目录：

• 1、什么叫做入侵检测?入侵检测系统的基本功能是什么?
• 2、防止黑客进入和检查黑客进入
• 3、入侵检测系统（IDS）+防火墙+入侵防护系统(IPS)能代替杀毒软件吗？
• 4、什么是入侵检测?
• 5、怎么防止黑客入侵?

什么叫做入侵检测?入侵检测系统的基本功能是什么?

入侵检测系统（Intrusion-detection system，下称“IDS”）是一种对 *** 传输进行即时监视，在发现可疑传输时发出警报或者采取主动反应措施的 *** 安全设备。它与其他 *** 安全设备的不同之处便在于，IDS是一种积极主动的安全防护技术。 IDS最早出现在1980年4月。该年，James P. Anderson为美国空军做了一份题为《Computer Security Threat Monitoring and Surveillance》的技术报告，在其中他提出了IDS的概念。 1980年代中期，IDS逐渐发展成为入侵检测专家系统（IDES）。 1990年，IDS分化为基于 *** 的IDS和基于主机的IDS。后又出现分布式IDS。目前，IDS发展迅速，已有人宣称IDS可以完全取代防火墙。 我们做一个形象的比喻：假如防火墙是一幢大楼的门卫，那么IDS就是这幢大楼里的监视系统。一旦小偷爬窗进入大楼，或内部人员有越界行为，只有实时监视系统才能发现情况并发出警告。 IDS入侵检测系统以信息来源的不同和检测 *** 的差异分为几类。根据信息来源可分为基于主机IDS和基于 *** 的IDS，根据检测 *** 又可分为异常入侵检测和滥用入侵检测。不同于防火墙，IDS入侵检测系统是一个监听设备，没有跨接在任何链路上，无须 *** 流量流经它便可以工作。因此，对IDS的部署，唯一的要求是：IDS应当挂接在所有所关注流量都必须流经的链路上。在这里，"所关注流量"指的是来自高危 *** 区域的访问流量和需要进行统计、监视的 *** 报文。在如今的 *** 拓扑中，已经很难找到以前的HUB式的共享介质冲突域的 *** ，绝大部分的 *** 区域都已经全面升级到交换式的 *** 结构。因此，IDS在交换式 *** 中的位置一般选择在： （1）尽可能靠近攻击源 （ 2）尽可能靠近受保护资源 这些位置通常是： ·服务器区域的交换机上 ·Internet接入路由器之后的之一台交换机上 ·重点保护网段的局域网交换机上 由于入侵检测系统的市场在近几年中飞速发展，许多公司投入到这一领域上来。Venustech(启明星辰）、Internet Security System（ISS）、思科、赛门铁克等公司都推出了自己的产品。系统分类根据检测对象的不同，入侵检测系统可分为主机型和 *** 型。

防止黑客进入和检查黑客进入

光有杀毒软件是不够的，还至少得有防火墙，买瑞星不就带防火墙么，用那个就行了。一定要打齐所有补丁。再用卡卡上网安全助手（金山清理专家也可以代替卡卡），再安装一个奇虎360安全卫士，用做专门杀流氓，也可以快速杀木马。而且它有瑞星漏洞扫描没有的一些漏洞样本。用它可以顺便打齐补丁。如果说你有一定的基础的话，而且真的害怕黑客入侵的话就用IDS（即入侵检测系统），弥补防火墙的缺陷，IDS分两种，主机IDS和远程IDS，主机IDS代表是IceSword（最新版本为1.22增强版，支持32位的CPU和32位的Windows系统，支持Vista。在作者pjf的博客上能下载到），能检测隐藏进程，系统级后门，Rootkit保护的东西和内核模块等等，总之功能很多，很强大。后者有很多免费的优秀的产品，用来记录所有有关 *** 动作，链接，等等，可以用来在被入侵后进行取证，也可以，在被入侵时，及时阻止。

工具是死的，人是活的，灵活利用，系统自然就安全了。

入侵检测系统（IDS）+防火墙+入侵防护系统(IPS)能代替杀毒软件吗？

不能代替的黑客攻击入侵检测软件，它们各自的功能和作用是不同的。

入侵检测系统（IDS）:专业上讲就是依照一定的安全策略黑客攻击入侵检测软件，对 *** 、系统的运行状况进行监视黑客攻击入侵检测软件，尽可能发现各种攻击企图、攻击行为或者攻击结果，以保证 *** 系统资源的机密性、完整性和可用性。

入侵防护系统（IPS）黑客攻击入侵检测软件：是指能够监视 *** 或 *** 设备的 *** 资料传输行为的计算机 *** 安全设备，能够即时的中断、调整或隔离一些不正常或是具有伤害性的 *** 资料传输行为。

防火墙：它是一种位于内部 *** 与外部 *** 之间的 *** 安全系统。一种信息安全的防护系统，依照特定的规则，允许或是限制传输的数据通过。

一般是IDS+防火墙的组合或者IPS+防火墙的组合来完成对 *** 安全防护。

杀毒软件：也称反病毒软件或防毒软件，是用于消除电脑病毒、特洛伊木马和恶意软件等计算机威胁的一类软件。病毒软件（程序）是一种在电脑（终端）上运行的，可以类似生物病毒发病机理的，通过一定条件下来触发运行的小程序，包括电脑病毒程序及一些恶意软件等。

以上描述可以看出他们的作用各不相同，所以不能相互代替，可以完全组合起来发现各自的作用，尽可能保障 *** 的信息安全。

什么是入侵检测?

入侵检测是防火墙的合理补充，帮助系统对付 *** 攻击，扩展了系统管理员的安全管理能力(包括安全审计、监视、进攻识别和响应)，提高了信息安全基础结构的完整性。

它从计算机 *** 系统中的若干关键点收集信息，并分析这些信息，看看 *** 中是否有违反安全策略的行为和遭到袭击的迹象。入侵检测被认为是防火墙之后的第二道安全闸门，在不影响 *** 性能的情况下能对 *** 进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护。

检测步骤

(1)信息收集。入侵检测的之一步是信息收集，内容包括系统、 *** 、数据及用户活动的状态和行为。

而且，需要在计算机 *** 系统中的若干不同关键点(不同网段和不同主机)收集信息，这除了尽可能扩大检测范围的因素外，还有一个重要的因素就是从一个源来的信息有可能看不出疑点，但从几个源来的信息的不一致性却是可疑行为或入侵的昂好标识。

当然，入侵检测很大程度上依赖于收集信息的可靠性和正确性，因此，很有必要只昶用所知道的真正的和精确的软件来报告这些信息。因为黑客经常替换软件以搞混和移走这些信息，例如替换被程序调用的子程序、库和其他工具。

黑客对系统的修改可能使系统功能失常并看起来跟正常的一样，而实际上不是。例如，UNIX系统的PS指令可以被替换为一个不显示侵入过程的指令，或者是编辑器被替换成一个读取不同于指定文件的文件(票客隐藏了初始文件并用另一版本代替)。

这需要保证用来检测 *** 系统的软件的完整性，特别是入侵检测系统软件本身应具有相当强的坚固性，防止被篡改而收集到错误的信息。

(2)信号分析。对上述四类收集到的有关系统、 *** 、数据及用户活动的状态和行为等信息，一般通过三种技术手段进行分析：模式匹配、统计分析和完整性分析。其中前两种 *** 用于实时的入侵检测，而完整性分析则用于事后分析。

怎么防止黑客入侵?

提起黑客，总是那么神秘莫测。在人们眼中，黑客是一群聪明绝顶，精力旺盛的年轻人，一门心思地破译各种密码，以便偷偷地、未经允许地打入 *** 、企业或他人的计算机系统，窥视他人的隐私。那么，什么是黑客呢？

黑客(hacker)，源于英语动词hack，意为“劈，砍”，引申为“干了一件非常漂亮的工作”。在早期麻省理工学院的校园俚语中，“黑客”则有“恶作剧”之意，尤指手法巧妙、技术高明的恶作剧。在日本《新黑客词典》中，对黑客的定义是“喜欢探索软件程序奥秘，并从中增长了其个人才干的人。他们不象绝大多数电脑使用者那样，只规规矩矩地了解别人指定了解的狭小部分知识。”由这些定义中，黑客攻击入侵检测软件我们还看不出太贬义的意味。他们通常具有硬件和软件的高级知识，并有能力通过创新的 *** 剖析系统。“黑客”能使更多的 *** 趋于完善和安全，他们以保护 *** 为目的，而以不正当侵入为手段找出 *** 漏洞。

另一种入侵者是那些利用 *** 漏洞破坏 *** 的人。他们往往做一些重复的工作(如用暴力法破解口令)，他们也具备广泛的电脑知识，但与黑客不同的是他们以破坏为目的。这些群体成为“骇客”。当然还有一种人兼于黑客与入侵者之间。

一般认为，黑客起源于50年代麻省理工学院的实验室中，他们精力充沛，热衷于解决难题。60、70年代，“黑客”一词极富褒义，用于指代那些独立思考、奉公守法的计算机迷，他们智力超群，对电脑全身心投入，从事黑客活动意味着对计算机的更大潜力进行智力上的自由探索，为电脑技术的发展做出了巨大贡献。正是这些黑客，倡导了一场个人计算机革命，倡导了现行的计算机开放式体系结构，打破了以往计算机技术只掌握在少数人手里的局面，开了个人计算机的先河，提出了“计算机为人民所用”的观点，他们是电脑发展史上的英雄。现在黑客使用的侵入计算机系统的基本技巧，例如破解口令(password cracking)，开天窗(trapdoor)，走后门(backdoor)，安放特洛伊木马(Trojan horse)等，都是在这一时期发明的。从事黑客活动的经历，成为后来许多计算机业巨子简历上不可或缺的一部分。例如，苹果公司创始人之一乔布斯就是一个典型的例子。

在60年代，计算机的使用还远未普及，还没有多少存储重要信息的数据库，也谈不上黑客对数据的非法拷贝等问题。到了80、90年代，计算机越来越重要，大型数据库也越来越多，同时，信息越来越集中在少数人的手里。这样一场新时期的“圈地运动”引起了黑客们的极大反感。黑客认为，信息应共享而不应被少数人所垄断，于是将注意力转移到涉及各种机密的信息数据库上。而这时，电脑化空间已私有化，成为个人拥有的财产，社会不能再对黑客行为放任不管，而必须采取行动，利用法律等手段来进行控制。黑客活动受到了空前的打击。

但是， *** 和公司的管理者现在越来越多地要求黑客传授给他们有关电脑安全的知识。许多公司和 *** 机构已经邀请黑客为他们检验系统的安全性，甚至还请他们设计新的保安规程。在两名黑客连续发现网景公司设计的信用卡购物程序的缺陷并向商界发出公告之后，网景修正了缺陷并宣布举办名为“网景缺陷大奖赛”的竞赛，那些发现和找到该公司产品中安全漏洞的黑客可获1000美元奖金。无疑黑客正在对电脑防护技术的发展作出贡献。

如何有效的防止黑客入侵

前言

遭受黑客攻击无疑会使公司损失大笔资金，如何保证系统尽可能的安全？本文提供了一些 *** 帮助用户确定自己的系统是否安全有效.

对于一个IT经理来说，处理病毒是日常工作的一部分.通常的作法是利用有效的方式阻止病毒渗入系统，并及时运用补丁程度弥补系统缺陷黑客攻击入侵检测软件；或者，在受到攻击后迅速进行系统恢复.

当受到电脑黑客或解密高手的入侵攻击时，意味着用户的 *** 存在某些漏洞，使入侵者有机可乘，能够对用户数据进行访问和改写.

正如俗话所说的--知识就是力量.越是能够了解黑客如何对系统进行攻击，你就越是能够更好的把握机会防范他们的入侵。

实用技巧

Del Smith提供了一些能够帮助用户阻止黑客对系统信息进行窃取的实用技巧，因为黑客一旦获取了用户的系统信息，他们就能够利用这些信息找出系统漏洞，从而对数据库进行访问."不要让黑客获取关于Windows服务器的相关信息"，Del告诫用户这些信息将被黑客利用并对用户系统进行破坏.

Michael Mullins提出了"防止黑客探查"的另一个技巧:拦截无法解析的ICMP信息.Michael强调说:尽管大多数 *** 管理员能够尽职地对TCP和UDP传输进行过滤，但他们往往可能忽略对ICMP传输的过滤.其后果是严重的，因为黑客能够利用这一疏漏对 *** 发起攻击，因此对无法解析的ICMP信息进行限制是必要的.

Brien Posey指出:人们越来越多地学习和掌握防范黑客入侵的相关知识，与之相对应的是，电脑黑客有计划地利用新的 *** 来取得他们想要的信息.黑客一旦获取到有用信息便会加以利用，因此用户对此行为应该加以警惕.

受到黑客攻击后应该做哪些工作？

Robert Bogue提供了三方面的工作，帮助用户对受到黑客攻击的系统进行处理.当你受到黑客攻击时，最初的五分钟应该做些什么？显然，你应该立即采取评估、通讯、断开连接等措施确保系统的安全.这里的评估是指对入侵者以及系统漏洞进行识别和确定；当受到黑客攻击后，最初的一小时内又应该做些什么？Robert建议用户对所有的系统漏洞打补丁，并恢复在线连接.其步骤包括:

.用图像保留系统作为一个记录.

.对系统进行鉴定以查明是否存在篡改.

.重建被损害的系统.

.给系统漏洞打补丁.

.对系统进行重新连接.

"受到黑客攻击后，如何对将来可能产生的攻击进行防范？"针对这个问题，Robert强调用户在对系统进行必要恢复后，应该采取长远的措施以加强系统的安全防范.包括建立监视（对运行记录进行检查，采用入侵检测软件）并执行外部安全审计.

对用户来说，当受到的攻击是由一个专业黑客发起时，处理和解决入侵问题可能是最实际有效的经验积累.作为CQUR IT公司安全顾问之一的John Verry，专门从事安全评估、保护、检查、恢复服务等工作.Verry提到最近在工作中发生的一件事:当他发现自己的一位客户的FTP服务器遭到黑客攻击后，作为安全顾问的他同样也采用hacking技能，阻止客户FTP服务器上的恶意攻击者进一步的行动.毫无疑问，这对任何IT经理来说都是必须了解并掌握的技能，然而许多公司对安全原则却疏于执行.

由此可见，了解并掌握安全问题的相关知识和实践经验，能够为防止和处理将来可能发生的黑客攻击做好准备