CISP-2-入侵检测

第1篇一、实验背景随着信息技术的飞速发展，网络安全问题日益凸显。

入侵检测技术作为网络安全的重要手段，能够实时监控网络系统的运行状态，及时发现并阻止非法入侵行为，保障网络系统的安全稳定运行。

本实验旨在通过构建一个入侵智能检测系统，验证其有效性，并分析其性能。

二、实验目的1. 理解入侵检测技术的基本原理和实现方法。

2. 掌握入侵检测系统的构建过程。

3. 评估入侵检测系统的性能，包括检测准确率、误报率和漏报率。

4. 分析实验结果，提出改进建议。

三、实验材料与工具1. 实验材料：KDD CUP 99入侵检测数据集。

2. 实验工具：Python编程语言、Scikit-learn库、Matplotlib库。

四、实验方法1. 数据预处理：对KDD CUP 99入侵检测数据集进行预处理，包括数据清洗、特征选择、归一化等操作。

2. 模型构建：选择合适的入侵检测模型，如支持向量机（SVM）、随机森林（Random Forest）等，进行训练和测试。

3. 性能评估：通过混淆矩阵、精确率、召回率等指标评估入侵检测系统的性能。

4. 实验结果分析：分析实验结果，总结经验教训，提出改进建议。

五、实验步骤1. 数据预处理（1）数据清洗：删除缺失值、异常值和重复数据。

（2）特征选择：根据相关性和重要性选择特征，如攻击类型、服务类型、协议类型等。

（3）归一化：将数据特征进行归一化处理，使其在相同的量级上。

2. 模型构建（1）选择模型：本实验选择SVM和Random Forest两种模型进行对比实验。

（2）模型训练：使用预处理后的数据对所选模型进行训练。

（3）模型测试：使用测试集对训练好的模型进行测试，评估其性能。

3. 性能评估（1）混淆矩阵：绘制混淆矩阵，分析模型的检测准确率、误报率和漏报率。

（2）精确率、召回率：计算模型的精确率和召回率，评估其性能。

4. 实验结果分析（1）对比SVM和Random Forest两种模型的性能，分析其优缺点。

CISP考试(习题卷1)第1部分：单项选择题，共94题，每题只有一个正确答案,多选或少选均不得分。

1.[单选题]制定应急响应策略主要需要考虑A)系统恢复能力等级划分B)系统恢复资源的要求C)费用考虑D)人员考虑答案:D解析:2.[单选题]信息安全风险评估师信息安全风险管理工作中的重要环节。

在《关于开展信息安全 风险评估工作的意见》（国信办[2006]5 号）中，指出了风险评估分为自评估和检 查评估两种形式，并对两种工作形式提出了有关工作原则和要求。

下面选项中描述 错误的是？A)自评估是由信息系统拥有、运营或使用单位发起的对本单位信息系统进行 的风险评估B)检查评估是指信息系统上级管理部门组织的国家有关职能部门依法开展的 风险评估C)信息安全风险评估应以自评估为主，自评估和检查评估相互结合、互为补 充D)自评估和检查评估是相互排斥的，单位应慎重地从两种工作形式选择一个， 并坚持使用答案:D解析:3.[单选题]区别脆弱性评估和渗透测试是脆弱性评估A)检查基础设施并探测脆弱性，然而穿透性测试目的在于通过脆弱性检测其可能带来的损失B)和渗透测试为不同的名称但是同一活动C)是通过自动化工具执行，而渗透测试是一种完全的手动过程D)是通过商业工具执行，而渗透测试是执行公共进程答案:A解析:4.[单选题]某个新成立的互联网金融公司拥有 10 个与互联网直接连接的 IP 地址，但是该网 络内有 15 台个人计算机，这些个人计算机不会同时开机并连接互联网。

为解决公司员 工的上网问题，公司决定将这 10 个互联网地址集中起来使用，当任意一台个人计算机 开机并连接网络时，管理中心从这 10 个地址中任意取出一个尚未分配的 IP 地址分配给 这个人的计算机。

他关机时，管理中心将该地为收回，并重新设置为未分配。

可见，只 要同时打开的个人计算机数量少于或等于可供分配的 IP 地址，那么，每台个人计算机 可以获取一个 IP 地址，并实现与互联网的连接。

网络安全中的入侵检测技术综述网络安全是当今社会中的一个重要议题，随着互联网的普及和信息技术的迅速发展，网络攻击和入侵事件屡见不鲜。

为了保护网络系统和用户的安全，研究人员和安全专家们积极探索各种入侵检测技术。

本文将综述几种常见的入侵检测技术，并分析它们的特点和应用。

一、入侵检测技术的概念入侵检测技术（Intrusion Detection Technology）是指通过对网络通信流量、系统日志、主机状态等进行监控和分析，及时发现和识别已发生或即将发生的入侵行为。

其目的是快速准确地发现并阻止潜在的安全威胁，保护网络系统和用户的数据安全。

二、基于签名的入侵检测技术基于签名的入侵检测技术（signature-based intrusion detection）是一种传统而有效的检测方法。

它通过预定义的规则集合，检测网络流量中是否存在已知的攻击模式。

这种技术的优点在于准确率高，适用于已知攻击的检测。

然而，缺点也显而易见，就是无法检测未知攻击和变异攻击。

三、基于异常行为的入侵检测技术基于异常行为的入侵检测技术（anomaly-based intrusion detection）通过建立正常行为模型，检测网络流量中的异常行为。

相比于基于签名的方法，这种技术更具有普遍性，能够发现未知攻击。

然而，误报率较高是其主要问题之一，因为正常行为的变化也会被误判为异常。

四、混合型入侵检测技术为了克服单一方法的局限性，许多研究者提出了混合型入侵检测技术。

这些方法综合了基于签名和基于异常行为的特点，在检测效果上有所提高。

其中，流量分析、机器学习、数据挖掘等技术的应用，使得混合型入侵检测技术更加精准和智能化。

五、网络入侵检测系统的架构网络入侵检测系统（Intrusion Detection System，简称IDS）是实现入侵检测的关键组件。

其整体架构包括数据采集、数据处理、检测分析、警报响应等模块。

数据采集模块负责收集网络流量、日志信息等数据；数据处理模块负责对采集到的数据进行预处理和分析；检测分析模块负责使用各种入侵检测技术进行实时监测和分析；警报响应模块负责生成报警信息并采取相应的应对措施。

CISP考试认证(习题卷29)第1部分：单项选择题，共92题，每题只有一个正确答案,多选或少选均不得分。

1.[单选题]基于网络的入侵检测系统的信息源是____。

A)A 系统的审计日志B)B 系统的行为数据C)C 应用程序的事务日志文件D)D 网络中的数据包答案:D解析:2.[单选题]以下哪个工具不可以抓取HTTP数据包?()A)BurpsuiteB)WiresharkC)FiddlerD)Nmap答案:D解析:3.[单选题]某贸易公司的 OA 系统由于存在系统漏洞,被攻击者上传了木马病毒并删除了系统中的数据,由于系统备份是每周六进行一次,事件发生时间为周三,因此导致该公司三个工作日的数据丢失并使得 OA 系统在随后两 天内无法访问,影响到了与公司有业务往来部分公司业务。

在事故处理报告中,根据 GB/Z20968-2007《信 息安全事件分级分类指南》,该事件的准确分类和定级应该是()A)有害程序事件 特别重大事件(I 级)B)信息破坏事件 重大事件(II 级)C)有害程序事件 较大事件(III 级)D)信息破坏事件 一般事件(IV 级)答案:D解析:4.[单选题]下面对SSE-CMM说法错误的是？A)它通过域维和能力维共同形成对安全工程能力的评价B)域维定义了工程能力的所有实施活动C)能力维定义了工程能力的判断标注D)“公共特征”是域维中对获得过程区目标的必要步骤的定义81在SSE-CMM中对工程过程能力的评价分为三个层次，由宏观到微观依次是 AA能力级别-公共特征（CF）-通用实践（GP）B能力级别-通用实践-（GP）-公共特征（CF）C通用实践-（GP）-能力级别-公共特征（CF）D公共特征（CF）-能力级别-通用实践-（GP）、答案:D解析:5.[单选题]100. 在国家标准CB/T20274.1-2006《信息安全技术信息系统安全保障评估框架第一部分：简介和一般模型》中，信息系统安全保障模型包含哪几个方面?()A)保障要素、生命周期和运行维护B)保障要素、生命周期和安全特征C)规划组织、生命周期和安全特征D)规划组织、生命周期和运行维护答案:B解析:6.[单选题]如图所示，主机 A 向主机 B 发出的数据采用 AH 或者 ESP 的传输模式对流量进行保护时， 主机 A 和主机 B 的 IP 地址在应该在下列哪个范围？A)10.0.0.0~10.255.255.255B)172.16.0.0~172.31.255.255C)192.168.0.0~192.168.255.255D)不在上述范围内答案:D解析:7.[单选题]24.有关数据的使用，错误的是？A)告诉用户需要收集什么数据及搜集到的数据会如何被使用B)当用户的数据由于某种原因要被使用时，给客户选择是否允许C)用户提交的用户名和密码属于隐私数据，其他都不是D)确保数据的使用符合国家、地方、行业的相关法律法规答案:C解析:8.[单选题]PDCERF 方法是信息安全应急响应工作中常用的一种方法，它将应急响应分成六个阶段。