入侵檢測(cè)技術(shù)課后答案(編輯修改稿)
2025-07-25 12:35 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 規(guī)劃和管理；獲取入侵證據(jù)。（2） 入侵分析需要考慮哪些因素？答：入侵分析需要考慮的因素主要有以下四個(gè)方面：需求；子目標(biāo)；目標(biāo)劃分；平衡。（3） 告警與響應(yīng)的作用是什么？答：在完成系統(tǒng)安全狀況分析并確定系統(tǒng)所存在的問(wèn)題之后，就要讓人們知道這些問(wèn)題的存在，在某些情況下，還要另外采取行動(dòng)。這就是告警與響應(yīng)要完成的任務(wù)。（4） 聯(lián)動(dòng)響應(yīng)機(jī)制的含義是什么？答：入侵檢測(cè)的主要作用是通過(guò)檢查主機(jī)日志或網(wǎng)絡(luò)傳輸內(nèi)容，發(fā)現(xiàn)潛在的網(wǎng)絡(luò)攻擊，但一般的入侵檢測(cè)系統(tǒng)只能做簡(jiǎn)單的響應(yīng)，如通過(guò)發(fā)RST包終止可疑的TCP連接。而對(duì)于大量的非法訪問(wèn)，如DoS類(lèi)攻擊，僅僅采用入侵檢測(cè)系統(tǒng)本身去響應(yīng)是遠(yuǎn)遠(yuǎn)不夠的。因此，在響應(yīng)機(jī)制中，需要發(fā)揮各種不同網(wǎng)絡(luò)安全技術(shù)的特點(diǎn)，從而取得更好的網(wǎng)絡(luò)安全防范效果。這就需要采用入侵檢測(cè)系統(tǒng)的聯(lián)動(dòng)響應(yīng)機(jī)制。目前，可以與入侵檢測(cè)系統(tǒng)聯(lián)動(dòng)進(jìn)行響應(yīng)的安全技術(shù)包括防火墻、安全掃描器、防病毒系統(tǒng)、安全加密系統(tǒng)等。但其中最主要的是防火墻聯(lián)動(dòng)，即當(dāng)入侵檢測(cè)系統(tǒng)檢測(cè)到潛在的網(wǎng)絡(luò)攻擊后，將相關(guān)信息傳輸給防火墻，由防火墻采取響應(yīng)措施，從而更有效的保護(hù)網(wǎng)絡(luò)信息系統(tǒng)的安全。第5章 基于主機(jī)的入侵檢測(cè)技術(shù)一、ABCD二、思考題1．基于主機(jī)的數(shù)據(jù)源主要有哪些？答：基于主機(jī)的數(shù)據(jù)源主要有系統(tǒng)日志、應(yīng)用程序日志等。2．獲取審計(jì)數(shù)據(jù)后，為什么首先要對(duì)這些數(shù)據(jù)進(jìn)行預(yù)處理？答：當(dāng)今現(xiàn)實(shí)世界中的數(shù)據(jù)庫(kù)的共同特點(diǎn)是存在不完整的、含噪聲的和不一致的數(shù)據(jù)，用戶感興趣的屬性，并非總是可用的。網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)分析數(shù)據(jù)的來(lái)源與數(shù)據(jù)結(jié)構(gòu)的異構(gòu)性，實(shí)際系統(tǒng)所提供數(shù)據(jù)的不完全相關(guān)性、冗余性、概念上的模糊性以及海量審計(jì)數(shù)據(jù)中可能存在大量的無(wú)意義信息等問(wèn)題，使得系統(tǒng)提供的原始信息很難直接被檢測(cè)系統(tǒng)使用，而且還可能造成檢測(cè)結(jié)果的偏差，降低系統(tǒng)的檢測(cè)性能。這就要求獲取的審計(jì)數(shù)據(jù)在被檢測(cè)模塊使用之前，對(duì)不理想的原始數(shù)據(jù)進(jìn)行有效的歸納、進(jìn)行格式統(tǒng)一、轉(zhuǎn)換和處理。3．?dāng)?shù)據(jù)預(yù)處理的方法很多，常用的有哪幾種？答：數(shù)據(jù)預(yù)處理的方法很多，常用的有：基于粗糙集理論的約簡(jiǎn)法、基于粗糙集理論的屬性離散化、屬性的約簡(jiǎn)等。（需要對(duì)上述方法的基本原理進(jìn)行掌握）4．簡(jiǎn)述基于專家系統(tǒng)的入侵檢測(cè)技術(shù)的局限性。答：專家系統(tǒng)可有針對(duì)性地建立高效的入侵檢測(cè)系統(tǒng)，檢測(cè)準(zhǔn)確度高。但在具體實(shí)現(xiàn)中，專家系統(tǒng)主要面臨如下問(wèn)題：①專家知識(shí)獲取問(wèn)題。即由于專家系統(tǒng)的檢測(cè)規(guī)則由安全專家用專家知識(shí)構(gòu)造，因此難以科學(xué)地從各種入侵手段中抽象出全面的規(guī)則化知識(shí)。②規(guī)則動(dòng)態(tài)更新問(wèn)題。用戶行為模式的動(dòng)態(tài)性要求入侵檢測(cè)系統(tǒng)具有自學(xué)習(xí)、自適應(yīng)的功能。5．配置分析技術(shù)的基本原理是基于哪兩個(gè)觀點(diǎn)？配置分析技術(shù)的基本原理是基于如下兩個(gè)觀點(diǎn)：①一次成功的入侵活動(dòng)可能會(huì)在系統(tǒng)中留下痕跡，這可以通過(guò)檢查系統(tǒng)當(dāng)前的狀態(tài)來(lái)發(fā)現(xiàn)。②系統(tǒng)管理員和用戶經(jīng)常會(huì)錯(cuò)誤地配置系統(tǒng)，從而給攻擊者以入侵的可乘之機(jī)。第6章 基于網(wǎng)絡(luò)的入侵檢測(cè)技術(shù)思考題：（1） 簡(jiǎn)述交換網(wǎng)絡(luò)環(huán)境下的數(shù)據(jù)捕獲方法。答：在使用交換機(jī)連接的交換式網(wǎng)絡(luò)環(huán)境中，處于監(jiān)聽(tīng)狀態(tài)下的網(wǎng)絡(luò)設(shè)備，只能捕獲到它所連接的交換機(jī)端口上的數(shù)據(jù)，而無(wú)法監(jiān)聽(tīng)其他交換機(jī)端口和其他網(wǎng)段的數(shù)據(jù)。因此，實(shí)現(xiàn)交換網(wǎng)絡(luò)的數(shù)據(jù)捕獲要采用一些特殊的方法。通?？梢圆捎萌缦路椒ǎ海?）將數(shù)據(jù)包捕獲程序放在網(wǎng)關(guān)或代理服務(wù)器上，這樣就可以捕獲到整個(gè)局域網(wǎng)的數(shù)據(jù)包；（2）對(duì)交換機(jī)實(shí)行端口映射，將所有端口的數(shù)據(jù)包全部映射到某個(gè)連接監(jiān)控機(jī)器的端口上；（3）在交換機(jī)和路由器之間連接一個(gè)HUB，這樣數(shù)據(jù)將以廣播的方式發(fā)送；（4）實(shí)行ARP欺騙，即在負(fù)責(zé)數(shù)據(jù)包捕獲的機(jī)器上實(shí)現(xiàn)整個(gè)網(wǎng)絡(luò)的數(shù)據(jù)包的轉(zhuǎn)發(fā)，不過(guò)會(huì)降低整個(gè)局域網(wǎng)的效率。（2） 簡(jiǎn)述包捕獲機(jī)制BPF的原理。答：BPF主要由兩大部分組成：網(wǎng)絡(luò)分接頭（Network Tap）和數(shù)據(jù)包過(guò)濾器（Packet Filter）。網(wǎng)絡(luò)分接頭從網(wǎng)絡(luò)設(shè)備驅(qū)動(dòng)程序處收集數(shù)據(jù)包復(fù)制，并傳遞給正在捕獲數(shù)據(jù)包的應(yīng)用程序。過(guò)濾器決定某一數(shù)據(jù)包是被接受或者拒絕以及如果被接受，數(shù)據(jù)包的那些部分會(huì)被復(fù)制給應(yīng)用程序。（3） 簡(jiǎn)述協(xié)議分析的原理。答：協(xié)議分析的功能是辨別數(shù)據(jù)包的協(xié)議類(lèi)型，以便使用相應(yīng)的數(shù)據(jù)分析程序來(lái)檢測(cè)數(shù)據(jù)包。可以把所有的協(xié)議構(gòu)成一棵協(xié)議樹(shù)，一個(gè)特定的協(xié)議是該樹(shù)結(jié)構(gòu)中的一個(gè)結(jié)點(diǎn)，可以用一棵二叉樹(shù)來(lái)表示。一個(gè)網(wǎng)絡(luò)數(shù)據(jù)包的分析就是一條從根到某個(gè)葉子的路徑。在程序中動(dòng)態(tài)地維護(hù)和配置此樹(shù)結(jié)構(gòu)即可實(shí)現(xiàn)非常靈活的協(xié)議分析功能。（4） 舉例說(shuō)明如何檢測(cè)端口掃描。答： ，符合閾值要求，所以已被認(rèn)定為端口掃
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1