入侵檢測技術

第1章　入侵檢測概述
1.1　入侵檢測簡介
1.1.1　入侵的定義
1.1.2　入侵檢測的概念
1.1.3　入侵檢測的發(fā)展歷史
1.1.4　入侵檢測系統(tǒng)的作用
1.2　入侵檢測系統(tǒng)在信息安全中的地位
1.2.1　P2DR2安全模型與入侵檢測系統(tǒng)的關系
1.2.2　傳統(tǒng)安全技術的局限性
1.3　入侵檢測系統(tǒng)的基本原理與工作模式
1.3.1　入侵檢測系統(tǒng)的基本原理
1.3.2　入侵檢測系統(tǒng)的基本工作模式
1.4　入侵檢測系統(tǒng)的分類
1.4.1　根據(jù)檢測技術分類
1.4.2　根據(jù)數(shù)據(jù)來源分類
1.4.3　根據(jù)體系結構分類
1.4.4　根據(jù)入侵檢測的時效性分類
1.5　常用人侵檢測方法
思考題

第2章　常見的入侵方法與手段
2.1　信息系統(tǒng)的漏洞
2.1.1　漏洞的概念
2.1.2　漏洞的具體表現(xiàn)
2.1.3　漏洞的分類
2.2　信息系統(tǒng)面臨的威脅
2.3　攻擊概述
2.3.1　黑客
2.3.2　攻擊的概念與分類
2.3.3　攻擊的一般流程
2.4　典型的攻擊技術與方法
2.4.1　預攻擊探測
2.4.2　口令破解攻擊
2.4.3　緩沖區(qū)溢出攻擊
2.4.4　欺騙攻擊
2.4.5　拒絕服務攻擊
2.4.6　數(shù)據(jù)庫攻擊
2.4.7　木馬攻擊
思考題
第3章　入侵檢測系統(tǒng)模型
3.1　入侵檢測系統(tǒng)模型概述
3.2　信息收集
3.2.1　信息收集概述
3.2.2　信息的來源
3.2.3　信息的標準化
3.3　信息分析
3.3.1　模式匹配
3.3.2　統(tǒng)計分析
3.3.3　完整性分析
3.3.4　數(shù)據(jù)分析機制
3.4　報警與響應
3.4.1　被動響應與主動響應
3.4.2　主動響應在商業(yè)上的應用
3.4.3　“蜜罐”技術
3.4.4　“蜜網”技術
思考題
第4章　誤用與異常入侵檢測系統(tǒng)
4.1　誤用入侵檢測系統(tǒng)
4.1.1　誤用入侵檢測概述
4.1.2　誤用入侵檢測系統(tǒng)的類型
4.1.3　誤用入侵檢測方法
4.1.4　誤用入侵檢測系統(tǒng)的缺陷
4.2　異常入侵檢測
4.2.1　異常入侵檢測概述
4.2.2　異常入侵檢測方法
思考題
第5章　模式串匹配與入侵檢測
5.1　模式串匹配算法概述
5.2　模式串匹配技術及其在入侵檢測中的應用
5.3　模式串匹配算法研究現(xiàn)狀
5.3.1　精確模式串匹配算法
5.3.2　近似模式串匹配算法
5.4　精確模式串匹配算法概述
5.4.1　單模式串匹配算法
5.4.2　最簡單的單模式串匹配算法——蠻力法
5.4.3　KMP算法
5.4.4　Boyer-Moore算法
5.4.5　BOM算法
5.4.6　多模式串匹配算法
5.4.7　最簡單的多模式串匹配算法——蠻力法
5.4.8　Aho-Corasick算法
5.4.9　Wu-Manber算法
5.4.10　SBOM算法
5.5　不同串匹配算法性能對比
5.5.1　實驗環(huán)境描述
5.5.2　關鍵詞高頻出現(xiàn)時的測試
5.5.3　關鍵詞低頻出現(xiàn)時的測試
5.6　串匹配算法的一些改進
思考題
第6章　基于主機的入侵檢測系統(tǒng)
6.1　基于主機的入侵檢測系統(tǒng)概述
6.2　獲取審計數(shù)據(jù)
6.2.1　獲取Windows的審計數(shù)據(jù)
6.2.2　獲取UNIX的審計數(shù)據(jù)
6.3　基于主機的入侵檢測系統(tǒng)模型
6.3.1　一種基于主機的入侵檢測系統(tǒng)結構
6.3.2　入侵特征選取
6.3.3　入侵特征預處理
6.4　基于主機的入侵檢測系統(tǒng)的優(yōu)缺點
6.4.1　基于主機的入侵檢測系統(tǒng)的優(yōu)點
6.4.2　基于主機的入侵檢測系統(tǒng)的缺點
思考題
第7章　基于網絡的入侵檢測系統(tǒng)
7.1　基于網絡的入侵檢測系統(tǒng)概述
7.2　基于網絡的入侵檢測系統(tǒng)模型
7.2.1　一種基于網絡的入侵檢測系統(tǒng)結構
7.2.2　網絡層
7.2.3　主體層
7.2.4　分析層
7.2.5　管理層
7.3　包捕獲技術
7.3.1　winPcap簡介
7.3.2　包捕獲原理
7.3.3　windoWs下包捕獲程序的結構
7.3.4　windoWs下捕獲包的主要源代碼
7.4　基于網絡的入侵檢測系統(tǒng)的優(yōu)缺點
7.4.1　基于網絡的入侵檢測系統(tǒng)的優(yōu)點
7.4.2　基于網絡的入侵檢測系統(tǒng)的缺點
思考題
第8章　典型的入侵檢測技術
8.1　概述
8.2　基于神經網絡的入侵檢測技術
8.2.1　基于神經網絡的入侵檢測系統(tǒng)模型
8.2.2　系統(tǒng)功能描述
8.2.3　系統(tǒng)數(shù)據(jù)捕獲及預處理實現(xiàn)
8.2.4　神經網絡分類模塊實現(xiàn)
8.3　基于遺傳算法的入侵檢測技術
8.3.1　遺傳算法簡介
8.3.2　遺傳算法在入侵檢測系統(tǒng)中的應用
8.4　基于數(shù)據(jù)挖掘的入侵檢測技術
8.4.1　數(shù)據(jù)挖掘概述
8.4.2　數(shù)據(jù)挖掘算法
8.4.3　入侵檢測系統(tǒng)中的特定數(shù)據(jù)挖掘算法
8.5　基于數(shù)據(jù)融合的入侵檢測技術
8.5.1　基于數(shù)據(jù)融合的入侵檢測系統(tǒng)介紹
8.5.2　基于警報融合的入侵檢測系統(tǒng)
8.6　基于免疫的入侵檢測技術
8.7　基于協(xié)議分析的入侵檢測技術
8.7.1　基于協(xié)議分析的入侵檢測技術概述
8.7.2　一種基于馬爾可夫鏈的協(xié)議分析入侵檢測系統(tǒng)模型
8.8　基于入侵容忍的入侵檢測技術
8.8.1　基于入侵容忍的入侵檢測技術概述
8.8.2　基于入侵容忍的入侵檢測系統(tǒng)模型
8.8.3　基于多級門限的入侵容忍安全方案
思考題
第9章　基于主體的分布式入侵檢測系統(tǒng)
9.1　基于主體的分布式入侵檢測系統(tǒng)的應用背景
9.2　基于主體的分布式入侵檢測系統(tǒng)的結構
9.2.1　分布式入侵檢測系統(tǒng)的特征
9.2.2　分布式入侵檢測系統(tǒng)的體系結構
9.2.3　分布式入侵檢測體系結構的優(yōu)點
9.2.4　多主體系統(tǒng)簡介
9.2.5　主體簡介
9.3　入侵檢測系統(tǒng)中的主體實現(xiàn)技術
9.3.1　中心主體
9.3.2　分析主體
9.3.3　主機主體和網絡主體
9.4　主體之間的通信
9.4.1　知識查詢和操縱語言
9.4.2　消息示例
9.4.3　KQML/OWL消息的封裝與解析過程
9.5　分布式入侵檢測系統(tǒng)自身的安全問題
思考題
第10章　入侵檢測系統(tǒng)的相關標準與評估
10.1　入侵檢測的標準化工作
10.1.1　入侵檢測工作組
10.1.2　公共入侵檢測框架
10.1.3　國內入侵檢測系統(tǒng)標準
10.2　入侵檢測系統(tǒng)的性能指標
10.2.1　性能指標簡介
10.2.2　影響性能指標的因素
10.3　入侵檢測系統(tǒng)的測試與評估
10.3.1　入侵檢測系統(tǒng)的測試步驟
10.3.2　評估入侵檢測系統(tǒng)的性能指標
思考題
第11章　典型的入侵檢測系統(tǒng)
11.1　典型入侵檢測系統(tǒng)介紹
11.1.1　DIDS
11.1.2　CSM
11.1.3　EMERALD
11.1.4　AAFID
11.1.5　NetSTAT
11.1.6　GRIDS
11.1.7　IDA
11.1.8　MAIDS
11.2　總結和分析
思考題
第12章　典型的入侵檢測產品
12.1　入侵檢測產品概述
12.2　典型的入侵檢測產品
12.2.1　NetRanger
12.2.2　CyberCop
12.2.3　LinkTrust
12.2.4　Dragon Sensor
12.2.5　RealSecure
12.2.6　Kane Security Monitor
12.2.7　OmniGuard/Intruder Alert
12.2.8　SessionWall-3
12.2.9　天闐
12.2.10　天眼
12.2.11　冰之眼
12.3　入侵檢測產品選購要點
思考題
第13章　使用Snort進行入侵檢測
13.1　Snort概述
13.1.1　Snort的工作模式
13.1.2　Snort入侵檢測概述
13.1.3　Snort入侵檢測的特點
13.2　Snort的體系結構
13.3　Snort的規(guī)則
13.3.1　Snort的規(guī)則基礎
13.3.2　Snort的規(guī)則頭
13.3.3　規(guī)則選項
13.3.4　預處理器
13.3.5　輸出模塊
13.3.6　建立好的Snort規(guī)則
思考題
第14章　入侵檢測技術的發(fā)展
14.1　現(xiàn)有入侵檢測技術的局限性
14.2　入侵檢測技術的發(fā)展方向
14.2.1　入侵技術的發(fā)展
14.2.2　入侵檢測技術的發(fā)展
14.2.3　入侵檢測新技術
14.3　入侵防御系統(tǒng)
14.3.1　IPS的概念
14.3.2　IPS的功能與特點
14.3.3　IPS的優(yōu)勢與局限性
14.3.4　IPS的未來發(fā)展方向
14.4　入侵管理系統(tǒng)
14.4.1　IMS對IDS的擴充
14.4.2　入侵管理系統(tǒng)對應急響應的支撐
思考題
附錄A　入侵檢測常見英語詞匯及翻譯
附錄B　在Windows下采用Snort配置入侵檢測系統(tǒng)
參考文獻