|
|
| （1）根据原始数据来源，可以分为基于主机的入侵检测系统、基于网络的入侵检测系统和基于应用的入侵检测系统。
|
|
|
| 基于主机的入侵检测系统通过监视与分析主机的审计记录和日志文件来检测入侵，主要用于保护运行关键应用的服务器。
|
|
|
| 基于网络的入侵检测系统侦听网络上的所有分组，采集数据，分析可疑现象，主要用于实时监控网络关键路径的信息。
|
|
|
| 基于应用的入侵检测系统可以说是基于主机的入侵检测系统的一个特殊子集，也可以说是基于主机入侵检测系统实现的进一步细化，所以其特性、优缺点与基于主机的入侵检测系统基本相同，其主要特征是使用监控传感器在应用层收集信息。
|
|
|
| （2）根据检测原理，可以分为异常入侵检测系统和误用入侵检测系统。
|
|
|
| 异常入侵是指能够根据异常行为和使用计算机资源的情况检测出来的入侵。异常入侵检测试图用定量的方式描述可以接受的行为特征，以区分非正常的、潜在的入侵行为。
|
|
|
| 误用入侵检测是指利用已知系统和应用软件的弱点攻击模式来检测入侵，与异常入侵检测不同，误用入侵检测能直接检测不利或不可接受的行为。
|
|
|
| （3）根据体系结构，可以分为集中式入侵检测系统、等级式入侵检测系统和协作式入侵检测系统。
|
|
|
| 集中式的入侵检测系统可能有多个分布于不同主机上的审计程序，但只有一个中央入侵检测服务器。在等级式入侵检测系统中，定义了若干个分等级的监控区域，每个入侵检测系统负责一个区域，每一级入侵检测系统只负责所监控区的分析，然后将当地的分析结果传送给上一级入侵检测系统。协作式入侵检测系统将中央检测服务器的任务分配给多个基于主机的入侵检测系统，这些入侵检测系统不分等级，各司其职，负责监控当地主机的某些活动。
|
|
|
| （4）根据工作方式，可以分为离线检测系统和在线检测系统。
|
|
|
| 离线检测系统是一种非实时工作的系统，在事件发生后分析审计事件，从中检查入侵事件。在线检测对网络数据包或主机的审计事件进行实时分析，可以快速反应，保护系统的安全，但在系统规模较大时，难以保证实时性。
|
|
|
|
|
