◆邹亚君 吕沂伦 何天晴

（曲阜师范大学 网络空间安全学院 山东 273100）

自互联网进入大众视野以来，网络安全已进入发展快车道，传统的防火墙策略已经无法满足人们对网络安全的要求。入侵检测技术是一种有效策略，但是在这条道路上还面临着挑战。因此必须对入侵检测技术有全方位多角度的了解，才能更好的应用于网络安全管理，为人民解决网络安全隐患，在网络安全防护市场中发挥关键性的作用。

1 入侵检测系统概述

1.1 入侵检测系统的概念

入侵检测是对用户上网行为实时监测和安全管理的一种手段，是对网络防火墙的加强。它提供了用于发现非法行为和恶意入侵迹象的一种检测方法。入侵检测系统是一种硬件和软件交叉结合的检测设备，能够对入侵行为发出入侵警报。

1.2 入侵检测系统的分类

（1）根据入侵数据源的不同可以细分为基于主机的入侵检测和基于网络的入侵检测。前者主要功能是监测主机内部行为，监视主机系统的异常操作或运行状态；后者主要功能是以网络数据包为数据源，分析数据包的特征。

（2）根据对网络信息源分析方法的不同又可以分为两种：基于误用的入侵检测和基于异常的入侵检测。

图1 入侵检测的分类

2 基于主机的入侵检测系统

2.1 基于主机的入侵检测系统的概念

基于主机的入侵检测系统（Host-based Intrusion Detection System，HIDS）是一种能够关注计算机系统内部状态，对审计日志记录进行分析的一种入侵检测机制。

2.2 基于主机的入侵检测系统的优点与缺点

HIDS 具有更高的辨识度，对特殊主机关注性较强，可以检测到行为特征不明显的入侵。……