IDS的體系結(jié)構(gòu)

發(fā)布時(shí)間: 2012/7/3 18:42:05

　　IDS在結(jié)構(gòu)上可劃分為數(shù)據(jù)收集和數(shù)據(jù)分析兩部分。　　　　

　　一、數(shù)據(jù)收集機(jī)制　　　　

　　數(shù)據(jù)收集機(jī)制在IDS中占據(jù)著舉足輕重的位置。如果收集的數(shù)據(jù)時(shí)延較大，檢測就會(huì)失去作用；如果數(shù)據(jù)不完整，系統(tǒng)的檢測能力就會(huì)下降；如果由于錯(cuò)誤或入侵者的行為致使收集的數(shù)據(jù)不正確，IDS就會(huì)無法檢測某些入侵，給用戶以安全的假象。　　　　

　　1．分布式與集中式數(shù)據(jù)收集機(jī)制　　　　

　　分布式數(shù)據(jù)收集：檢測系統(tǒng)收集的數(shù)據(jù)來自一些固定位置而且與受監(jiān)視的網(wǎng)元數(shù)量無關(guān)。　　　

　　集中式數(shù)據(jù)收集：檢測系統(tǒng)收集的數(shù)據(jù)來自一些與受監(jiān)視的網(wǎng)元數(shù)量有一定比例關(guān)系的位置�！　�

　　集中式和分布式數(shù)據(jù)收集方式的區(qū)別通常是衡量IDS數(shù)據(jù)收集能力的標(biāo)志，它們幾乎以相同的比例應(yīng)用于當(dāng)前的IDS產(chǎn)品中。據(jù)專家預(yù)言，分布式數(shù)據(jù)收集機(jī)制在若干年后將會(huì)占有優(yōu)勢。　　　　

　　2．直接監(jiān)控和間接監(jiān)控　　　　

　　如果IDS從它所監(jiān)控的對(duì)象處直接獲得數(shù)據(jù)，則稱為直接監(jiān)控；反之，如果IDS依賴一個(gè)單獨(dú)的進(jìn)程或工具獲得數(shù)據(jù)，則稱為間接監(jiān)控。　　　

　　就檢測入侵行為而言，直接監(jiān)控要優(yōu)于間接監(jiān)控，由于直接監(jiān)控操作的復(fù)雜性，目前的IDS產(chǎn)品中只有不足20%使用了直接監(jiān)控機(jī)制。　　　

　　3．基于主機(jī)的數(shù)據(jù)收集和基于網(wǎng)絡(luò)的數(shù)據(jù)收集　　　　

　　基于主機(jī)的數(shù)據(jù)收集是從所監(jiān)控的主機(jī)上獲取的數(shù)據(jù); 基于網(wǎng)絡(luò)的數(shù)據(jù)收集是通過被監(jiān)視網(wǎng)絡(luò)中的數(shù)據(jù)流獲得數(shù)據(jù)。　　　　

　　總體而言，基于主機(jī)的數(shù)據(jù)收集要優(yōu)于基于網(wǎng)絡(luò)的數(shù)據(jù)收集。　　　　

　　4．外部探測器和內(nèi)部探測器　　　　

　　外部探測器是負(fù)責(zé)監(jiān)測主機(jī)中某個(gè)組件（硬件或軟件）的軟件。它將向IDS提供所需的數(shù)據(jù)，這些操作是通過獨(dú)立于系統(tǒng)的其他代碼來實(shí)施的。　　　　

　　內(nèi)部探測器是負(fù)責(zé)監(jiān)測主機(jī)中某個(gè)組件（硬件或軟件）的軟件。它將向IDS提供所需的數(shù)據(jù)，這些操作是通過該組件的代碼來實(shí)施的。　

　　外部探測器和內(nèi)部探測器在用于數(shù)據(jù)收集時(shí)各有利弊，可以綜合使用。　　　　

　　由于內(nèi)部探測器實(shí)現(xiàn)起來的難度較大，所以在現(xiàn)有的IDS產(chǎn)品中，只有很少的一部分采用它。

　　二、數(shù)據(jù)分析機(jī)制　　　　