入侵检测分析

入侵分析的任务是在提取的大量数据中找到入侵的痕迹。入侵检测分析技术主要分为:异常检测和误用检测两种。

入侵分析的任务是在提取的大量数据中找到入侵的痕迹。入侵检测分析技术主要分为:异常检测和误用检测两种。 （1）基于异常的入侵检测方法的检测与可接受行为之间的偏差。如果可以定义每个可接受的行为，那么每个不可接受的行为都应该是入侵行为。首先，总结正常操作应具有的特征（用户轮次），建立系统的正常行为轨迹，并在用户活动明显偏离正常行为时被视为入侵。该检测模型可以有效地检测未知入侵，因为它不需要定义每个入侵行为。可以看出，根据这种方法建立的系统需要具有一定的人工智能。由于人工智能领域本身发展缓慢，基于异常入侵检测方法的入侵检测系统的工作效果不是很好。异常检测技术具有误报率，但报告率较高，因为并非所有入侵都是异常的，系统的轨迹很难计算和更新。 （2）基于误用的入侵检测技术与已知的不可接受行为之间的匹配程度。如果可以定义所有不可接受的行为，那么与其匹配的每个行为都将导致警报。基于误用的入侵检测技术以某种方式预先定义入侵行为，收集异常操作（即入侵行为的特征），建立相关的特征数据库，然后监视系统的运行，并收集数据和特征数据库。比较特征代码以确定它是否是入侵。基于误用的入侵检测技术也称为基于特征的入侵检测技术。该检测技术具有低假阳性率和高假阴性率。对于已知的攻击，它可以详细准确地报告攻击类型，但对未知攻击的影响有限，必须不断更新签名数据库。入侵检测过程入侵检测系统的检测过程包括三个步骤：信息收集，信息分析和结果处理。 （1）信息收集模块收集系统，网络，数据和用户活动的状态和行为。 信息由放置在不同网段或不同主机代理上的传感器收集，包括系统和网络日志文件，网络流量，异常目录和文件更改以及异常程序执行。 （2）信息分析模块的作用是对数据进行深入分析，发现攻击并根据分析结果生成事件，并将其传递给结果处理模块。 （3）结果处理微信小程序模块的功能是报警和响应，即在发现攻击企图或攻击后，系统需要及时做出反应，这可能是重新配置路由器或防火墙，终止进程，剪切连接，更改文件属性或只是一个简单的警报。