本文目录一览：
入侵检测在物联网上的应用
入侵检测的研究可以追溯到JamesP.Anderson在1980年的工作，他首次提出了“威胁”等术语，这里所指的“威胁”与入侵的含义基本相同，将入侵尝试或威胁定义为:潜在的、有预谋的、未经授权的访问企图，致使系统不可靠或无法使用。1987年DorothyE. Denning首次给出一个入侵检测的抽象模型，并将入侵检测作为一个新的安全防御措施提出。1988年，Morris蠕虫事件加快了对入侵检测系统(IDS:Intrusion Detection System)的开发研究。
一、目前IDS存在的缺陷
入侵检测系统作为网络安全防护的重要手段，有很多地方值得我们进一步深入研究。目前的IDS还存在很多问题，有待于我们进一步完善。
1.高误警(误报)率
误警的传统定义是将良性流量误认为恶性的。广义上讲，误警还包括对IDS用户不关心事件的告警。因此，导致IDS产品高误警率的原因是IDS检测精度过低以及用户对误警概念的拓展。
2.产品适应能力低
传统的IDS产品在开发时没有考虑特定网络环境的需求，千篇一律。网络技术在发展，网络设备变得复杂化、多样化，这就需要入侵检测产品能动态调整，以适应不同环境的需求。
3.大型网络的管理问题
很多企业规模在不断扩大，对IDS产品的部署从单点发展到跨区域全球部署，这就将公司对产品管理的问题提上日程。首先，要确保新的产品体系结构能够支持数以百计的IDS传感器;其次，要能够处理传感器产生的告警事件;此外，还要解决攻击特征库的建立，配置以及更新问题。
4.缺少防御功能
检测，作为一种被动且功能有限的技术，缺乏主动防御功能。因此，需要在下一代IDS产品中嵌入防御功能，才能变被动为主动。
5.评价IDS产品没有统一标准
对入侵检测系统的评价目前还没有客观的标准，标准的不统一使得入侵检测系统之间不易互联。随着技术的发展和对新攻击识别的增加，入侵检测系统需要不断升级才能保证网络的安全性。
6.处理速度上的瓶颈
随着高速网络技术如ATM、千兆以太网等的相继出现，如何实现高速网络下的实时入侵检测是急需解决的问题。目前的百兆、千兆IDS产品的性能指标与实际要求还存在很大的差距。
二、下一代IDS系统采用的技术
为了降低误警率、合理部署多级传感器、有效控制跨区域的传感器，下一代入侵检测产品需要包含以下关键技术。
1.智能关联
智能关联是将企业相关系统的信息(如主机特征信息)与网络IDS检测结构相融合，从而减少误警。如系统的脆弱性信息需要包括特定的操作系统(OS)以及主机上运行的服务。当IDS使用智能关联时，它可以参考目标主机上存在的、与脆弱性相关的所有告警信息。如果目标主机不存在某个攻击可以利用的漏洞，IDS将抑制告警的产生。
智能关联包括主动关联和被动关联。主动关联是通过扫描确定主机漏洞;被动关联是借助操作系统的指纹识别技术，即通过分析IP、TCP报头信息识别主机上的操作系统。下面将详细介绍指纹识别技术。
(1)IDS有时会出现误报(主机系统本身并不存在某种漏洞，而IDS报告系统存在该漏洞)
这种现象的原因是当IDS检测系统是否受到基于某种漏洞的攻击时，没有考虑主机的脆弱性信息。以针对Windows操作系统的RPC攻击为例，当网络中存在RPC攻击时，即使该网络中只有基于Linux的机器，IDS也会产生告警，这就是一种误报现象。为了解决这个问题，需要给IDS提供一种基于主机信息的报警机制。因此新一代IDS产品利用被动指纹识别技术构造一个主机信息库，该技术通过对TCP、IP报头中相关字段进行识别来确定操作系统(OS)类型。
(2)被动指纹识别技术的工作原理
被动指纹识别技术的实质是匹配分析法。匹配双方一个是来自源主机数据流中的TCP、IP报头信息，另一个是特征数据库中的目标主机信息，通过将两者做匹配来识别源主机发送的数据流中是否含有恶意信息。通常比较的报头信息包括窗口大小(Windowsize)、数据报存活期(TTL)、DF(don tfragment)标志以及数据报长(Totallength)。
窗口大小(wsize)指输入数据缓冲区大小，它在TCP会话的初始阶段由OS设定。多数UNIX操作系统在TCP会话期间不改变它的值，而在Windows操作系统中有可能改变。
数据报存活期指数据报在被丢弃前经过的跳数(hop);不同的TTL值代表不同的OS，TTL=64，OS=UNIX;TTL=12，OS=Windows。DF字段通常设为默认值，而OpenBSD不对它进行设置。
数据报长是IP报头和负载(Payload)长度之和。在SYN和SYNACK数据报中，不同的数据报长代表不同的操作系统，60代表Linux、44代表Solaris、48代表Windows2000。
IDS将上述参数合理组合作为主机特征库中的特征(称为指纹)来识别不同的操作系统。如TTL=64，初步判断OS=Linux/OpenBSD;如果再给定wsize的值就可以区分是Linux还是OpenBSD。因此，(TTL，wsize)就可以作为特征库中的一个特征信息。
(3)被动指纹识别技术工作流程
具有指纹识别技术的IDS系统通过收集目标主机信息，判断主机是否易受到某种漏洞的攻击，从而降低误报率。它的工作流程如图1所示。
1指纹识别引擎检查SYN报头，提取特定标识符;
2从特征库中提取目标主机上的操作系统信息;
3更新主机信息表;
4传感器检测到带有恶意信息的数据报，在发出警告前先与主机信息表中的内容进行比较;
5传感器发现该恶意数据报是针对Windows服务器的，而目标主机是Linux服务器，所以IDS将抑制该告警的产生。
简述入侵检测常用的四种方法
入侵检测系统所采用的技术可分为特征检测与异常检测两种。
1、特征检测
特征检测(Signature-based detection) 又称Misuse detection ，这一检测假设入侵者活动可以用一种模式来表示，系统的目标是检测主体活动是否符合这些模式。
它可以将已有的入侵方法检查出来，但对新的入侵方法无能为力。其难点在于如何设计模式既能够表达“入侵”现象又不会将正常的活动包含进来。
2、异常检测
异常检测(Anomaly detection) 的假设是入侵者活动异常于正常主体的活动。根据这一理念建立主体正常活动的“活动简档”，将当前主体的活动状况与“活动简档”相比较，当违反其统计规律时，认为该活动可能是“入侵”行为。
异常检测的难题在于如何建立“活动简档”以及如何设计统计算法，从而不把正常的操作作为“入侵”或忽略真正的“入侵”行为。
扩展资料
入侵分类：
1、基于主机
一般主要使用操作系统的审计、跟踪日志作为数据源，某些也会主动与主机系统进行交互以获得不存在于系统日志中的信息以检测入侵。
这种类型的检测系统不需要额外的硬件．对网络流量不敏感，效率高，能准确定位入侵并及时进行反应，但是占用主机资源，依赖于主机的可靠性，所能检测的攻击类型受限。不能检测网络攻击。
2、基于网络
通过被动地监听网络上传输的原始流量，对获取的网络数据进行处理，从中提取有用的信息，再通过与已知攻击特征相匹配或与正常网络行为原型相比较来识别攻击事件。
此类检测系统不依赖操作系统作为检测资源，可应用于不同的操作系统平台；配置简单，不需要任何特殊的审计和登录机制；可检测协议攻击、特定环境的攻击等多种攻击。
但它只能监视经过本网段的活动，无法得到主机系统的实时状态，精确度较差。大部分入侵检测工具都是基于网络的入侵检测系统。
3、分布式
这种入侵检测系统一般为分布式结构，由多个部件组成，在关键主机上采用主机入侵检测，在网络关键节点上采用网络入侵检测，同时分析来自主机系统的审计日志和来自网络的数据流，判断被保护系统是否受到攻击。
参考资料来源：百度百科-入侵检测
网站入侵的基本思路？
黑客入侵网站的思路其实跟我们的思路都是差不多的。首先从简单的入手，如果简单方式攻破了，自然不想花费太多时间去研究，黑客也是希望多花点时间挑战高难度的网站。
那么一般黑客先从哪里入手：
第一：网站后台，应该现在很多网站都是套用开源系统开放，所以网站后台地址很容易ping出来。大多都是admin、manage。所以，网站后台密码不要过于简单，很多管理员方便记住密码，大都是admin123。这样的网站，要把网站搞废，分分钟的事情。
第二：网站后台攻破不了的话，从数据库入手。由于服务器IP很容易PING出来，很多人数据地址都是采用物理数据库地址。那么就差数据库密码了。所以，如果网站数据库架设不严谨，考虑不周全，那么数据库同样也是简单的被攻破。
所以，做网站一定要找有经验的团队。
什么是“软件指纹”？（涉及软件安全管理的问题）
如果对恶意软件进行仔细分析，我们会发现编写这些代码的黑客所留下的“指纹”。与现行的入侵侦测形式相比，这就相当于黑客一生中的特征。
HBGary 公司首席执行官Greg Hoglund称，分析恶意软件可执行文件的二进制代码还可以揭示关于攻击代码意图，以更为有效的进行数据防护。Hoglund将在拉斯维加斯召开的会议上做名为《恶意软件的归属：追踪网络间谍和数字犯罪》的演讲。
Hoglund称，分析将揭示工具痕迹----编写恶意代码的环境特征。这有助于识别编写代码的个人或团体使用的是什么工具。
比如说，他的研究看到了恶意软件执行文件背后的黑客“指纹”，包括对Back Orifice 2000、Ultra VNC远程控制电脑软件和2002微软编辑指南代码的使用。每一个程度都被进行了少量的修改，但是所获得的信息足以形成一个完整的“指纹”。
恶意软件是一种远程访问工具(RAT)，诸如Poison Ivy的RAT生成器能够为每次使用创建独特的RAT代码，这并不是黑客所能选择的。Hoglund称，在其它的恶意软件中识别这个RAT能够将恶意软件代码与普通的作者或团队联系起来。
他发现这些“指纹”已经有相当长的一段时间了。一旦编写，这些二进制代码自身很少会被改变。所以将这些指纹作为恶意软件的特征在很长一段时期将更为有效。Hoglund称：“这些坏家伙不会频繁变动他们的代码。”
传统的反病毒平台可识别恶意软件的变种。这一研究能够催生新的入侵侦测形式。它们将会深入分析恶意软件以发现这些指纹，然后将其分配给一个根据恶意软件意图组建的威胁应对小组。
他举例称，如果恶意软件被设计用来窃取个人的信用卡账号，那么与窃取公司知识产权的恶意软件相比，公司可能将把前者列为对公司威胁较低的恶意软件。
Hoglund称：“你无法成功的将这些坏家伙拒之你的网络之外。但是如果你能尽早的发现他们，你就能防止损失。”
在他的谈话中，Hoglund称他将展示一些图表。指纹的匹配程度，这些图表对他们的团队所检测的50万个恶意软件进行了归类。他称他希望向人们展示这50万个恶意软件进行分类后数量将减少，其将变成数百个而不是数千个。
如果情况真如他所说的那样，使用这些指纹作为恶意软件的特征进行探测，入侵侦测引擎将把重点放在过滤恶意软件上，而不再是恶意软件入侵时使用的外 壳。由于攻击者更改他们的代码速度很慢，因此这也意味着将建立起一个更为稳定的恶意软件特征库。这些IDS特征将会在很长一段时间内有效工作。
为了实现这些，IDS需要安装在代码执行的终端，其能够作为一个人类可读取的文本在电脑内存中被察看。在网络层中，打包的可执行文件不会显示这些属性。
在会议上，Hoglund计划公布一个名为Fingerprint的工具。这个工具能够分析和比对不同恶意软件的相似性。公司能够使用这一工具确定可识别的黑客编写了什么代码，以及它们的意图是什么。
这一方法能够帮助公司识别他们是受到了一次协同攻击，还是一次随机攻击。Hoglund称，通过这种类型的分析他发现了一个可识别的黑客对国防部进行了攻击，而五年前这名黑客还攻击了一个军事基地。
“指纹”表明攻击者是同一人。攻击者使用的语言开发环境表明了攻击者来自的国家，其所使用的一些源代码也正是该国黑客网站上的代码副本。