系统产 品是 运行在极 易遭受攻击 的操作 系 统 和硬件平 台上 、 所 以入侵检测系统 本身也就成 为很多入侵 者攻 击 的 首选 目标 ， 因此系统必 须能够抵御 对它 自身 的攻 击。特别是 拒绝服务 （ Ｄ ｅ ｎ ｉ ａ ｌ ｏ ｆ ￣ｒ ｖ ｉ ｃ ｅ ） 攻击 。这就使得系统的可靠性变得特别重要 ， 在测试 评估 系统时必须考虑这一点。 ３ 、 入侵检测 系统的测试评估及分析 美 国加州大学 的有关专家把对入侵检测 系统和产品的测试分为 三 类， 即有 效性测试（ 入侵识别测试 ） 、 资源消耗测试 、 强度测试。 有效性测试 主要测量 入侵检测系统 区分正 常行为和入侵 的能力 ， 衡量 的指标 是检测率和虚警率。 资源消耗 测试 （ Ｒ ｅ ｓ ｏ ｕ ｒ ｃ ｅ Ｕ ｓ ａ ｇ ｅ Ｔ ｅ ｓ ｔ ｓ ） 是测量入侵 检测 系统 占用 系 统资源的状况 ， 主要考虑的 因素是 占用硬盘空 间、 内存 以及 Ｃ Ｐ Ｕ 等资源 的消耗情况。 强度测试是测量入侵检测系统在 强负荷运行状 况下检测效果是 否 受影 响 ， 主要包括大负载 、 高密度数据流量情况下的检测效果。 在我们分析入侵检测 系统 的性能 时 ， 主要考虑检测系统 的有效性 、 效率和可用性 。有效性是研究检测机 制的检测精确度和系统检测结果 的可信度 ， 它是开发设计 和应 用入侵检测系统的前提和 目的， 是测试评 估入侵检测系统 的主要指标 。效率则 主要是考虑检测机制处理数据 的 速度 以及经 济性 ， 也 就是侧重检测 机制性能价 格 比的改进 。可用性 主 要包括 系统 的可扩展 性 、 用户界 面的可 用性 ， 部 署配 置方便程 度等 内 容。有效性 是开发设计 和应用人侵 检测系统 的前 提和 目的 ， 因此也是 测试评估 入侵检测 系统 的主要指标 ， 但效率 和可用性对入 侵检测系统 的性能也起 很重要 的作用 ， 效率 和可用性渗透 于系统设计 的各个方 面 之中。 ３ ． １ 有效性测试 有效性测试 包括 的内容主要有检 测率 、 虚警 率及可信度 。检测率 是指被 监控 系统在受 到入侵 攻击 时 ， 检测 系统能 够正确 报警 的概率 。 虚警率是指检测系统在检测 时出现错误的概率 。检测可信度也就是检 测 系统检 测结 果 的可信 度 ， 这是测 试 评估 入侵 检测 系统最 重要 的 指 标 。实 际中入侵检 测系统 的实 现总是在检测 率和虚警率 之间徘徊 ， 检
入侵检测系统技术要求
入侵检测系统技术要求1.无处不在的监测：入侵检测系统应该能够监测和分析网络中的所有流量，包括入站和出站的流量。
对于大型网络来说，一个集中式入侵检测系统可能无法满足需求，因此需要分布式的入侵检测系统。
2.实时响应：入侵检测系统需要能够实时检测到入侵事件，并及时采取相应的响应措施，如阻止入侵者进一步访问，或者通知安全管理员做进一步处理。
实时响应可以减少安全事件对网络和系统造成的损害。
3.高度准确的检测：入侵检测系统需要具备高准确性的检测能力，能够区分正常网络活动和恶意活动。
为了达到高准确性，入侵检测系统可能会使用多种技术和算法，如基于规则的检测、基于统计的检测、基于机器学习的检测等。
4.多种检测维度：入侵检测系统需要能够检测多种类型的攻击和入侵行为。
这包括但不限于：网络扫描、漏洞利用、恶意软件、异常登录行为、数据包嗅探等。
入侵检测系统应该能够对网络中的各种恶意活动进行全面检测。
5.可扩展性：入侵检测系统需要能够适应不断变化的网络环境和威胁。
它应该具备良好的可扩展性，能够适应不同规模的网络，并且支持增加和移除新的检测规则及技术。
6.高性能和低延迟：入侵检测系统需要具备高性能和低延迟的特性。
它需要快速处理大量的网络流量，并及时响应检测到的入侵事件。
高性能和低延迟可以提高入侵检测系统的实用性和有效性。
7.日志和报告功能：入侵检测系统应该具备日志记录和报告功能，可以记录检测到的入侵事件，并生成详细的报告。
这些日志和报告可以帮助安全管理员分析网络的安全状况，及时发现和解决潜在的安全威胁。
8.全面的管理功能：入侵检测系统需要具备全面的管理功能，包括策略管理、报警管理、用户管理等。
这些管理功能可以帮助安全管理员更好地管理入侵检测系统，以及对网络进行有效的安全防护。
总之，入侵检测系统需要满足以上要求，以提供有效的网络安全保护和防御手段。
随着网络安全威胁的不断增加和演化，入侵检测系统也需要与时俱进，不断改进和更新，以适应不断变化的安全环境。
入侵检测系统实验报告
入侵检测系统实验报告
《入侵检测系统实验报告》
摘要：
入侵检测系统是网络安全领域中的重要工具，它能够及时发现并阻止网络中的
恶意行为。
本实验旨在测试不同类型的入侵检测系统在面对各种攻击时的表现，通过对比实验结果，评估其性能和可靠性。
实验设计：
本实验选取了常见的入侵检测系统，包括基于规则的入侵检测系统和基于机器
学习的入侵检测系统。
针对不同的攻击类型，比如DDoS攻击、SQL注入攻击、恶意软件传播等，设置了相应的实验场景和测试用例。
通过模拟攻击行为，收
集系统的响应数据，对系统的检测能力、误报率和漏报率进行评估。
实验结果：
实验结果表明，基于规则的入侵检测系统在对已知攻击行为的检测上表现较为
稳定，但对于未知攻击的识别能力有限。
而基于机器学习的入侵检测系统在处
理未知攻击方面表现更为优秀，但在面对复杂多变的攻击行为时，容易出现误
报和漏报。
综合考虑，不同类型的入侵检测系统各有优劣，可以根据具体的网
络环境和安全需求选择合适的方案。
结论：
入侵检测系统在网络安全中扮演着重要的角色，通过本实验的测试和评估，我
们可以更好地了解不同类型的入侵检测系统的特点和适用场景，为网络安全防
护提供参考和建议。
未来，我们将继续深入研究和实验，不断改进入侵检测系
统的性能和可靠性，为网络安全保驾护航。
入侵检测系统
入侵检测系统1. 引言1.1 背景近年来，随着信息和网络技术的高速发展以及其它的一些利益的驱动，计算机和网络基础设施，特别是各种官方机构网站成为黑客攻击的目标，近年来由于对电子商务的热切需求，更加激化了各种入侵事件增长的趋势。
作为网络安全防护工具“防火墙”的一种重要的补充措施，入侵检测系统(Intrusion Detection System，简称 IDS)得到了迅猛的发展。
依赖防火墙建立网络的组织往往是“外紧内松”，无法阻止内部人员所做的攻击,对信息流的控制缺乏灵活性从外面看似非常安全，但内部缺乏必要的安全措施。
据统计，全球80%以上的入侵来自于内部。
由于性能的限制，防火墙通常不能提供实时的入侵检测能力，对于企业内部人员所做的攻击，防火墙形同虚设。
入侵检测是对防火墙及其有益的补充，入侵检测系统能使在入侵攻击对系统发生危害前，检测到入侵攻击，并利用报警与防护系统驱逐入侵攻击。
在入侵攻击过程中，能减少入侵攻击所造成的损失。
在被入侵攻击后，收集入侵攻击的相关信息，作为防范系统的知识，添加入知识库内，增强系统的防范能力，避免系统再次受到入侵。
入侵检测被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监听，从而提供对内部攻击、外部攻击和误操作的实时保护,大大提高了网络的安全性。
1.2 背国内外研究现状入侵检测技术国外的起步较早，有比较完善的技术和相关产品。
如开放源代码的snort，虽然它已经跟不上发展的脚步，但它也是各种商业IDS的参照系；NFR公司的NID等，都已相当的完善。
虽然国内起步晚，但是也有相当的商业产品：天阗IDS、绿盟冰之眼等不错的产品，不过国外有相当完善的技术基础，国内在这方面相对较弱。
2. 入侵检测的概念和系统结构2.1 入侵检测的概念入侵检测是对发生在计算机系统或网络中的事件进行监控及对入侵信号的分析过程。
使监控和分析过程自动化的软件或硬件产品称为入侵检测系统（Intrusion Detection System），简称IDS。
入侵检测的评估与标准(一)
入侵检测的评估与标准(一)入侵检测的评估与标准1. 引言•入侵检测系统（Intrusion Detection System, IDS）是网络安全防护的重要组成部分之一。
•评估和标准对于确保入侵检测系统的可靠性和有效性非常重要。
2. 评估原则•评估入侵检测系统应该遵循以下原则：1.全面性：评估覆盖所有可能的入侵方法和技术。
2.实用性：评估结果能够为实际防御提供有效的指导和建议。
3.客观性：评估结果应基于客观的数据和准确的测试过程。
4.可复现性：评估过程应可重复进行，以确保结果的准确性。
3. 评估方法•常用的入侵检测系统评估方法包括：1.基准测试：通过使用已知的攻击模式和漏洞来评估系统的检测能力。
2.模拟攻击：利用模拟工具模拟各种攻击行为，测试系统的检测和响应能力。
3.实战测试：在真实网络环境中进行测试，检验系统对真实威胁的识别和响应能力。
4.安全漏洞扫描：通过扫描系统中的漏洞，评估系统的漏洞管理和修复能力。
4. 评估指标•在评估入侵检测系统时，可以考虑以下指标：1.准确率：系统正确识别和报警的比例。
2.假阳性率：系统错误地将正常行为误报为入侵行为的比例。
3.检测率：系统成功检测到的入侵事件的比例。
4.响应时间：系统发现入侵事件后采取相应措施所需的时间。
5.可伸缩性：系统在大规模网络环境下的工作能力和性能。
5. 入侵检测标准•国际上常用的入侵检测标准包括：1.入侵检测评估计划（Intrusion Detection EvaluationPlan, IDEP）：提供评估方法和工具，用于评估入侵检测系统的性能和效果。
2.入侵检测评估准则（Intrusion Detection EvaluationCriteria, IDEC）：定义了评估入侵检测系统所需满足的基本要求和性能标准。
3.入侵检测功能要求（Intrusion Detection FunctionalRequirements, IDFR）：规定了入侵检测系统应具备的基本功能和能力。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
（Internet Engineering Task Force）的入侵检测工作组 （Internet Detection Working Group，简称IDWG）负责进 行入侵检测响应系统之间共享信息数据格式和交换信息方式 的标准制订，制订了入侵检测信息交换格式（Intrusion Detection Message Exchange Format，缩写为IDMEF）。 IDMEF与CIDF类似，也是对组件间的通信进行了标准化，但它 只标准化了一种通信场景，即数据处理模块和警告处理模块 间的警告信息的通信。 引入入侵检测信息交换格式的目的在于定义入侵检测模块和 响应模块之间，以及可能需要和这两者通信的管理模块感兴 趣的信息交换的数据格式和交换过程。
第 7章 入侵检测系统的 标准与评估
曹元大主编，人民邮电出版社，2007年
入侵检测系统的标准与评估
1
第7章 入侵检测系统的标准与评估
入侵检测系统的标准与评估:
入侵检测的标准化工作 入侵检测系统的性能指标 网络入侵检测系统测试评估 测试评估内容 测试环境和测试软件 用户评估标准 入侵检测评估方案
入侵检测系统的标准与评估
2
入侵检测的标准化工作
入侵检测技术在最近几年发展迅速，但是相应的入
侵检测标准化工作则进展缓慢。 当前有两个国际组织在进行这方面的工作，他们是 Common Intrusion Detection Framework（CIDF） 和IETF（Internet Engineering Task Force）下 属的Intrusion Detection Working Group （IDWG）。 他们强调了入侵检测的不同方面，并从各自的角度 进行了标准化工作。
入侵检测系统的标准与评估 4
CIDF的规范文档
Arichitecture:提出了IDS的通用体系结构，用以
说明IDS各组件间通信的环境。 Communication:说明了IDS各种不同组件间如何 通过网络进行通信。 Language:定义了公共入侵规范语言（CISL), IDS 各组件间通过CISL来进行入侵和警告等信 息的通信。 API:提供了一整套标准的应用程序接口，允许 IDS各组件的重用，在CISL的表示中隐含了 API.
入侵检测系统的标准与评估
CIDF的不足
复杂性：建立代理设施和遵循查找协议查找到
对方都是复杂的，对CISL语义的理解也是相当 复杂的。 实效性：由于协议的复杂性，必然导致时间消 耗过大，延迟增长。 协议的完整性：文档很多地方还不太完整，需 要进一步细化。
入侵检测系统的标准与评估
22
IDMEF
为了适应网络安全发展的需要，Internet网络工程部IETF
的模型有两类：即面向对象的数据模型和基于 XML的数据模型。
入侵检测系统的标准与评估
27
面向对象的数据模型用于IDMEF的原 因
报警信息固有的不同类型使得应提出一种足够灵活的
数据表示格式，使之能适应不同的需要。 入侵检测工具的环境都不是相同的。相同的攻击可以 用不同的检测工具报告，而所报告的信息是不一样 的。 入侵检测工具的能力不同。为了进一步处理报警信 息，数据模型应当通过工具方便地转换格式，而不是 使用入侵探测器。 入侵检测的操作系统环境是不同的，数据模型应该容 纳这些不同点。 商业厂商的目标是不同的。开发商希望传递少量关于 某些攻击的信息，这样有利于产品的销售。
入侵检测系统的标准与评估
16
CIDF的通信机制
Gidos层
信体层
协商传输层
入侵检测系统的标准与评估
17
传输层：不属于CIDF规范，它可以采用很多种
现有的传输机制来实现。 信体层：负责对传输的信息进行加密认证，然 后将其可靠地从源传输到目的地，信体层不关 心传输的内容，它只负责建立一个可靠的传输 信道。 Gidos层：负责对传输的信息进行格式化，统 一信息的表达格式，是各个IDS之间的互操作 成为可能。
入侵检测系统的标准与评估 20
CIDF的标准化工作
通过组件标识查找，或更高层次上地通过特性查找
通信双方的代理设施和查找协议。
使用正确（鉴别）、安全（加密）、有效的组件间
通信协议。
定义了一种能使组件间互相理解的语言CISL。
说明了进行通信所用的主要的API。
入侵检测系统的标准与评估
21
A
X
入侵检测系统的标准与评估
13
CIDF的公共入侵规范语言（CISL）
CIDF最主要的工作就是不同组件间所使用语言的标
准化，CIDF的体系结构只是通信的背景。 在CIDF模型里，通过组件接收的输入流来驱动分析 引擎进行处理，并将结果传递到其它的部件。 CIDF用通用入侵说明语言CISL对事件、分析结 果、响应指示等过程进行表示说明，以达到IDS之 间的语法互操作。 CISL语言使用符号表达式（简称S-表达式），类似 于LISP语言。
达，主要针对事件的因果关系、事件的对象角色、对象的属性、对象之 间的关系、响应命令或脚本等几个方面。 表示的唯一性：要求发送者和接收者对协商好的目标信息能够相互理 解。 精确性：两个接收者读取相同的消息不能得到相反的结论。 层次化：语言当中有一种机制能够用普通的概念定义详细而又精确的概 念。 自定义：在消息中能够自我解析说明。 效率：任何接收者对语言格式的理解开销不能成倍增加。 扩展性：语言里有一种机制能够让发送者使用的词汇来表明接收者的事 实。或者是接收者能够利用消息的其余部分解析说明新的词汇的含义。 简单：不需理解整个语言就能接收和发送信息。 可移植性：语言的编码不是依赖于网络的细节或特定主机的消息。 容易实现：实现起来比较容易。
A
T
入侵检测系统的标准与评估 12
CIDF的协同方式-响应
如果分析器判断到一个特定的处理过程正在进行对某个 主机的攻击，或者是一个特定的网络链接被用作发起攻 击。那么分析器应当向管理员发起警告，但是人的响应 要比机器的响应慢。因此，入侵检测器需要预先设置自 动应急的脚本，以便在紧急的情况下IDS可以直接响应
入侵检测系统的标准与评估
14
S-表达式的递归定义
原子是S-表达式。 如果a1、a2是S-表达式，则表（a1、a2）也是S-表
达式。
有限次使用（1）、（2）所得的表达式都是S-表达
式，此外没有别的S-表达式。
入侵检测系统的标准与评估
15
CISL的设计目标
表达能力：CISL语言应当具有足够的词汇和复杂的语法来实现广泛的表
A1
B A2
入侵检测系统的标准与评估 9
CIDF的协同方式-互纠
A1和A2可以互相纠正检测结果。由于入侵检测中存 在许多报警，故组件之间的互纠是必要的。采用不 同的分析方法两个检测器常会产生多次误报警。特 殊的情况是，J组件在A1和A2的检测结果相同时才会 报告入侵。
A1
J
A2
入侵检测系统的标准与评估 10
入侵检测系统的标准与评估 18
CIDF协同工作需要解决的问题
CIDF的一个组件怎样才能安全地连接到其他组
件，其中包括组件的定位和组件的鉴别。 连接建立后，CIDF如何保证组件之间安全有效 地进行通信。
入侵检测系统的标准与评估
19
问题的解决
提出一个可扩展性比较好的比较完备的解决方
法，即采用匹配服务。匹配服务是一个标准 的、统一的方法，它的核心部件是匹配代理， 匹配代理专门负责查询其他CIDF组件集。 通过信体层和传输层来解决的。信体层是为了 解决诸如同步（如阻塞和非阻塞等）、屏蔽不 同操作系统的不同数据表示、不同编程语言不 同的数据结构等问题而提出的。它规定了 Message的格式，并提出了双方通信的流程。 此外，为了保证通信的安全性，信体层还包含 了鉴别、加密和签名等机制。
入侵检测系统的标准与评估 29
IDMEF的入侵警告协议
TCP连接建立 安全建立 通道的建立
入侵检测系统的标准与评估
30
IDMEF总结
IDMEF最大的特点就是充分利用了已有的较成熟的
标准。 与CIDF相比较，在数据表示方面不仅在语法方面而 且在语义方面都进行了详细的规定，方便了传输数 据的解释，提高了解释的效率，但同时也降低了通 用性，只能表达警告信息。 在通信方面，IDMEF各组件必须有通信对方的地址 信息，这样效率很高。 IDMEF通信可能考虑到安全边界问题，支持使用代 理。
入侵检测系统的标准与评估 28
基于XML的数据模型的优点
使用XML可以方便地为入侵检测报警描述特定的开发
自定义语言，也可以通过扩展这个语言来定义一个标 准。 处理XML文档资料的软件可以多方面地得到。产品开 发商可以很容易得到这些工具来使用IDMEF. XML满足IDMEF全面支持消息格式的国际化和本地化 需求。 XML满足IDMEF消息格式必须支持过滤和聚类的要 求。 正在进行的W3C和其他的XML开发项目组将会提供支 持面向对象的扩展和数据库。 XML是免费的，不需要许可证和版税。
CIDF的协同方式-核实
A1报告发现攻击，H则询问A2是否也检测到同一种攻击 ，若A2报告检测到同一种攻击，那么H就认为A1的入侵 报告得到验证。
A1
H A2
入侵检测系统的标准与评估
11
CIDF的协同方式-调整
A根据所受到的警告信息调整监测。A发送一个请求 给T，询问应该监测的对象是什么。然后，A接收T的 回答信息，并加以分析和进行监测操作。
入侵检测系统的标准与评估 5
CIDF的系统结构
事件产生器 事件Gidos 事件分析器 反应Gidos 响应单元 Gidos
Gidos
Gidos