下载文档原格式
网络安全第八章1、不属于IDS体系结构的组件是（）A、事件产生器B、自我防护单元(正确答案)C、事件分析器D、事件数据库2、下面（）不属于误用检测技术的特点A、发现一些未知的入侵行为(正确答案)B、误报率低，准确率高C、对系统依赖性较强D、漏报率高3、入侵检测系统按数据来源可以分为基于（）和基于（）两种A、主机网络(正确答案)B、主机服务器C、网络服务器D、服务器客户机4、在 IDS 中，将收集到的信息与数据库中已有的记录进行比较，从而发现违背安全策略的行为，这类操作方法称为（）A、模式匹配(正确答案)B、统计分析C、完整性分析D、不确定5、以下哪一种方式是入侵检测系统所通常采用的是（）。
A、基于网络的入侵检测(正确答案)B、基于IP的入侵检测C、基于服务的入侵检测D、基于域名的入侵检测6、以下哪一项属于基于主机的入侵检测方式的优势：（）A、监视整个网段的通信B、不要求在大量的主机上安装和管理软件C、适应交换和加密(正确答案)D、具有更好的实时性7、入侵检测利用的信息包括（）A、系统和网络日志文件B、目录和文件中的不期望的改变和程序执行中的不期望的行为C、物理形式的入侵信息D、以上所有信息(正确答案)8、入侵检测系统在进行信号分析时，一般通过三种常用的技术手段，以下哪一种不属于通常的三种技术手段（）A、模式匹配B、统计分析C、完整性分析D、密文分析(正确答案)9、以下哪一项不属于入侵检测系统的功能：（）A、监视网络上的通信数据流B、捕捉可疑的网络活动C、提供安全审计报告D、过滤非法的数据包(正确答案)10、关于入侵检测技术，下列哪一项描述是错误的（）A、入侵检测系统不对系统或网络造成任何影响(正确答案)B、审计数据或系统日志信息是入侵检测系统的一项主要信息来源C、入侵检测信息的统计分析有利于检测到未知的入侵和更为复杂的入侵D、基于网络的入侵检测系统无法检查加密的数据流11、按照检测数据的来源可将入侵检测系统（IDS）分为（）？A、基于主机的IDS和基于网络的IDS(正确答案)B、基于主机的IDS和基于域控制器的IDSC、基于服务器的IDS和基于域控制器的IDSD、基于浏览器的IDS和基于网络的IDS12、入侵检测系统的第一步是：（）A、信号分析B、信息收集(正确答案)C、数据包过滤D、数据包检查13、关于入侵检测技术，下列哪一项描述是错误的是（）？A、入侵检测系统不对系统或网络造成任何影响(正确答案)B、审计数据或系统日志信息是入侵检测系统的一项主要信息来源C、入侵检测信息的统计分析有利于检测到未知的入侵和更为复杂的入侵D、基于网络的入侵检测系统无法检查加密的数据流14、入侵检测系统(IDS，Intrusion Detection System)是对（）的合理补充，帮助系统对付网络攻击。
入侵检测系统简介入侵检测系统（Intrusion Detection System，简称IDS）是一种用于保护计算机网络免受未经授权的访问和恶意攻击的安全工具。
它通过监控和分析网络流量以及系统日志，识别出潜在的入侵行为，并及时生成警报，帮助管理员采取适当的措施保护网络的安全。
一、入侵检测系统的作用入侵检测系统主要具有以下几个作用：1. 发现未知入侵行为：入侵检测系统可以分析网络流量和系统日志，通过与已知的入侵特征进行比较，识别出未知的入侵行为。
这有助于及时发现并应对新型的攻击手段。
2. 预防未知威胁：IDS可以根据已知的威胁情报对网络流量进行实时分析，从而及早发现潜在的威胁。
管理员可以通过及时更新系统规则和策略来增强网络的安全性，提前避免可能的攻击。
3. 提供实时警报和反馈：IDS能够实时监控网络流量和系统状态，并及时发出警报。
这可以帮助管理员快速响应并采取适当的措施，以减少潜在的损害或数据泄露。
4. 支持安全审计和合规性要求：入侵检测系统可以记录网络活动并生成详细的日志报告，为安全审计提供可靠的数据。
此外，IDS还可以帮助组织满足合规性要求，如GDPR、HIPAA等。
二、入侵检测系统的类型根据工作原理和部署方式的不同，入侵检测系统可以分为以下几类：1. 签名型入侵检测系统（Signature-based IDS）：这种类型的IDS使用已知的攻击特征来检测入侵行为。
它会将已知的攻击签名与网络流量进行比对，如果匹配成功，则判断为入侵。
由于该类型IDS需要事先定义并更新大量的攻击签名，因此对于未知的攻击手段无法有效检测。
2. 基于异常行为检测的入侵检测系统（Anomaly-based IDS）：这类IDS会建立正常网络活动的行为模型，并通过与该模型的比较来检测异常行为。
它可以及时发现未知的入侵行为，但也容易产生误报。
该类型IDS需要较长时间的学习和适应阶段，并需要不断调整和优化行为模型。
3. 巚杂入侵检测系统（Hybrid IDS）：这是一种结合了签名型和基于异常行为检测的入侵检测系统的混合型IDS。
3. 在本章，我们讨论了访问控制列表（ACL）和访问能力列表（C-list）。
a. 请给出访问能力列表相对于访问控制列表的两个优势。
解：1.方便权限回收2.比较容易判断出主体对客体有何种访问权限b. 请给出访问控制列表相对于访问能力列表的两个优势。
解：1.方便权限传递2.方便查询某个主体的所有授权访问26. 在这一章，我们讨论了三种类型的防火墙：包括过滤防火墙、基于状态检测的包过滤防火墙以及应用代理防火墙。
a. 请问，上述三种防火墙都分别工作在IP网络协议栈中的哪个层次上？解：1.包过滤防火墙：网络层2. 基于状态检测的包过滤防火墙：传输层，网络层3. 应用代理防火墙：应用层b. 请问，上述三种防火墙分别能够获得哪些信息？解：1.包过滤防火墙：源IP地址、目的IP地址、源端口、目的端口以及TCP标志位2.基于状态检测的包过滤防火墙：信息包括源IP地址、目的IP地址、源端口、目的端口以及TCP标志位3.应用代理防火墙：七层数据c. 针对上述三种防火墙，请分别简要地讨论一个它们所面临的实际攻击的例子。
解：1.包过滤防火墙：ip欺骗攻击，木马攻击2. 基于状态检测的包过滤防火墙：协议隧道攻击，反弹木马攻击3. 应用代理防火墙：非授权web访问，非授权Telnet访问36. 从广义上讲，有两种不同类型的入侵检测系统，即基于特征的和基于异常行为的。
a. 请列举出基于特征的入侵检测系统相对于基于异常的入侵检测系统的若干优势。
解：1.简单、高效(只要特征的数量不是太多)以及优秀的检测已知攻击的能力。
2.能够发出比较明确具体的报警，因为这些特征都是与一些特定模式的攻击相匹配。
b. 请列举出基于异常的入侵检测系统相对于基于特征的入侵检测系统的若干优势。
解：1.可以检测未知攻击2.可以检测到新的攻击3.对操作系统的依赖性小4.在不知道很多安全知识的情况下依然能检测出攻击行为答：可能检测出未知的攻击；如果特征文件较大的时候，基于异常的检测技术要好一点。
网络安全的入侵检测系统随着互联网的普及和发展，网络安全问题变得愈发突出。
为了保护用户信息和确保网络环境的安全稳定，各种安全技术应运而生。
其中，入侵检测系统（Intrusion Detection System，简称IDS）是一种重要的安全防护措施。
本文将介绍网络安全的入侵检测系统及其作用、分类和实现原理。
一、入侵检测系统的概述入侵检测系统（Intrusion Detection System）是一种通过对网络流量进行监控、检测和分析，来寻找并应对可能的入侵行为的安全设备。
其主要作用是帮助网络管理员发现和响应各种针对网络系统的威胁和攻击，以降低网络系统被入侵的风险。
二、入侵检测系统的分类根据入侵检测系统的部署位置和检测方法，可以将其分为两种常见的分类：主机入侵检测系统（Host-based IDS）和网络入侵检测系统（Network-based IDS）。
1. 主机入侵检测系统主机入侵检测系统部署在网络中的每台主机上，通过监控主机上的系统日志和事件，以及分析主机的行为和进程等信息，来检测是否存在异常活动和潜在的入侵行为。
主机入侵检测系统可以对主机内部的安全事件进行较为详细的分析，但其规模较小，只能保护单个主机。
2. 网络入侵检测系统网络入侵检测系统则部署在网络的关键节点上，通过对网络流量进行实时监测和分析，来检测网络中的入侵行为。
网络入侵检测系统可以对整个网络进行全面的监控，并结合攻击特征库和模式识别算法，快速识别和应对网络攻击事件。
但相对于主机入侵检测系统，网络入侵检测系统对网络资源要求较高，需要投入较大的运维成本。
三、入侵检测系统的实现原理入侵检测系统通过以下步骤实现对网络安全的监测和检测。
1. 流量监测入侵检测系统首先需要对网络流量进行实时监测。
这可以通过物理设备（如交换机、路由器等）上的镜像端口或网络流量监测仪来实现，也可以通过网络流量分析工具来捕获并处理数据包。
2. 流量分析监测到的网络流量将被送到流量分析引擎中进行分析。
