入侵检测系统研究
摘要 介绍了入侵检测系统的概念，分析了入侵检测系统的模型；并对现有的入侵检测
系统进行了分类，讨论了入侵检测系统的评价标准，最后对入侵检测系统的发展趋势作了
有意义的预测。
侵被检测到时，主动 IDS 会采用以下三种响应：收集辅助信息；改变环境以堵住导致入侵
发生的漏洞；对攻击者采取行动（这是一种不被推荐的做法，因为行为有点过激）。被动
响应 IDS 则是将信息提供给系统用户，依靠管理员在这一信息的基础上采取进一步的行动
。4 IDS 的评价标准目前的入侵检测技术发展迅速，应
用的技术也很广泛，如何来评价 IDS 的优缺点就显得非常重要。评价 IDS 的优劣主要有这
样几个方面[5]：（1）准确性。准确性是指 IDS 不会标记环境中的一个合法行为为异常或
入侵。（2）性能。IDS 的性能是指处理审计事件的速度。对一个实时 IDS 来说，必须要
求性能良好。（3）完整性。完整性是指 IDS 能检测出所有的攻击。（4）故障容错（fault
tolerance）。当被保护系统遭到攻击和毁坏时，能迅速恢复系统原有的数据和功能。（5
）自身抵抗攻击能力。这一点很重要，尤其是“拒绝服务”攻击。因为多数对目标系统的攻
击都是采用首先用“拒绝服务”攻击摧毁 IDS，再实施对系统的攻击。（6）及时性（
Timeliness）。一个 IDS 必须尽快地执行和传送它的分析结果，以便在系统造成严重危害
之前能及时做出反应，阻止攻击者破坏审计数据或 IDS 本身。除了上述几个主要方面，还
应该考虑以下几个方面：（1）IDS 运行时，额外的计算机资源的开销；（2）误警报率／
漏警报率的程度；（3）适应性和扩展性；（4）灵活性；（5）管理的开销；（6）是否
便于使用和配置。5 IDS 的发展趋随着入侵检测技术的发
展，成型的产品已陆续应用到实践中。入侵检测系统的典型代表是 ISS（国际互联网安全
系统公司）公司的 RealSecure。目前较为著名的商用入侵检测产品还有：NAI 公司的
CyberCop Monitor、Axent 公司的 NetProwler、CISCO 公司的 Netranger、CA 公司的
Sessionwall－3 等。国内的该类产品较少，但发展很快，已有总参北方所、中科网威、启
明星辰等公司推出产品。 人们在完善原有技术的基础上，又在研究新的检测
方法，如数据融合技术，主动的自主代理方法，智能技术以及免疫学原理的应用等。其主
要的发展方向可概括为：（1）大规模分布式入侵检测。传统的入侵检测技术一般只局限
于单一的主机或网络框架，显然不能适应大规模网络的监测，不同的入侵检测系统之间也
不能协同工作。因此，必须发展大规模的分布式入侵检测技术。（2）宽带高速网络的实
时入侵检测技术。大量高速网络的不断涌现，各种宽带接入手段层出不穷，如何实现高速
网络下的实时入侵检测成为一个现实的问题。（3）入侵检测的数据融合技术。目前的
IDS 还存在着很多缺陷。首先，目前的技术还不能对付训练有素的黑客的复杂的攻击。其
次，系统的虚警率太高。最后，系统对大量的数据处理，非但无助于解决问题，还降低了
处理能力。数据融合技术是解决这一系列问题的好方法。（4）与网络安全技术相结合。
结合防火墙，病毒防护以及电子商务技术，提供完整的网络安全保障。6
结束语在目前的计算机安全状态下，基于防火墙、加密技术的安全防护固
然重要，但是，要根本改善系统的安全现状，必须要发展入侵检测技术，它已经成为计算
机安全策略中的核心技术之一。IDS 作为一种主动的安全防护技术，提供了对内部攻击、
外部攻击和误操作的实时保护。随着网络通信技术安全性的要求越来越高，入侵检测技术
必将受到人们的高度重视。
