信息网络安全平台验收时，对入侵检测系统必须审查的技术性能指标不包括（）。

免费智能真题库 > 历年试卷 > 信息系统监理师 > 2020年下半年信息系统监理师上午试卷综合知识

第18题

知识点：入侵检测技术性入侵检测系统网络安全性能指标

章/节：安全管理

A. 对外部攻击的检测能力

B. 对国际标准漏洞库的支持能力

C. 部署病毒库的更新功能

D. 高风险事件IP地址分组分析功能

相关试题：安全体系

更多>

第21题 2016年上半年

57%

入侵检测系统一般由数据收集器、检测器、（20）构成。（21）不属于入侵检测系统的功能。

第19题 2017年下半年

62%

以下说法中，不属于防火墙功能的是：（）。

第22题 2013年下半年

57%

下面关于防火墙的说法中，正确的是（22)。


知识点讲解
· 入侵检测 · 技术性 · 入侵检测系统 · 网络安全 · 性能指标

入侵检测

入侵检测是指监视或在可能的情况下，阻止入侵者试图控制自己的系统或网络资源的各种努力。它是用于检测任何损害或企图损害系统的机密性、完整性或可用性的行为的一种网络安全技术。它通过监视受保护系统的状态和活动，采用异常检测或误用检测的方式，发现非授权的或恶意的系统及网络行为，为防范入侵行为提供有效的手段。

入侵检测系统要解决的最基本的两个问题是如何充分并可靠地提取描述行为特征的数据，以及如何根据特征数据，高效并准确地判断行为的性质。由系统的构成来说，通常包括数据源（原始数据）、分析引擎（通过异常检测或误用检测进行分析）和响应（对分析结果采用必要和适当的措施）三个模块。

入侵检测系统所采用的技术可分为特征检测与异常检测两种。

（1）特征检测。假设入侵者活动可以用一种模式来表示，系统的目标是检测主体活动是否符合这些模式。它可以将已有的入侵方法检查出来，但对新的入侵方法无能为力。其难点在于如何设计模式既能够表达“入侵”现象，又不会将正常的活动包含进来。

（2）异常检测。假设入侵者活动异常于正常主体的活动，根据这一理念建立主体正常活动的“活动简档”，将当前主体的活动状况与“活动简档”相比较，当违反其统计规律时，认为该活动可能是“入侵”行为。异常检测的难题在于如何建立“活动简档”及如何设计统计算法，从而不把正常的操作作为“入侵”或忽略真正的“入侵”行为。

入侵检测系统常用的检测方法有特征检测、统计检测与专家系统。据公安部计算机信息系统安全产品质量监督检验中心的报告，国内送检的入侵检测产品中95%是属于使用入侵模板进行模式匹配的特征检测产品，其他5%是采用概率统计的统计检测产品与基于日志的专家知识库系统产品。

（1）特征检测。对已知的攻击或入侵的方式做出确定性的描述，形成相应的事件模式。当被审计的事件与已知的入侵事件模式相匹配时，即报警。原理上与专家系统相仿。其检测方法上与计算机病毒的检测方式类似。目前基于对包特征描述的模式匹配应用较为广泛。该方法预报检测的准确率较高，但对于无经验知识的入侵与攻击行为无能为力。

（2）统计检测。统计模型常用于异常检测，在统计模型中常用的测量参数包括审计事件的数量、间隔时间及资源消耗情况等。常用的入侵检测5种统计模型为操作模型、方差、多元模型、马尔柯夫过程模型和时间序列分析。统计方法的最大点是它可以“学习”用户的使用习惯，从而具有较高检出率与可用性。但是它的“学习”能力也给入侵者以机会通过逐步“训练”使入侵事件符合正常操作的统计规律，从而穿过入侵检测系统。

（3）专家系统。用专家系统对入侵进行检测，经常针对的是有特征入侵行为。所谓的规则，即是知识，不同的系统与设置具有不同的规则，且规则之间往往无通用性。专家系统的建立依赖于知识库的完备性，知识库的完备性又取决于审计记录的完备性与实时性。入侵的特征抽取与表达是入侵检测专家系统的关键。运用专家系统防范有特征入侵行为的有效性完全取决于专家系统知识库的完备性。

技术性

多媒体课件最起码的要求是画面清晰、动画连续、色彩搭配有美感、快慢适度、交互设计合理，有了符合这些要求的技术支撑，制作出的课件才能得以使用、共享。此外还要满足稳定性、易于操作、易于维护等技术特点。

入侵检测系统

入侵检测系统（Intrusion Detection System, IDS）可以弥补防火墙的不足，为网络安全提供实时的入侵检测及采取相应的防护手段，如记录证据、跟踪入侵、恢复或断开网络连接等。

1）基本概念

入侵行为主要是指对系统资源的非授权使用，可以造成系统数据的丢失和破坏、系统拒绝服务等危害。对于入侵检测而言的网络攻击可以分为以下4类。

（1）检查单IP包（包括TCP、UDP）首部即可发觉的攻击，如winnuke、ping of death、land.c、部分OS detection、source routing等。

（2）检查单IP包，并同时要检查数据段信息才能发觉的攻击，如利用CGI漏洞、缓存溢出攻击等。

（3）通过检测发生频率才能发觉的攻击，如端口扫描、SYN Flood、smurf攻击等。

（4）利用分片进行的攻击，如teadrop、nestea、jolt等。

进行入侵检测的软件与硬件的组合就是入侵检测系统。入侵检测系统的原理模型如下图所示。入侵检测通过对计算机网络或计算机系统中的若干关键点收集信息并进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。

入侵检测系统的原理模型

2）任务

入侵检测系统执行的主要任务包括监视、分析用户及系统活动；审计系统构造的弱点；识别、反映已知进攻的活动模式，向相关人士报警；统计分析异常行为模式；评估重要系统和数据文件的完整性；审计、跟踪管理操作系统，识别用户违反安全策略的行为。

3）步骤

入侵检测一般分为3个步骤，依次为信息收集、数据分析、响应（被动响应和主动响应）。

信息收集的内容包括系统、网络、数据及用户活动的状态和行为。入侵检测利用的信息一般来自系统日志、目录以及文件中的异常改变、程序执行中的异常行为及物理形式的入侵信息4个方面。

数据分析是入侵检测的核心。它首先构建分析器，把收集到的信息经过预处理，建立一个行为分析引擎或模型，然后向模型中植入时间数据，在知识库中保存植入数据的模型。数据分析一般通过模式匹配、统计分析和完整性分析3种手段进行。

入侵检测系统在发现入侵后会及时做出响应，包括切断网络连接、记录事件和报警等。响应一般分为主动响应（阻止攻击或影响进而改变攻击的进程）和被动响应（报告和记录所检测出的问题）两种类型。

4）入侵检测系统技术

可以采用概率统计方法、专家系统、神经网络、模式匹配、行为分析等来实现入侵检测系统的检测机制，以分析事件的审计记录，识别特定的模式，生成检测报告和最终的分析结果。

发现入侵检测一般采用如下两项技术。

（1）异常发现技术。异常发现技术假定所有入侵行为都是与正常行为不同的。它的原理是，假设可以建立系统正常行为的轨迹，所有与正常轨迹不同的系统状态则视为可疑企图。异常阈值与特征的选择是其成败的关键。其局限在于：并非所有的入侵都表现为异常，而且系统的轨迹难以计算和更新。

（2）模式发现技术。模式发现技术是假定所有入侵行为和手段（及其变种）都能够表达为一种模式或特征，所有已知的入侵方法都可以用匹配的方法发现。模式发现技术的关键是如何表达入侵的模式，以正确区分真正的入侵与正常行为。模式发现的优点是误报少；局限是只能发现已知的攻击，对未知的攻击无能为力。

5）入侵检测系统的分类

通常，入侵检测系统按其输入数据的来源分为以下3类。

（1）基于主机的入侵检测系统。其输入数据来源于系统的审计日志，一般只能检测该主机上发生的入侵。

（2）基于网络的入侵检测系统。其输入数据来源于网络的信息流，能够检测该网段上发生的网络入侵。

（3）分布式入侵检测系统。能够同时分析来自主机系统审计日志和网络数据流的入侵检测系统，系统由多个部件组成，采用分布式结构。

另外，入侵检测系统还有其他一些分类方法。如根据布控物理位置可分为基于网络边界（防火墙、路由器）的监控系统、基于网络的流量监控系统以及基于主机的审计追踪监控系统；根据建模方法可分为基于异常检测的系统、基于行为检测的系统和基于分布式免疫的系统；根据时间分析可分为实时入侵检测系统和离线入侵检测系统。

6）入侵检测的方法

入侵检测的方法主要有以下几种。

（1）静态配置方法。静态配置方法通过检查系统的当前配置，诸如系统文件的内容或者系统表，来检查系统是否已经或者可能会遭到破坏。静态是指检查系统的静态特征（系统配置信息），而不是系统中的活动。所以，采用静态配置分析方法需要尽可能了解系统的缺陷，否则入侵者只需要简单地利用那些系统中未知的安全缺陷就可以避开检测系统。

（2）异常性检测方法。异常性检测技术是一种在不需要操作系统及其防范安全性缺陷专门知识的情况下，就可以检测入侵者的方法，同时它也是检测冒充合法用户的入侵者的有效方法。但是，在许多环境中，为用户建立正常行为模式的特征轮廓，以及确定用户活动的异常性报警的阈值都是比较困难的事，所以仅使用异常性检测技术不可能检测出所有的入侵行为。

（3）基于行为的检测方法。通过检测用户行为中那些与已知入侵行为模式类似的行为，以及那些利用系统的缺陷或间接违背系统安全规则的行为，来判断系统中的入侵活动。

入侵检测方法虽然能够在某些方面取得好的效果，但总体看来各有不足，因而越来越多的入侵检测系统都同时采用几种方法，以互补不足，共同完成检测任务。

7）入侵检测系统的结构

目前，CIDF（通用入侵检测架构组织）和IETF都试图对入侵检测系统进行标准化。CIDF阐述了一个入侵检测系统的通用模型，将入侵检测系统分为以下4个组件。

（1）事件产生器。CIDF将入侵检测系统需要分析的数据统称为事件，它可以是网络中的数据包，也可以是从系统日志等其他途径得到的信息。事件产生器是从整个计算环境中获得事件，并向系统的其他部分提供此事件。

（2）事件分析器。事件分析器分析得到的数据，并产生分析结果。

（3）响应单元。响应单元则是对分析结果做出反应的功能单元，它可以做出切断连接、改变文件属性等强烈反应，也可以是简单的报警。

（4）事件数据库。事件数据库是存放各种中间和最终数据的地方的统称，它可以是复杂的数据库，也可以是简单的文本文件。

在这个模型中，前三者以程序的形式出现，而最后一个常是文件或数据流。入侵检测系统的几个组件常位于不同的主机上。一般会有3台机器，分别运行事件产生器、事件分析器和响应单元。

8）入侵检测系统的标准化

IETF的Internet草案工作组（IDWG）专门负责定义入侵检测系统组件之间，以及不同厂商的入侵检测系统之间的通信格式，目前只有相关的草案（Draft），还未形成正式的RFC文档。IDWG文档有以下4类。

（1）入侵警报协议（IAP）。该协议是用于交换入侵警报信息、运行于TCP之上的应用层协议。

（2）入侵检测交换协议（IDXP）。这个应用层协议是在入侵检测实体间交换数据，提供入侵检测报文交换格式（IDMEF）报文、无结构的文本和二进制数据的交换。

（3）IDMEF。IDMEF是数据存放格式隧道（Tunnel）文件，允许块可扩展交换协议（Beep）对等体能作为一个应用层代理，用户通过防火墙得到服务。

（4）IAP。IAP是最早设计的通信协议，它将被IDXP替换，IDXP建立在Beep基础之上，Tunnel文件配合IDXP使用。

9）IDS与防火墙的比较

IDS不同于防火墙的是，它是一个监听设备，没有挂接在任何链路上，无须网络流量流经它便可以工作。因此，对IDS的部署，唯一的要求是：IDS应当挂接在所有所关注流量都必须流经的链路上。在这里，"所关注流量"指的是来自高危网络区域的访问流量和需要进行统计、监视的网络报文。在如今的网络拓扑中，已经很难找到以前的Hub式的共享介质冲突域的网络，绝大部分的网络区域都已经全面升级到交换式的网络结构。因此，IDS在交换式网络中的位置一般选择在：尽可能靠近攻击源和受保护资源。这些位置通常是：服务器区域的交换机，Internet接入路由器之后的第一台交换机，重点保护网段的局域网交换机等。两者的不同点如下表所示。

IDS与防火墙功能的比较

网络安全

随着互联网的飞速发展，网络安全问题已经越来越受到大家广泛的关注，各种病毒花样繁多、层出不穷；系统、程序、软件的安全漏洞越来越多；黑客们通过不正当手段侵入他人电脑，非法获得信息资料，给正常使用互联网的用户带来不可估计的损失。由于目前网络经常受到人为的破坏，因此，网络必须有足够强的安全措施。

计算机网络的安全问题

计算机网络安全就其本质而言是网络上的信息安全。从广义上讲，凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论，都是网络安全的研究领域。简单来讲，网络安全包括：系统不被侵入、数据不丢失以及网络中的计算机不被病毒感染三大方面。完整的网络安全要求：

.运行系统安全

.网络上系统信息的安全

.网络上信息传播的安全

.网络上信息内容的安全

网络安全应具有保密性、完整性、可用性、可控性以及可审查性几大特征。网络的安全层次分为物理安全、控制安全、服务安全和协议安全。

物理安全

物理安全包括：自然灾害、物理损坏、设备故障、意外事故、人为的电磁泄漏、信息泄漏、干扰他人、受他人干扰、乘机而入、痕迹泄露、操作失误、意外疏漏、计算机系统机房环境的安全漏洞等。

控制安全

控制安全包括：计算机操作系统的安全控制、网络接口模块的安全控制、网络互联设备的安全控制等。

服务安全

服务安全包括：对等实体认证服务、访问控制服务、数据加密服务、数据完整性服务、数据源点认证服务、禁止否认服务等。

TCP/IP协议安全

TCP/IP协议安全主要用于解决：TCP/IP协议数据流采用明文传输、源地址欺骗（Source address spoofing）或IP欺骗（IP spoofing）、源路由选择欺骗（Source Routing spoofing）、路由信息协议攻击（RIP Attacks）、鉴别攻击（Authentication Attacks）、TCP序列号欺骗攻击（TCP SYN Flooding Attack）、易欺骗性（Ease of spoofing）等。

计算机网络的安全威胁主要表现在：非授权访问、信息泄漏或丢失、破坏数据完整性、拒绝服务攻击、利用网络传播病毒、使用者的人为因素、硬件和网络设计的缺陷、协议和软件自身的缺陷以及网络信息的复杂性等方面。

下面介绍一些常见的信息安全技术。

数据的加密与解密

随着计算机网络不断渗透到各个领域，密码学的应用也随之扩大。数字签名、身份鉴别等都是由密码学派生出来的新技术和应用。

在计算机上实现的数据加密，其加密或解密变换是由密钥控制实现的。密钥（Keyword）是用户按照一种密码体制随机选取，它通常是一随机字符串，是控制明文和密文变换的唯一参数。

密码技术除了提供信息的加密解密外，还提供对信息来源的鉴别、保证信息的完整和不可否认等功能，而这三种功能都是通过数字签名实现。数字签名的原理是将要传送的明文通过一种函数运算（Hash）转换成报文摘要（不同的明文对应不同的报文摘要），报文摘要加密后与明文一起传送给接受方，接受方将接受的明文产生新的报文摘要与发送方的发来报文摘要解密比较，比较结果一致表示明文未被改动，如果不一致表示明文已被篡改。

数据加密技术是为提高信息系统及数据的安全性和保密性，防止秘密数据被外部破译所采用的主要技术手段之一，也是网络安全的重要技术。

根据密钥类型不同将现代密码技术分为两类：一类是对称加密（秘密钥匙加密）系统，另一类是公开密钥加密（非对称加密）系统。

对称钥匙加密系统是加密和解密均采用同一把秘密钥匙，而且通信双方都必须获得这把钥匙，并保持钥匙的秘密。它的安全性依赖于以下两个因素。第一，加密算法必须是足够强的，仅仅基于密文本身去解密信息在实践上是不可能的；第二，加密方法的安全性依赖于密钥的秘密性，而不是算法的秘密性，因此，没有必要确保算法的秘密性，而需要保证密钥的秘密性。对称加密系统的算法实现速度极快。因为算法不需要保密，所以制造商可以开发出低成本的芯片以实现数据加密。这些芯片有着广泛的应用，适合于大规模生产。对称加密系统最大的问题是密钥的分发和管理非常复杂、代价高昂。比如对于具有n个用户的网络，需要n（n-1）/2个密钥，在用户群不是很大的情况下，对称加密系统是有效的。但是对于大型网络，当用户群很大，分布很广时，密钥的分配和保存就成了大问题。对称加密算法另一个缺点是不能实现数字签名。

公开密钥加密系统采用的加密钥匙（公钥）和解密钥匙（私钥）是不同的。由于加密钥匙是公开的，密钥的分配和管理就很简单，比如对于具有n个用户的网络，仅需要2n个密钥。公开密钥加密系统还能够很容易地实现数字签名。因此，最适合于电子商务应用需要。在实际应用中，公开密钥加密系统并没有完全取代对称密钥加密系统，这是因为公开密钥加密系统是基于尖端的数学难题，计算非常复杂，它的安全性更高，但它的实现速度却远赶不上对称密钥加密系统。在实际应用中可利用二者的各自优点，采用对称加密系统加密文件，采用公开密钥加密系统加密“加密文件”的密钥（会话密钥），这就是混合加密系统，它较好地解决了运算速度问题和密钥分配管理问题。因此，公钥密码体制通常被用来加密关键性的、核心的机密数据，而对称密码体制通常被用来加密大量的数据。

防火墙技术

防火墙是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合，以防止发生不可预测的、潜在破坏性的侵入。实际上，它包含着一对矛盾（或称机制）：一方面它限制数据流通，另一方面它又允许数据流通。

作为内部网络与外部公共网络之间的第一道屏障，防火墙是最先受到人们重视的网络安全产品之一。虽然从理论上看，防火墙处于网络安全的最底层，负责网络间的安全认证与传输，但随着网络安全技术的整体发展和网络应用的不断变化，现代防火墙技术已经逐步走向网络层之外的其他安全层次，不仅要完成传统防火墙的过滤任务，同时还能为各种网络应用提供相应的安全服务。另外还有多种防火墙产品正朝着数据安全与用户认证、防止病毒与黑客侵入等方向发展。

常见的防火墙主要有数据包过滤型防火墙、应用级网关型防火墙、代理服务型防火墙、复合型防火墙等几种类型。典型的防火墙包括过滤器、链路级网关和应用级网关或代理服务器，如下图所示。

安装防火墙的作用在于弥补网络服务的脆弱性、控制对网络的存取、集中的安全管理、网络使用情况的记录及统计。但是它仍然有局限性，对于下列情况，它不能防范：绕过防火墙的攻击、来自内部变节者和不经心的用户带来的威胁、变节者或公司内部存在的间谍将数据复制到软盘、传送已感染病毒的软件或文件等。

在使用防火墙前，应该设计好防火墙的规则。它包括下列内容：防火墙的行为准则（拒绝没有特别允许的任何服务、允许没有特别拒绝的任何服务）、机构的安全策略、费用、系统的组件或构件。

防火墙的组成

网络安全协议

下面介绍几种常见的网络安全协议。

SSH （Secure Shell）

由芬兰的一家公司开发的。通过使用SSH，可以把所有传输的数据进行加密，抵御“中间人”攻击，而且也能够防止DNS和IP欺骗。由于传输的数据是经过压缩的，所以还可以加快传输的速度。

SSH由客户端和服务端的软件组成的。从客户端来看，SSH提供两种级别的安全验证：基于密码的安全验证和基于密匙的安全验证。

PKI （Public Key Infrastructure）

PKI体系结构采用证书管理公钥，通过第三方的可信机构CA，把用户的公钥和用户的其他标识信息（如名称、E-mail、身份证号等）捆绑在一起，在Internet网上验证用户的身份，PKI体系结构把公钥密码和对称密码结合起来，在Internet网上实现密钥的自动管理，保证网上数据的机密性、完整性。一个典型、完整、有效的PKI应用系统至少应具有：公钥密码证书管理、黑名单的发布和管理、密钥的备份和恢复、自动更新密钥以及自动管理历史密钥等几部分。

（1） SET （Secure Electronic Transaction）。

SET安全电子交易协议是由美国Visa和MasterCard两大信用卡组织提出的应用于Internet上的以信用卡为基础的电子支付系统协议。它采用公钥密码体制和X.509数字证书标准，主要应用于B to C模式中保障支付信息的安全性。SET协议本身比较复杂，设计比较严格，安全性高，它能保证信息传输的机密性、真实性、完整性和不可否认性。

（2） SSL （Secure socket Layer&Security Socket Layer）。

安全套接层协议（SSL）是网景（Netscape）公司提出的基于Web应用的安全协议，包括：服务器认证、客户认证（可选）、SSL链路上的数据完整性和SSL链路上的数据保密性。对于电子商务应用来说，使用SSL可保证信息的真实性、完整性和保密性。但由于SSL不对应用层的消息进行数字签名，因此不能提供交易的不可否认性，这是SSL在电子商务中使用的最大不足。

性能指标

对于各种类的双绞线，用户所关心的能够代表其特征的性能指标有衰减、近端串扰、阻抗特性、分布电容、直流电阻等。

（1）衰减（Attenuation）。衰减是沿链路的信号损失度量。衰减与线缆的长度有关系，随着长度的增加，信号衰减也随之增加。衰减用dB作单位，表示源传送端信号到接收端信号强度的比率。又因为衰减随频率而变化，所以应该测量在应用范围内的全部频率上的衰减。

（2）近端串扰（Near-End Crosstalk Loss，NEXT）。串扰可分为近端串扰和远端串扰（Far-End Crosstalk Loss，FEXT），测试仪主要是测量NEXT，由于存在线路损耗，因此FEXT的量值的影响较小，在三类、五类线缆中可以忽略不计。近端串扰损耗是测量一条UTP链路中从一对线到另一对线的信号耦合。对于UTP链路，NEXT是一个关键的性能指标，也是最难精确测量的一个指标。随着信号频率的增加，其测量难度将加大。NEXT并不表示在近端点所产生的串扰值，只是表示在近端点所测量到的串扰值。这个量值会随电缆长度不同而变，电缆越长，其值变得越小。同时发送端的信号也会衰减，对其他线对的串扰也相对变小。实验证明，只有在40m内测量得到的NEXT是较真实的。如果另一端是远于40m的信息插座，那么它会产生一定程度的串扰，但测试仪可能无法测量到这个串扰值。因此，最好在两个端点都进行NEXT测量。现在的测试仪都配有相应设备，使得在链路一端就能测量出两端的NEXT值。

（3）直流电阻。直流环路电阻会消耗一部分信号，并将其转变成热量。它是指一对导线电阻的和，11801规格的双绞线的直流电阻不得大于19.2Ω。每对间的差异不能太大（小于0.1Ω），否则表示接触不良，必须检查连接点。

（4）特性阻抗。与环路直流电阻不同，特性阻抗包括电阻及频率为1～100MHz的电感阻抗及电容阻抗，它与一对电线之间的距离及绝缘体的电气性能有关。各种电缆有不同的特性阻抗，而双绞线电缆则有100Ω、120Ω及150Ω几种（其中，120Ω的线缆在中国不生产）。

（5）衰减串扰比（Attenuation-to-Crosstalk Ratio，ACR）。在某些频率范围，串扰与衰减量的比例关系是反映电缆性能的另一个重要参数。ACR有时也以信噪比（Signal-Noise Ratio，SNR）表示，它由最差的衰减量与NEXT量值的相减得到的。ACR值越大，表示抗干扰的能力越强。一般系统要求至少大于10dB。

题号导航 2020年下半年信息系统监理师上午试卷综合知识

本试卷我的完整做题情况



	第18题在手机中做本题