非法获取计算机信息系统数据罪-入侵检测系统分那几几类你了解？


一、计算机网络安全研究的内容

既然存在诸多危害计算机网络安全的因素，自然就为人们提出了一些有待研究的课题。现将主要研究内容介绍如下：

1、主机和终端数据安全性
众所周知，构成一个计算机网络，必须是由若干台主机与终端机相应的电缆连接，在网络软件管理下，才能实现。而一个正在运行的网络，其大量的数据、信息均存放在主机或终端机内、外存中，如何防止非法用户的访问是至关重要的的。在这方面，研究的方法有四种：设置难以被人推断的口令、设置磁卡或密钥识别、设置指纹或声音识别、设置用户特征识别系统。

2、通信途中数据安全性
计算机通信的范围在不断扩大，已远远超出局域网络的管辖区。因此，在传输途中的数据易受到攻击，传统的对策有：一是将通信数据加密使合法收信人以外的人看不懂；二是在通信网上采用分组交换，通过调换分组顺序及变更传送路由防止数据被盗；三是将通信线路与设备放置在外人难以接近的地方，并采用不易被截取的传输方法。

3、整个网络的数据保护
在整个数据通信网络上，必须采取的数据保护措施包括确认通信本身的合法性和保证通信数据的合法性两个方面。依据不同需求有三种保护方法。一是网络管理中心集中管理；二是各主计算机分散管理；三是网络内的交换机分散管理。

二、计算机网络安全保护技术之入侵检测技术

计算机网络安全从技术上讲，目前广泛运用比较成熟的网络安全技术主要是：防火墙技术、数据加密技术、入侵检测技术、防病毒技术等。入侵检测技术是为保证计算机系统的安全设计与配置的一种及时发现并报告系统中被受权或异常现象的技术，是一种用于检测计算机网络中违反安全策略行为的技术。
一个入侵检测系统的功能结构至少包含事件提取、入侵分析、入侵响应和远程管理四部分功能。入侵分析的任务就是在提取到的运行数据中找出入侵的痕迹，将授权的正常访问行为和非授权的不正常访问行为区分开，分析出入侵行为并对入侵者进行定位。入侵响应功能在分析出入侵行为后被触发，根据入侵行为产生响应。
由于单个入侵检测系统的检测能力和检测范围的限制，入侵检测系统一般采用分布监视集中管理的结构，多个检测单元运行于网络中的各个网段或系统上，通过远程管理功能在一台管理站点上实现统一的管理和监控。

三、入侵检测系统分类

入侵检测系统根据其检测数据来源分为两类：基于主机的入侵检测系统和基于网络的入侵检测系统。

1、基于网络的入侵检测系统
基于网络的入侵检测系统通过网络监视来实现数据提取。在Internet中，局域网普遍采用IEEE802.3协议。
该协议定义主机进行数据传输时采用子网广播的方式，任何一台主机发送的数据包，都会在所经过的子网中进行广播，也就是说，任何一台主机接收和发送的数据都可以被同一子网内的其他主机接收。在正常设置下，主机的网卡对每一个到达的数据包进行过滤，只将目的地址是本机的或广播地址的数据包放入接收缓冲区，而将其他数据包丢弃，因此，正常情况下网络上的主机表现为只关心与本机有关的数据包，但是将网卡的接收模式进行适当的设置后就可以改变网卡的过滤策略，使网卡能够接收经过本网段的所有数据包，无论这些数据包的目的地是否是该主机。在其他网络环境下，虽然可能不采用广播的方式传送报文，但目前很多路由设备或交换机都提供数据报文监视功能。

2、基于主机的入侵检测系统
基于主机的入侵检测系统将检测模块驻留在被保护系统上，通过提取被保护系统的运行数据并进行入侵分析来实现入侵检测的功能。
基于主机的入侵检测系统可以有若干种实现方法：检测系统设置以发现不正当的系统设置和系统设置的不正当更改对系统安全状态进行定期检查以发现不正常的安全状态。
基于主机日志的安全审计，通过分析主机日志来发现入侵行为。基于主机的入侵检测系统具有检测效率高，分析代价小，分析速度快的特点，能够迅速并准确地定位入侵者，并可以结合操作系统和应用程序的行为特征对入侵进行进一步分析。目前很多是基于主机日志分析的入侵检测系统。在数据提取的实时性、充分性、可靠性方面基于主机日志的入侵检测系统不如基于网络的入侵检测系统。