7.8. 入侵检测

文章目录

• 7.8. 入侵检测
• 7.8.1. IDS与IPS
• 7.8.2. 常见入侵点
• 7.8.3. 监控实现
• 7.8.3.1. 客户端监控
• 7.8.3.2. 网络检测
• 7.8.3.3. 日志分析
• 7.8.4. 参考链接

7.8. 入侵检测

7.8.1. IDS与IPS

IDS与IPS是常见的防护设备，IPS相对IDS的不同点在于，IPS通常具有阻断能力。

7.8.2. 常见入侵点

• Web入侵
• 高危服务入侵

7.8.3. 监控实现

7.8.3.1. 客户端监控

• 监控敏感配置文件

• 常用命令ELF文件完整性监控

  • ps
  • lsof
  • …

• rootkit监控

• 资源使用报警

  • 内存使用率
  • CPU使用率
  • IO使用率
  • 网络使用率

• 新出现进程监控

• 基于inotify的文件监控

7.8.3.2. 网络检测

基于网络层面的攻击向量做检测，如Snort等。

7.8.3.3. 日志分析

将主机系统安全日志/操作日志、网络设备流量日志、Web应用访问日志、SQL应用访问日志等日志集中到一个统一的后台，在后台中对各类日志进行综合的分析。

7.8.4. 参考链接

• 企业安全建设之HIDS
• 大型互联网企业入侵检测实战总结
• 同程入侵检测系统
• Web日志安全分析系统实践
• Web日志安全分析浅谈
• 网络层绕过IDS/IPS的一些探索

---

上一篇： 下一篇：

来源：oschina

链接：https://my.oschina.net/u/4301815/blog/4423403