网络安全概论书本资料.doc

《网络安全概论书本资料.doc》由会员分享，可在线阅读，更多相关《网络安全概论书本资料.doc（19页珍藏版）》请在三一办公上搜索。

1、第一章 网络安全问题1.1网络安全威胁1.1.2安全漏洞1. 安全漏洞是网络攻击的客观原因 (选，填)2. 漏洞是硬件、软件或使用策略上的缺陷3. 使用漏洞（硬件和软件方法上的缺陷），也是最主要的一种漏洞4. 使用漏洞的一个典型例子是缺省口令1.1.3网络探测工具及步骤5. SATAN是一个完善的扫描软件6. 网络探测步骤:(1) 踩点：发现有攻击价值和可能性的组织的网点(2) 扫描：探测进入目标网络的途径或入口(3) 查点：查找系统中可攻击的薄弱环节或有价值的资源1.1.4主要的网络攻击方法 （问答，多）(1) 拒绝服务（DoS）攻击(2) 入侵攻击(3) 病毒攻击(4) 邮件攻击(5) 诱

2、饵攻击8. 入侵攻击：指攻击者利用操作系统内在缺陷或对方使用的程序语言本身所具有的安全隐患等，非法进入本地或者远程主机系统，获得一定的操作权限，进而窃取信息、删除文件、埋设后门、甚至瘫痪目标系统等行为，这种入侵行为相对难度较高1.1.5网络攻击工具9.特洛伊木马（网络攻击工具）是隐藏着恶意代码的程序，与病毒的区别是，特洛伊木马不感染其他文件，而且破坏行为隐蔽，一般很难被用户察觉，因而也很难发现它的存在10. 特洛伊木马的关键是采用有效的潜伏机制来执行非授权功能1.2网络信息对抗1.2.2信息对抗的内涵1. 信息安全的基本特性：保密性、真实性、畅通性2. 信息的保密性、真实性、畅通性对应的攻击方

3、法：窃密、扰乱、破坏（P12 图1-4要看很简单）1.2.3网络信息对抗的内涵3. 网络信息的基本安全特性：保密性、完整性、可用性 （多）1.3网络安全措施体系1.3.1网络安全策略1. PPDR模型：策略，保护，监察，反应（P13图1-6 ）第二章 密码学方法2.1概述2.1.2密码体制分类密码体制分类1. 单钥密码体制要求密码系统必须提供安全可靠的途径将密钥送至收端，且不得泄漏密钥。彼此互相并不认识时，是不可能安全交换密钥的，而公钥体制的出现解决了这一困难2. 公钥体制的特点是加密密钥（可公开的公钥）和解密密钥（需要保密的私钥）不同。它们的值不相等，属性也不同，一个是可公开的公钥，另一个则

4、是需要保密的私钥。3. 公钥密码体制的特点是加密能力和解密能力是分开的，但是公钥算法要比私钥算法慢得多2.1.3加密方式4. 现有的公钥密码体制都采用分组密码2.2常用加密算法2.2.1私钥密码体制流密码算法1. 密码体制可分为私钥体制和公钥体制。私钥体制采用流密码或分组密码方式，公钥体制采用分组密码方式2. 流密码算法：A5算法，FISH算法，RC-4算法，WAKE算法3. 分组密码算法应满足3个方面的要求：(1) 分组长度m要足够大，使分组明文空间足够大，以防明文穷举攻击（即强行攻击）(2) 密钥长度i要足够大，使密钥空间足够大，以防密钥穷举攻击(3) 算法的过程足够复杂，使破译时除了使用

5、穷举法外，无其他捷径4. 美国商用数据加密标准DES 分组密码算法 私钥体制2.2.2公钥体制5. RSA算法过程！P37（要看 理解计算方法）6. 公钥体制：Diffie-Helman、RSA、PGP、ElGamal2.3秘密分析与安全问题2.3.1密码分析1. 破译或攻击密码的方法：穷举破译法（强力法 完全试凑法） 分析法2. 对截获的密保依次用各种可解的密钥试译，直到得到有意义的明文；或在不变密钥下，对所有可能的明文加密直到得到与截获密报一致为止，此法又称为完全试凑法3. 惟密文攻击是最普遍的攻击4. 惟密文攻击是最容易防护的攻击2.3.2密码体制的安全准则5. 密码系统安全性的基本要求

6、： （问答）(1) 密码体制即便不是在理论上不可破的，也应该是实际上不可破的(2) 整个密码系统的安全性系于密钥上的，即使密码算法被公布，在密钥不泄漏的情况下，密码系统的安全性也可以得到保证(3) 密钥空间必须足够地大(4) 加解密算法必须是计算上可行的，并且能够被方便的实现和使用2.4认证技术2.4.1认证体制的要求与模型1.安全的认证体制应该至少满足以下要求：(1) 意定的接受者能够检验和证实消息的合法性、真实性、完整性(2) 消息的发送者对所发的信息不能抵赖，有时也要求消息的接受者不能否认收到的消息(3) 除了合法的消息发送者外，其他人不能伪装该已发送的消息2.4.2身份认证技术2. 身

7、份认证从机制上分 一、专门进行身份认证的直接身份认证技术；二、消息签名和加密认证过程中，通过检验方是否持有合法的密钥进行的认证，称为间接身份认证技术2.4.3消息认证技术1.消息认证是指通过对消息或消息相关信息进行加密或签名变换进行的认证目的：消息完整性认证 身份认证 消息的序号和操作时间(1) 消息内容认证，即验证信息在传送或存储过程中是否被篡改(2) 源和宿的认证，即验证收发者是否持有正确的身份证符(3) 消息序号和操作时间的认证，目的是防止消息重放或延迟等攻击2.5数字签名2.5.1数字签名的概念1. 以计算机文件为基础的现代事物处理中，应采用电子形式的签名，即数字签名2. 完善的数字签

8、名要求：(1) 收方能够确认或证实发方的签名(2) 发方发出签名的消息给收方后，就不能再否认他所签发的信息(3) 收方对已收到的签名消息不能否认(4) 第三者可以确认收发双方之间的消息传送，但不能伪造这一过程3. 数字签名有两种：(1) 对整体消息的签名，是消息经过密码变换的被签名消息整体(2) 对压缩消息的签名，是附加在签名消息之后或某一特定位置上的一段签名图样4. 一个签名体制两部分：签名算法 验证算法2.5.5不可否认签名5. 不可否认签名与普通数字签名最本质的不同在于：对于不可否认签名，在得不到签名者的配合的情况下其他人不能正确进行签名验证，从而可以防止非法复制和扩散签名者所签署的文件

9、2.6密码学方法应用举例PGP软件2.6.1 PGP软件简介1. PGP是一个基于公钥加密体系的邮件加密软件2. PGP原理：（问答）首先产生一对密钥，一个是私钥，一个是公钥。当要传送一封保密信或文件给对方时，首先必须先取得对方的公钥，并将它加入自己的公钥环中，接下来利用对方的公钥将信件加密后再传给对方。当对方收到加密的信件后，对方必须利用其相对应的私钥来解密3. 公钥的安全性问题是PGP安全问题的核心第三章 PKI3.1PKI简介3.1 PKI是什么1. PKI（公钥基础设施）是 利用公钥密码理论和技术建立的提供安全服务的基础设施。（所谓基础设施，就是在某个大环境下普遍适用的系统和准则）2.

10、 广义上PKI的主要目的是 通过自动管理密钥和证书，建立安全的网络运行环境，使用户可以在多种应用环境下方便的使用加密和数字签名技术，从而保证网上数据的机密性、完整性、有效性3. 简言 PKI就是提供公钥加密和数字签名服务的系统，目的是 为管理密钥和证书，保证网上数字信息传输的机密性、真实性、完整性和不可否认（抵赖）性4. 基于PKI构建完整的加密/签名体系，可实现数据的安全传输，方法：(1) 加密密钥对 从而确保文件的机密性和完整性(2) 签名密钥对 从而达到数据真实性和不可抵赖性的要求3.1.2 PKI的作用5. PKI通过以下几个方面保护用户的信息资产 （问答）(1) 身份认证(2) 完整

11、性验证(3) 私有性(4) 访问控制(5) 授权交易(6) 不可抵赖性3.2PKI的组成及功能1. PKI是一种遵循标准的密钥管理平台，包括五个模块 （多，问答） CA（认证中心），证书库，密钥管理系统，证书撤销管理系统，PKI应用接口系统3.2.1 CA2. CA机构，又称证书认证中心，数字证书的签发机构，是PKI的核心，并且是PKI应用中权威的，可信任的，公正的第三方机构，承担公钥体系中公钥的合法性检验的责任3. CA认证中心的功能：证书发放，证书更新，证书撤销，证书验证4. CA管理的核心问题是密钥的管理 （单）5. CA认证中心在密钥管理方面的作用：(1) 自身密钥的产生、存储、备份/

12、恢复、归档和销毁(2) 为认证中心与各地注册审核发方机构的安全加密通信提供安全密钥管理服务(3) 确定客户密钥生存周期，实施密钥吊销和更新管理(4) 提供密钥生成和分发服务(5) 提供密钥托管和密钥恢复服务(6) 其他密钥生成和管理、密码运算功能3.2.2证书库6. 证书库的功能：存储证书，提供证书，确认证书状态7. 在网上传输信息时，普遍使用X.509格式的数字证书3.2.3密钥管理系统8. 密钥管理系统： 密钥备份很恢复 密钥自动更新 密钥历史档案9. 证书撤销实现方法：(1) 利用周期性的发布机制（CRL）常用的方法(2) 在线查询机制，如在线证书状态协议OCSP10.最普遍的在线撤销机

13、制就是在线证书状态协议（OCSP）11.PKI的价值在于使用户能方便地使用加密、数字签名等安全服务，因此一个完整的PKI必须提供良好的跨平台的应用接口系统，使得各种各样的应用能够以安全、一致、可信的方式与PKI交互3.3 PKI的标准和协议1.定义及描述PKI的标准1. PKCS 公开密钥标准2. PKCS是由RSA实验室与全世界的安全系统开发者们共同制订的公开密钥标准，是一套针对PKI体系的加解密、签名、密钥交换、分发格式及行为标准，目的是为了加速公开密钥技术的实施3. OCSP 在线证书状态协议2.基于PKI的协议(1) SSL（安全套接字层）使用对称加密来保证通信保密性，使用消息认证码（

14、MAC）来保证数据完整性。SSL主要使用PKI在建立连接时对通信双方进行身份认证(2) 时间戳协议（TSP）通过时间戳(TSA)的服务来提供数据在特定时间存在的证据 第四章 防火墙技术4.1防火墙原理1. 防火墙是综合采用适当技术，通过对网络作拓扑结构和服务类型上的隔离，在被保护网络周边建立的、分隔被保护网络与外部网络的系统。适合于专网中使用，特别是在专网与公共网络互连时使用2. 防火墙提高4种服务(1) 服务控制(2) 方向控制(3) 用户控制(4) 行为控制4.2防火墙在OSI模型中的层次P93图4-3 （很重要）4.3防火墙分类按工作原来分类1. 包过滤型防火墙，一般工作在网络层（IP层

15、）包过滤型防火墙通常安装在路由器上，安全策略即包过滤算法的设计是其核心2. 应用网关应用代理防火墙具有很好的安全控制机制 在应用层 最安全的防火墙技术3. 电路级网关防火墙电路级网关是在OSI模型中的会话层上来过滤数据包按体系结构分类1. 双宿主主机采用主机取代路由器执行安全控制功能2. 堡垒主机堡垒主机是网络中最容易受到侵害的主机3. 屏蔽子网在内部网络和外部网络之间再增加一个子网，称为非军事区4.4防火墙关键技术包括过滤技术、代理技术、SOCKS技术、地址转换技术4.4.1包过滤技术1. 包过滤技术是最早使用的防火墙技术，主要根据网络数据包的包头信息来确定是否允许该数据包通过，以增加安全性

16、（不能控制传输数据的内容）4.4.2代理技术1.代理技术是继包过滤之后，目前应用最为广泛的防火墙技术2. 代理技术的优点：(1) 安全性高(2) 配置简单(3) 日志完备(4) 隐匿内网(5) 扩充地址4.4.3其他防火墙技术SOCKS技术3. SOCKS是一种出色的电路级网关防火墙，它只转发基于TCP的数据包4. 客户程序都首先建立一个与SOCKS服务器的连接（端口为1080）5. SOCKS的最大缺点是没有很强的用户认证机制地址转换（NAT）技术6.地址转换（NAT）技术 用途：(1) 隐藏内部网络的IP地址，使外部网络上的主机无法判断内部网络的情况(2) 解决合法IP地址有限，不能满足访

17、问外部网络需要的问题，因此需要转换IP地址以提供更多的地址空间4.5防火墙的优缺点及发展趋势1. 防火墙系统的主要优点 （问答）(1) 统一制定网络安全管理策略(2) 保护网络中脆弱的服务(3) 集中安全性(4) 隐匿内部网络(5) 安全信息审计(6) 安全发布信息2. 防火墙的缺陷(1) 限制有用的网络服务(2) 难以防护内部网络用户的攻击(3) 对于绕过防火墙的其他途径的攻击，缺乏抵御能力(4) 防火墙不能完全防止传送怡感染病毒的软件或文件(5) 不能预防新的网络安全问题第五章 网络安全协议与VPN5.1SSL协议1. SSL安全套接层协议是Netscape公司1995年推出的一种安全通信

18、协议，用于Web浏览器和服务器之间通信的安全协议。主要使用公开密钥体制和X.509数字证书技术保护信息传输的机密性和完整性，它不能保证信息的不可抵赖性，主要适用于点对点之间的信息传输，常用于Web Server方式2. SSL协议建立在可靠的TCP传输控制协议之上5.1.1SSL基本原理1. 在Internet上广泛用于处理财务上敏感的信息2. SSL协议分两层：SSL握手协议和SSL记录协议3. SSL协议提供的安全连接具有3个基本特点(1) 连接是保密的(2) 连接是可靠的(3) 对端实体的鉴别采用非对称密码体制（如RSA、DSS）进行认证5.1.3SSL记录协议：SSL握手协议和应用协议

19、（如http）都在SSL记录协议上操作。SSL记录协议属于传输层协议，它工作在TCP上5.2 SET协议5.2.1 SET协议概述1. 安全电子交易（SET）规范，为在因特网上进行安全电子商务提供了一个开放的标准2. SET主要使用电子认证技术，认证过程使用RSA和DES算法，因此可为电子商务提供很强的安全保护3. SET将建立一种能在因特网上安全使用银行卡进行购物的标准。安全电子交易规范是一种为基于信用卡而进行的电子交易安全措施的规则，是一种能广泛应用于因特网的安全电子付款协议，它能够将普通应用的信用卡使用起始点从目前的商店扩展到消费者家里，扩展到消费者的个人计算机中5.2.3 SET协议与

20、SSL协议的对比SSL协议和SET协议的差别(1) 用户接口(2) 处理速度（SET协议非常复杂、庞大，处理速度慢）(3) 认证要求（SET的认证要求较高）(4) 安全性（SET的安全性远比SSL高）(5) 协议层次和功能：SSL属于传输层的安全技术规范，不具备电子商务的商务性、协调性、集成性 功能SET位于应用层，不仅规范了整个商务活动的流程，而且制定了严格的加密和认证标准，具有商务性、协调性、集成性 功能1. SET成本太高，互操作性差，且实现过程复杂5.3 IPSec协议1. IPSec工作在第三层，提供了网络级的安全2. IPSec通过以下3个协议来实现安全服务 （多，问答)(1) 认

21、证头AH协议：让通信双方能验证数据在传输过程中有没有被篡改，并能验证发方的身份(2) 封装安全载荷ESP协议：用于封装加密的IP包，防止传输过程中的欺骗(3) 密钥管理协议（如：因特网密钥交换协议IKE）：允许双方协商加密密钥和加密方法5.3.1 安全关联SA1. ISAKMP/Oakley由两个阶段完成密钥交换和建立SA：(1) 双方建立一个安全通道(2) 双方建立一个通用的SA2. ISAKMP/Oakley提供3种模式：(1) 主模式：在传送用户身份前建立一个安全通道(2) 主动模式：先传送用户身份再建立一个安全通道，即不保护用户身份信息(3) 快速模式：用于协商SA第一阶段可用前两种模

22、式，第二阶段用第三种5.3.2 AH协议设计认证头（AH）协议的目的是 用来增加IP数据的安全性5.3.4 IKE（Internet密钥交换协议）IKE共定义了5种交换：主模式，野蛮模式，快速模式，新组模式，ISAKMP信息交换IPSec两种操作模式：传输模式 隧道模式 （多）5.4虚拟专用网（VPN）5.4.1 VPN概述VPN概述1. 指利用安全协议等措施在不安全公共网络上建立安全“隧道”，以实现保密通信的机制2. VPN至少提供如下安全功能：(1)加密数据，以保证通过公共网络传输的信息即使被他人接收，也不会被解密(2)信息认证和身份认证，以保证信息的完整性和用户的合法性(3)提供访问控制

23、，以保证不同级别的用户有不同的访问权限，提高网络使用的规范性和安全性5.4.2 VPN的基本技术VPN的3个基本技术：隧道技术、安全性、网络管理5.4.3 VPN的安全协议1.VPN主要是通过安全协议建立安全“隧道”的2.VPN的安全性主要是通过SOCKS v5、IPSec、PPTP、L2TP 四种安全协议实现的PPTP/L2TP的优点：对微软的用户很方便，支持流量控制VPN管理中心（MC）VPN管理中心是整个VPN的核心部分5.4.6 VPN的优点VPN虚拟专网优势：（1）廉价的网络接入（2）严格的用户认证（3）高强度的数据保密5.4.7 SSL VPN 与IPSec VPN的比较1. IP

24、Sec VPN需要先完成客户端配置才能建立通信通道，并且配置复杂 （单）SSL VPN1.SSL VPN是指以HTTPS为基础的VPN，但也包括可支持SSL的应用程序2.SSL已由TLS传输层安全协议（RFC 2246）整合取代，它工作在TCP之上，必须首先进行配置，包括使用公钥与对称密钥加密以交换信息3.SSL可利用各种公钥(RSA、DSA)算法、对称密钥算法(DES、3DES、RC4)和完整性(MD5、SHA-1)算法SSL VPN优缺点优点：（1） HTTPS客户端程序已经预装在终端设备中，不需再次安装（2） 与市场上主要的Web服务器捆绑销售，或者通过专门的软硬件供货商（如Web存取设

25、备）获得（3） SSL VPN可在NAT代理装置上以透明模式工作（4） SSL VPN不会受到安装在客户端与服务器之间的防火墙的影响缺点：（1） SSL VPN不适用做点对点的VPN，后者通常是使用IPSec/IKE技术（2） SSL VPN需要开放网络防火墙中的HTTPS连接端口（3） SSL VPN需要其他安全配置第六章 网络安全体系与标准6.1安全体系结构1. ISO7498-2中描述的安全服务和安全机制(1) 安全服务：指为实现系统安全功能所需提供的各种服务手段鉴别：包括对等实体鉴别和数据原发鉴别访问控制数据机密性数据完整性抗抵赖(2) 安全机制：指为提供系统安全服务所需具备的技术措施

26、（1） 加密机制（2） 数字签名机制（3） 访问控制机制（4） 数据完整性机制（5） 鉴别机制（6） 通信业务填充机制（7） 路由控制机制（8） 公证机制2. 在OSI七层协议中除第五层（会话层）外，每一层都有与之相应的安全服务与安全机制3. （安全机制）数字签名 对应的 安全服务：（1） 对等实体鉴别（2） 数据完整性：无连接完整性 选择字段无连接完整性（3） 数据原发鉴别（4） 抗抵赖6.2网络安全标准联合公共准则 （ CC ）P154了解即可6.3信息安全评测与认证1. 测评认证测评认证是现代质量认证制度的重要内容，其实质是一个中立的权威机构，通过科学、规范、公正的测试和评估，向消费者、

27、购买者（即需方）证实生产者或供方所提供的产品和服务，符号公开、客观和先进的标准2. 信息安全测评认证的重要性 （问答）(1) 信息安全测评认证体系的建立和运行，对我国国家信息化的各个方面都具有十分现实的意义(2) 首先，对我国按国际惯例建立和实施的有关信息产品、信息安全产品的市场准入制度、技术管理和信息系统运行控制制度等方面的决策，提供科学公正的技术依据(3) 其次，对各方用户采购信息安全产品，设计、建设、使用和管理安全的信息系统提供权威公正的专业指导(4) 第三，对信息安全产品的研究、开发、生产企业和提供其他信息安全服务的企业，进行严格规范与科学指导，提高其市场竞争能力和技术进步水平3. 中

28、国信息安全产品测评认证中心代表国家对信息安全产品、信息技术和信息系统安全性以及信息安全服务实施公正性评价的技术职能机构4. 国内信息安全标准计算机信息系统安全保护等级划分准则第七章 电子商务与政务系统的安全7.1网络安全工程7.1.1网络安全策略1. 安全策略是网络信息安全的灵魂和核心7.1.2网络安全风险分析1. 风险分析的内容范围(1) 网络基本情况分析(2) 信息系统基本安全状况调查(3) 信息系统安全组织、政策情况分析(4) 网络安全技术措施使用情况分析(5) 防火墙布控和外联业务安全状况分析(6) 动态安全管理状况分析(7) 链路、数据及加密情况分析(8) 网络系统访问控制状况分析7

29、.1.4网络安全设计1. 网络安全设计原则：(1) 体系的安全性(2) 体系的可行性(3) 系统的高效性(4) 体系的可承担性7.2电子商务系统1. 基于Internet的开放电子商务面临的最大问题是安全问题2. 在支付型电子商务系统中，用户端软件称为电子钱包7.2.4电子商务的安全3. 电子商务面临的主要问题：(1) 信息泄漏 (2)篡改 (3)破坏身份认证 (4)信息破坏4. 电子商务安全要求4个方面： 问答(1) 数据传输的安全性(2) 数据的完整性(3) 身份验证(4) 交易的不可抵赖5.电子商务系统中的安全技术（1）数字信封（2）数字签名 身份认证和不可抵赖性（3）身份认证技术（4）

30、口令认证方式（5）使用公开密钥签名算法的挑战响应认证方式（6）使用数字签名技术的身份认证方式2.采用数字信封技术保证数据的传输安全； 采用数字签名技术进行身份认证并同时保证数据的完整性、完成交易防抵赖； 采用口令字技术或公开密钥技术进行身份认证3. 数字信封技术在外层使用公开密钥加密技术，利用了公开密钥技术的灵活性； 内层的对称密钥长度通常较短7.3电子政务系统7.3.3电子政务的安全1. 电子政务面临的安全问题(1) 电子政务所面临的社会环境危险(2) 技术环境的脆弱性来源于信息系统技术上和管理上2. 社会环境危险包括：（1） 非法访问（2） 破坏信息的完整性（3） 假冒（4） 破坏系统的可

31、用性（5） 截收和辐射侦测（6） 重放（7） 抵赖3. 技术环境的脆弱性来源于信息系统技术上和管理上的缺陷4. 典型的缺陷和安全隐患：（1） 缺陷或漏洞（2） 后门5. 物理自然环境恶化指系统物理基础的支持能力下降或消失，包括电力供应不足或中断、电压波动、静电或强磁场的影响，以及自然灾害的发生6.电子政务的信息安全机制指实现信息安全目标的支持元素(1) 支撑机制 最常用的安全机制(2) 防护机制 防止安全事故的发生(3) 检测和恢复机制7. 支撑机制包括：标识和命名、密钥管理、安全管理、系统保护 防护机制包括：受保护的通信、身份鉴别、授权、访问控制、拒绝否认、事务隐私 检测和恢复机制包括：审计

32、、入侵检测、完整性验证、安全状态重置8.电子政务系统的全部信息安全服务最终都依赖于操作系统安全服务第八章 操作系统与安全漏洞8.1Windows 2000安全漏洞及对策1. 典型的安全漏洞(1) 输入法漏洞8.2UNIX常见安全漏洞及对策Exim格式化字串漏洞：Exim是一个免费的开放源代码的基于UNIX系统的提供邮件传输代理功能的程序8.3Linux常见安全漏洞及对策1. VIM statusline文本嵌入命令执行漏洞第九章 系统入侵检测入侵检测技术是一种主动保护系统免受攻击的网络安全技术9.1入侵手段9.1.2攻击手段收集信息攻击1. Sniffer可以截获口令等秘密的或专用的信息2.阻

33、断服务（1）E-mail炸弹（2）邮件列表连接（3）其他3.IP欺骗(1) 几乎所以的IP欺骗都依赖于目标网络的信任关系(2) 解决的办法是慎重设置网络中的主机信任关系9.2入侵检测技术9.2.1入侵与预警1. 入侵检测技术原理实时入侵检测在网络连接过程中进行，系统根据用户的历史行为模型、存储在计算机中的专家知识以及神经网络模型对用户当前操作进行判断，一旦发现入侵迹象立即断开入侵者与主机的连接，并收集证据和实施数据恢复2. 检测对象与目标 （问答）目标：(1) 对信息基础设施的安全状况及威胁做出全面的系统评估(2) 把威胁的来源作为对象，按时间顺序、动作意图、威胁范围和程度，进行统计(3) 对

34、来自外部网络的恶意代码和违规操作进行识别、跟踪、记录、分类和报警(4) 为遭到破坏的网络及信息系统的恢复提供技术性支持9.2.2入侵检测技术研究3. 入侵检测技术研究入侵检测模型分：基于网络和基于系统(1) 基于网络的模型通过实时监视网络上的数据流，来寻找具有网络攻击特征的活动(2) 基于系统的模型则通过分析系统的审计数据来发现可疑的活动9.2.3检测技术1. 通过审计信息来发现那些授权滥用者是很困难的2. 攻击检测方法 问答(1) 基于审计信息的攻击检测技术(2) 基于神经网络的攻击检测技术(3) 基于专家系统的攻击检测技术(4) 基于模型推理的攻击检测技术(5) 实时数据包分析(6) 实时活动监视9.3入侵检测系统9.3.1信息收集系统1. 入侵检测利用的信息来自4个方面：(1) 系统和网络日志文件(2) 目录和文件中的不期望的改变(3) 程序执行中的不期望行为(4) 物理形式的入侵信息9.3.2信息分析系统2. 信息分析的技术手段：模式匹配、统计分析、完整性分析3. 模式匹配、统计分析用于实时的入侵检测4. 完整性分析用于事后分析5. 模式匹配 检测准确率和效率相当高