入侵檢測技術課后答案(編輯修改稿)
2025-07-25 12:35 本頁面
【文章內容簡介】 規(guī)劃和管理；獲取入侵證據。（2） 入侵分析需要考慮哪些因素？答：入侵分析需要考慮的因素主要有以下四個方面：需求；子目標；目標劃分；平衡。（3） 告警與響應的作用是什么？答：在完成系統安全狀況分析并確定系統所存在的問題之后，就要讓人們知道這些問題的存在，在某些情況下，還要另外采取行動。這就是告警與響應要完成的任務。（4） 聯動響應機制的含義是什么？答：入侵檢測的主要作用是通過檢查主機日志或網絡傳輸內容，發(fā)現潛在的網絡攻擊，但一般的入侵檢測系統只能做簡單的響應，如通過發(fā)RST包終止可疑的TCP連接。而對于大量的非法訪問，如DoS類攻擊，僅僅采用入侵檢測系統本身去響應是遠遠不夠的。因此，在響應機制中，需要發(fā)揮各種不同網絡安全技術的特點，從而取得更好的網絡安全防范效果。這就需要采用入侵檢測系統的聯動響應機制。目前，可以與入侵檢測系統聯動進行響應的安全技術包括防火墻、安全掃描器、防病毒系統、安全加密系統等。但其中最主要的是防火墻聯動，即當入侵檢測系統檢測到潛在的網絡攻擊后，將相關信息傳輸給防火墻，由防火墻采取響應措施，從而更有效的保護網絡信息系統的安全。第5章 基于主機的入侵檢測技術一、ABCD二、思考題1．基于主機的數據源主要有哪些？答：基于主機的數據源主要有系統日志、應用程序日志等。2．獲取審計數據后，為什么首先要對這些數據進行預處理？答：當今現實世界中的數據庫的共同特點是存在不完整的、含噪聲的和不一致的數據，用戶感興趣的屬性，并非總是可用的。網絡入侵檢測系統分析數據的來源與數據結構的異構性，實際系統所提供數據的不完全相關性、冗余性、概念上的模糊性以及海量審計數據中可能存在大量的無意義信息等問題，使得系統提供的原始信息很難直接被檢測系統使用，而且還可能造成檢測結果的偏差，降低系統的檢測性能。這就要求獲取的審計數據在被檢測模塊使用之前，對不理想的原始數據進行有效的歸納、進行格式統一、轉換和處理。3．數據預處理的方法很多，常用的有哪幾種？答：數據預處理的方法很多，常用的有：基于粗糙集理論的約簡法、基于粗糙集理論的屬性離散化、屬性的約簡等。（需要對上述方法的基本原理進行掌握）4．簡述基于專家系統的入侵檢測技術的局限性。答：專家系統可有針對性地建立高效的入侵檢測系統，檢測準確度高。但在具體實現中，專家系統主要面臨如下問題：①專家知識獲取問題。即由于專家系統的檢測規(guī)則由安全專家用專家知識構造，因此難以科學地從各種入侵手段中抽象出全面的規(guī)則化知識。②規(guī)則動態(tài)更新問題。用戶行為模式的動態(tài)性要求入侵檢測系統具有自學習、自適應的功能。5．配置分析技術的基本原理是基于哪兩個觀點？配置分析技術的基本原理是基于如下兩個觀點：①一次成功的入侵活動可能會在系統中留下痕跡，這可以通過檢查系統當前的狀態(tài)來發(fā)現。②系統管理員和用戶經常會錯誤地配置系統，從而給攻擊者以入侵的可乘之機。第6章 基于網絡的入侵檢測技術思考題：（1） 簡述交換網絡環(huán)境下的數據捕獲方法。答：在使用交換機連接的交換式網絡環(huán)境中，處于監(jiān)聽狀態(tài)下的網絡設備，只能捕獲到它所連接的交換機端口上的數據，而無法監(jiān)聽其他交換機端口和其他網段的數據。因此，實現交換網絡的數據捕獲要采用一些特殊的方法。通?？梢圆捎萌缦路椒ǎ海?）將數據包捕獲程序放在網關或代理服務器上，這樣就可以捕獲到整個局域網的數據包；（2）對交換機實行端口映射，將所有端口的數據包全部映射到某個連接監(jiān)控機器的端口上；（3）在交換機和路由器之間連接一個HUB，這樣數據將以廣播的方式發(fā)送；（4）實行ARP欺騙，即在負責數據包捕獲的機器上實現整個網絡的數據包的轉發(fā)，不過會降低整個局域網的效率。（2） 簡述包捕獲機制BPF的原理。答：BPF主要由兩大部分組成：網絡分接頭（Network Tap）和數據包過濾器（Packet Filter）。網絡分接頭從網絡設備驅動程序處收集數據包復制，并傳遞給正在捕獲數據包的應用程序。過濾器決定某一數據包是被接受或者拒絕以及如果被接受，數據包的那些部分會被復制給應用程序。（3） 簡述協議分析的原理。答：協議分析的功能是辨別數據包的協議類型，以便使用相應的數據分析程序來檢測數據包?？梢园阉械膮f議構成一棵協議樹，一個特定的協議是該樹結構中的一個結點，可以用一棵二叉樹來表示。一個網絡數據包的分析就是一條從根到某個葉子的路徑。在程序中動態(tài)地維護和配置此樹結構即可實現非常靈活的協議分析功能。（4） 舉例說明如何檢測端口掃描。答： ，符合閾值要求，所以已被認定為端口掃
環(huán)評公示相關推薦
鄂ICP備17016276號-1