|
知识路径: > 入侵检测技术原理与应用 > 入侵检测系统组成与分类 > 基于主机的入侵检测系统 >
|
相关知识点:5个
|
|
|
|
基于主机的入侵检测系统,简称为HIDS。HIDS通过收集主机系统的日志文件、系统调用以及应用程序的使用、系统资源、网络通信和用户使用等信息,分析这些信息是否包含攻击特征或异常情况,并依此来判断该主机是否受到入侵。由于入侵行为会引起主机系统的变化,因此在实际的HIDS产品中,CPU利用率、内存利用率、磁盘空间大小、网络端口使用情况、注册表、文件的完整性、进程信息、系统调用等常作为识别入侵事件的依据。HIDS一般适合检测以下入侵行为:
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
SWATCH(The Simple WATCHer and filer)是Todd Atkins开发的用于实时监视日志的PERL程序。SWATCH利用指定的触发器监视日志记录,当日志记录符合触发器条件时,SWATCH会按预先定义好的方式通知系统管理员。SWATCH有一个很有用的安装脚本,可以将所有的库文件、手册页和PERL文件复制到相应目录下。安装完成后,只要创建一个配置文件,就可以运行程序了。
|
|
|
|
Tripwire是一个文件和目录完整性检测工具软件包,用于协助管理员和用户监测特定文件的变化。Tripwire根据系统文件的规则设置,将已破坏或被篡改的文件通知系统管理员,因而常作为损害控制测量工具。
|
|
|
|
网页防篡改系统的基本作用是防止网页文件被入侵者非法修改,即在页面文件被篡改后,能够及时发现、产生报警、通知管理员、自动恢复。其工作原理是将所要监测的网页文件生成完整性标记,一旦发现网页文件的完整性受到破坏,则启动网页备份系统,恢复正常的网页。
|
|
|
|
. 可以检测基于网络的入侵检测系统不能检测的攻击;
|
|
|
. 基于主机的入侵检测系统可以运行在应用加密系统的网络上,只要加密信息在到达被监控的主机时或到达前解密;
|
|
|
|
|
. 必须在每个被监控的主机上都安装和维护信息收集模块;
|
|
|
. 由于HIDS的一部分安装在被攻击的主机上,HIDS可能受到攻击并被攻击者破坏;
|
|
|
. HIDS占用受保护的主机系统的系统资源,降低了主机系统的性能;
|
|
|
|
|
|