一旦檢測到了攻擊行為，IDS的響應(yīng)模塊就提供多種選項(xiàng)以通知、報(bào)警并對攻擊采取相應(yīng)的反應(yīng)。反應(yīng)因產(chǎn)品而異，但通常都包括通知管理員、中斷連接并且/或?yàn)榉ㄍシ治龊妥C據(jù)收集而做的會話記錄。

基于主機(jī)的入侵檢測

基于主機(jī)的入侵檢測出現(xiàn)在80年代初期，那時(shí)網(wǎng)絡(luò)還沒有今天這樣普遍、復(fù)雜，且網(wǎng)絡(luò)之間也沒有完全連通。在這一較為簡單的環(huán)境里，檢查可疑行為的檢驗(yàn)記錄是很常見的操作。由于入侵在當(dāng)時(shí)是相當(dāng)少見的，在對攻擊的事后分析就可以防止今后的攻擊。

現(xiàn)在的基于主機(jī)的入侵檢測系統(tǒng)保留了一種有力的工具，以理解以前的攻擊形式，并選擇合適的方法去抵御未來的攻擊?；谥鳈C(jī)的IDS仍使用驗(yàn)證記錄，但自動化程度大大提高，并發(fā)展了精密的可迅速做出響應(yīng)的檢測技術(shù)。

通常，基于主機(jī)的IDS可監(jiān)探系統(tǒng)、事件和Window NT下的安全記錄以及UNIX環(huán)境下的系統(tǒng)記錄。當(dāng)有文件發(fā)生變化時(shí)，IDS將新的記錄條目與攻擊標(biāo)記相比較，看它們是否匹配。如果匹配，系統(tǒng)就會向管理員報(bào)警并向別的目標(biāo)報(bào)告，以采取措施。

基于主機(jī)的IDS在發(fā)展過程中融入了其它技術(shù)。對關(guān)鍵系統(tǒng)文件和可執(zhí)行文件的入侵檢測的一個(gè)常用方法，是通過定期檢查校驗(yàn)和來進(jìn)行的，以便發(fā)現(xiàn)意外的變化。反應(yīng)的快慢與輪詢間隔的頻率有直接的關(guān)系。最后，許多產(chǎn)品都是監(jiān)聽端口的活動，并在特定端口被訪問時(shí)向管理員報(bào)警。這類檢測方法將基于網(wǎng)絡(luò)的入侵檢測的基本方法融入到基于主機(jī)的檢測環(huán)境中。

基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)的優(yōu)點(diǎn)

基于網(wǎng)絡(luò)的IDS有許多僅靠基于主機(jī)的入侵檢測法無法提供的優(yōu)點(diǎn)。實(shí)際上，許多客戶在最初使用IDS時(shí)，都配置了基于網(wǎng)絡(luò)的入侵檢測，因?yàn)樗鼡碛谐杀据^低并且反應(yīng)速度快。以下的內(nèi)容主要說明了基于網(wǎng)絡(luò)的入侵檢測稱為安全策略的實(shí)施中的重要組件的主要原因。

1. 擁有成本較低－基于網(wǎng)絡(luò)的IDS可在幾個(gè)關(guān)鍵訪問點(diǎn)上進(jìn)行策略配置，以觀察發(fā)往多個(gè)系統(tǒng)的網(wǎng)絡(luò)通信。所以它不要求在許多主機(jī)上裝載并管理軟件。由于需監(jiān)測的點(diǎn)較少，因此對于一個(gè)公司的環(huán)境來說，擁有成本很低。

2. 檢測基于主機(jī)的系統(tǒng)漏掉的攻擊－基于網(wǎng)絡(luò)的IDS檢查所有包的頭部從而發(fā)現(xiàn)惡意的和可疑的行動跡象?；谥鳈C(jī)的IDS無法查看包的頭部，所以它無法檢測到這一類型的攻擊。例如，許多來自于IP地址的拒絕服務(wù)型（DOS）和碎片包型（Teardrop）的攻擊只能在它們經(jīng)過網(wǎng)絡(luò)時(shí)，檢查包的頭部才能發(fā)現(xiàn)。這種類型的攻擊都可以在基于網(wǎng)絡(luò)的系統(tǒng)中通過實(shí)時(shí)監(jiān)測包流而被發(fā)現(xiàn)。

基于網(wǎng)絡(luò)的IDS可以檢查有效負(fù)載的內(nèi)容，查找用于特定攻擊的指令或語法。例如，通過檢查數(shù)據(jù)包有效負(fù)載可以查到黑客軟件，而使正在尋找系統(tǒng)漏洞的攻擊者毫無察覺。正如上面說的，基于主機(jī)的系統(tǒng)不檢查有效負(fù)載，所以不能辯認(rèn)有效負(fù)載中所包含的攻擊信息。

3. 攻擊者不易轉(zhuǎn)移證據(jù)－基于網(wǎng)絡(luò)的IDS使用正在發(fā)生的網(wǎng)絡(luò)通訊進(jìn)行實(shí)時(shí)攻擊的檢測。所以攻擊者無法轉(zhuǎn)移證據(jù)。被捕獲的數(shù)據(jù)不僅包括的攻擊的方法，而且還包括可識別黑客身份和對其進(jìn)行起訴的信息。許多黑客都熟知審記記錄，他們知道如何操縱這些文件掩蓋他們的作案痕跡，如何阻止需要這些信息的基于主機(jī)的系統(tǒng)去檢測入侵。

4. 實(shí)時(shí)檢測和響應(yīng)－基于網(wǎng)絡(luò)的IDS可以在惡意及可疑的攻擊發(fā)生的同時(shí)將其檢測出來，并做出更快的通知和響應(yīng)。例如，一個(gè)基于TCP的對網(wǎng)絡(luò)進(jìn)行的拒絕服務(wù)攻擊（DOS）可以通過將基于網(wǎng)絡(luò)的IDS發(fā)出TCP復(fù)位信號，在該攻擊對目標(biāo)主機(jī)造成破壞前，將其中斷。而基于主機(jī)的系統(tǒng)只有在可疑的登錄信息被記錄下來以后才能識別攻擊并做出反應(yīng)。而這時(shí)關(guān)鍵系統(tǒng)可能早就遭到了破壞，或是運(yùn)行基于主機(jī)的IDS的系統(tǒng)已被摧毀。實(shí)時(shí)通知時(shí)可根據(jù)預(yù)定義的參數(shù)做出快速反應(yīng)，這些反應(yīng)包括將攻擊設(shè)為監(jiān)視模式以收集信息，立即中止攻擊等。

5. 檢測未成功的攻擊和不良意圖－基于網(wǎng)絡(luò)的IDS增加了許多有價(jià)值的數(shù)據(jù)，以判別不良意圖。即便防火墻可以正在拒絕這些嘗試，位于防火墻之外的基于網(wǎng)絡(luò)的IDS可以查出躲在防火墻后的攻擊意圖?；谥鳈C(jī)的系統(tǒng)無法查到從未攻擊到防火墻內(nèi)主機(jī)的未遂攻擊，而這些丟失的信息對于評估和優(yōu)化安全策略是至關(guān)重要的。

6. 操作系統(tǒng)無關(guān)性－基于網(wǎng)絡(luò)的IDS作為安全監(jiān)測資源，與主機(jī)的操作系統(tǒng)無關(guān)。與之相比，基于主機(jī)的系統(tǒng)必須在特定的、沒有遭到破壞的操作系統(tǒng)中才能正常工作，生成有用的結(jié)果。

基于主機(jī)的入侵檢查系統(tǒng)的優(yōu)點(diǎn)

盡管基于主機(jī)的入侵檢查系統(tǒng)不如基于網(wǎng)絡(luò)的入侵檢查系統(tǒng)快捷，但它確實(shí)具有基于網(wǎng)絡(luò)的系統(tǒng)無法比擬的優(yōu)點(diǎn)。這些優(yōu)點(diǎn)包括：更好的辯識分析、對特殊主機(jī)事件的緊密關(guān)注及低廉的成本。基于主機(jī)的入侵偵查系統(tǒng)包括：

1．確定攻擊是否成功－由于基于主機(jī)的IDS使用含有已發(fā)生事件信息，它們可以比基于網(wǎng)絡(luò)的IDS更加準(zhǔn)確地判斷攻擊是否成功。在這方面，基于主機(jī)的IDS是基于網(wǎng)絡(luò)的IDS完美補(bǔ)充，網(wǎng)絡(luò)部分可以盡早提供警告，主機(jī)部分可以確定攻擊成功與否。

2． 監(jiān)視特定的系統(tǒng)活動－基于主機(jī)的IDS監(jiān)視用戶和訪問文件的活動，包括文件訪問、改變文件權(quán)限，試圖建立新的可執(zhí)行文件并且／或者試圖訪問特殊的設(shè)備。例如，基于主機(jī)的IDS可以監(jiān)督所有用戶的登錄及下網(wǎng)情況，以及每位用戶在聯(lián)結(jié)到網(wǎng)絡(luò)以后的行為。對于基于網(wǎng)絡(luò)的系統(tǒng)經(jīng)要做到這個(gè)程度是非常困難的。

基于主機(jī)技術(shù)還可監(jiān)視只有管理員才能實(shí)施的非正常行為。操作系統(tǒng)記錄了任何有關(guān)用戶帳號的增加，刪除、更改的情況，只要改動一且發(fā)生，基于主機(jī)的IDS就能檢察測到這種不適當(dāng)?shù)母膭?。基于主機(jī)的IDS還可審計(jì)能影響系統(tǒng)記錄的校驗(yàn)措施的改變。

最后，基于主機(jī)的系統(tǒng)可以監(jiān)視主要系統(tǒng)文件和可執(zhí)行文件的改變。系統(tǒng)能夠查出那些欲改寫重要系統(tǒng)文件或者安裝特洛伊木馬或后門的嘗試并將它們中斷。而基于網(wǎng)絡(luò)的系統(tǒng)有時(shí)會查不到這些行為。

3． 能夠檢查到基于網(wǎng)絡(luò)的系統(tǒng)檢查不出的攻擊－基于主機(jī)的系統(tǒng)可以檢測到那些基于網(wǎng)絡(luò)的系統(tǒng)察覺不到的攻擊。例如，來自主要服務(wù)器鍵盤的攻擊不經(jīng)過網(wǎng)絡(luò)，所以可以躲開基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)。

4． 適用被加密的和交換的環(huán)境－由于基于主機(jī)的系統(tǒng)安裝在遍布企業(yè)的各種主機(jī)上，它們比基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)更加適于交換的和加密的環(huán)境。

交換設(shè)備可將大型網(wǎng)絡(luò)分成許多的小型網(wǎng)絡(luò)部件加以管理，所以從覆蓋足夠大的網(wǎng)絡(luò)范圍的角度出發(fā)，很難確定配置基于網(wǎng)絡(luò)的IDS的最佳位置。業(yè)務(wù)映射和交換機(jī)上的管理端口有助于此，但這些技術(shù)有時(shí)并不適用。基于主機(jī)的入侵檢測系統(tǒng)可安裝在所需的重要主機(jī)上，在交換的環(huán)境中具有更高的能見度。

某些加密方式也向基于網(wǎng)絡(luò)的入侵檢測發(fā)出了挑戰(zhàn)。由于加密方式位于協(xié)議堆棧內(nèi)，所以基于網(wǎng)絡(luò)的系統(tǒng)可能對某些攻擊沒有反應(yīng)，基于主機(jī)的IDS沒有這方面的限制,當(dāng)操作系統(tǒng)及基于主機(jī)的系統(tǒng)看到即將到來的業(yè)務(wù)時(shí)，數(shù)據(jù)流已經(jīng)被解密了。

5． 近于實(shí)時(shí)的檢測和響應(yīng)－盡管基于主機(jī)的入侵檢測系統(tǒng)不能提供真正實(shí)時(shí)的反應(yīng)，但如果應(yīng)用正確，反應(yīng)速度可以非常接近實(shí)時(shí)。老式系統(tǒng)利用一個(gè)進(jìn)程在預(yù)先定義的間隔內(nèi)檢查登記文件的狀態(tài)和內(nèi)容，與老式系統(tǒng)不同，當(dāng)前基于主機(jī)的系統(tǒng)的中斷指令，這種新的記錄可被立即處理，顯著減少了從攻擊驗(yàn)證到作出響應(yīng)的時(shí)間，在從操作系統(tǒng)作出記錄到基于主機(jī)的系統(tǒng)得到辨識結(jié)果之間的這段時(shí)間是一段延遲，但大多數(shù)情況下，在破壞發(fā)生之前，系統(tǒng)就能發(fā)現(xiàn)入侵者，并中止他的攻擊。
　　6． 不要求額外的硬件設(shè)備－基于主機(jī)的入侵檢測系統(tǒng)存在于現(xiàn)行網(wǎng)絡(luò)結(jié)構(gòu)之中，包括文件服務(wù)器，Web服務(wù)器及其它共享資源。這些使得基于主機(jī)的系統(tǒng)效率很高。因?yàn)樗鼈儾恍枰诰W(wǎng)絡(luò)上另外安裝登記，維護(hù)及管理的硬件設(shè)備。
　　
　　7． 記錄花費(fèi)更加低廉－盡管很容易就能使基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)提供廣泛覆蓋，但其價(jià)格通常是昂貴的。配置一個(gè)簡單的入侵監(jiān)測系統(tǒng)要花費(fèi)$10,000以上，而基于主機(jī)的入侵檢測系統(tǒng)對于單獨(dú)－代理標(biāo)價(jià)僅幾百美元，并且客戶只需很少的費(fèi)用用于最初的安裝。

yajing