入侵檢測技術

第1章　入侵檢測概述
1.1　網絡安全基本概念　
1.1.1　網絡安全的實質　
1.1.2　網絡系統的安全對策與入侵檢測　
1.1.3　網絡安全的P2DR模型與入侵檢測　
1.2　入侵檢測的產生與發(fā)展　
1.2.1　早期研究　
1.2.2　主機IDS研究　
1.2.3　網絡IDS研究　
1.2.4　主機和網絡IDS的集成　
1.3　入侵檢測的基本概念　
1.3.1　入侵檢測的概念　
1.3.2　入侵檢測的作用　
1.3.3　研究入侵檢測的必要性　
習題　
第2章　入侵方法與手段　
2.1　網絡入侵　
2.1.1　什么是網絡入侵　
2.1.2　網絡入侵的一般流程　
2.1.3　典型網絡入侵方法分析　
2.2　漏洞掃描　
2.2.1　掃描器簡介　
2.2.2　秘密掃描　
2.2.3　OS Fingerprint技術　
2.3　口令破解　
2.3.1　Windows口令文件的格式及安全機制　
2.3.2　UNIX口令文件的格式及安全機制　
2.3.3　破解原理及典型工具　
2.4　拒絕服務攻擊　
2.4.1　拒絕服務攻擊的原理　
2.4.2　典型拒絕服務攻擊的手段　
2.5　分布式拒絕服務攻擊　
2.6　緩沖區(qū)溢出攻擊　
2.6.1　堆棧的基本原理　
2.6.2　一個簡單的例子　
2.7　格式化字符串攻擊　
2.8　跨站腳本攻擊　
2.9　SQL Injection攻擊　
習題　
第3章　入侵檢測系統　
3.1　入侵檢測系統的基本模型　
3.1.1　通用入侵檢測模型（Denning模型）　
3.1.2　層次化入侵檢測模型（IDM）　
3.1.3　管理式入侵檢測模型（SNMP-IDSM）　
3.2　入侵檢測系統的工作模式　
3.3　入侵檢測系統的分類　
3.3.1　根據目標系統的類型分類　
3.3.2　根據入侵檢測系統分析的數據來源分類　
3.3.3　根據入侵檢測分析方法分類　
3.3.4　根據檢測系統對入侵攻擊的響應方式分類　
3.3.5　根據系統各個模塊運行的分布方式分類　
3.4 入侵檢測系統的構架　
3.4.1　管理者　
3.4.2　代理　
3.5　入侵檢測系統的部署　
3.5.1　網絡中沒有部署防火墻時　
3.5.2　網絡中部署防火墻時　
習題　
第4章　入侵檢測流程　
4.1　入侵檢測的過程　
4.1.1　信息收集　
4.1.2　信息分析　
4.1.3　告警與響應　
4.2　入侵檢測系統的數據源　
4.2.1　基于主機的數據源　
4.2.2　基于網絡的數據源　
4.2.3　應用程序日志文件　
4.2.4　其他入侵檢測系統的報警信息　
4.2.5　其他網絡設備和安全產品的信息　
4.3　入侵分析的概念　
4.3.1　入侵分析的定義　
4.3.2　入侵分析的目的　
4.3.3　入侵分析應考慮的因素　
4.4　入侵分析的模型　
4.4.1　構建分析器　
4.4.2　分析數據　
4.4.3　反饋和更新　
4.5　入侵檢測的分析方法　
4.5.1　誤用檢測　
4.5.2　異常檢測　
4.5.3　其他檢測方法　
4.6　告警與響應　
4.6.1　對響應的需求　
4.6.2　響應的類型　
4.6.3　按策略配置響應　
4.6.4　聯動響應機制　
習題　
第5章　基于主機的入侵檢測技術　
5.1　審計數據的獲取　
5.1.1　系統日志與審計信息　
5.1.2　數據獲取系統結構設計　
5.2　審計數據的預處理　
5.3　基于統計模型的入侵檢測技術　
5.4　基于專家系統的入侵檢測技術　
5.5　基于狀態(tài)轉移分析的入侵檢測技術　
5.6　基于完整性檢查的入侵檢測技術　
5.7　基于智能體的入侵檢測技術　
5.8　系統配置分析技術　
5.9　檢測實例分析　
習題　
第6章　基于網絡的入侵檢測技術　
6.1　分層協議模型與TCP/IP協議簇　
6.1.1　TCP/IP協議模型　
6.1.2　TCP/IP報文格式　
6.2　網絡數據包的捕獲　
6.2.1　局域網和網絡設備的工作原理　
6.2.2　Sniffer介紹　
6.2.3　共享和交換網絡環(huán)境下的數據捕獲　
6.3　包捕獲機制與BPF模型　
6.3.1　包捕獲機制　
6.3.2　BPF模型　
6.4　基于Libpcap庫的數據捕獲技術　
6.4.1　Libpcap介紹　
6.4.2　Windows平臺下的Winpcap庫　
6.5　檢測引擎的設計　
6.5.1　模式匹配技術　
6.5.2　協議分析技術　
6.6　網絡入侵特征實例分析　
6.6.1　特征(Signature)的基本概念　
6.6.2　典型特征——報頭值　
6.6.3　候選特征　
6.6.4　最佳特征　
6.6.5　通用特征　
6.6.6　報頭值關鍵元素　
6.7　檢測實例分析　
6.7.1　數據包捕獲　
6.7.2　端口掃描的檢測　
6.7.3　拒絕服務攻擊的檢測　
習題　
第7章　入侵檢測系統的標準與評估　
7.1　入侵檢測的標準化工作　
7.1.1　CIDF　
7.1.2　IDMEF　
7.1.3　標準化工作總結　
7.2　入侵檢測系統的性能指標　
7.2.1　評價入侵檢測系統性能的標準　
7.2.2　影響入侵檢測系統性能的參數　
7.2.3　評價檢測算法性能的測度　
7.3　網絡入侵檢測系統測試評估　
7.4　測試評估內容　
7.4.1　功能性測試　
7.4.2　性能測試　
7.4.3　產品可用性測試　
7.5　測試環(huán)境和測試軟件　
7.5.1　測試環(huán)境　
7.5.2　測試軟件　
7.6　用戶評估標準　
7.7　入侵檢測評估方案　
7.7.1　離線評估方案　
7.7.2　實時評估方案　
習題　
第8章　Snort分析　
8.1　Snort的安裝與配置　
8.1.1　Snort簡介　
8.1.2　底層庫的安裝與配置　
8.1.3　Snort的安裝　
8.1.4　Snort的配置　
8.1.5　其他應用支撐的安裝與配置　
8.2　Snort總體結構分析　
8.2.1　Snort的模塊結構　
8.2.2　插件機制　
8.2.3　Libpcap應用的流程　
8.2.4　Snort的總體流程　
8.2.5　入侵檢測流程　
8.3　Snort的使用　
8.3.1　Libpcap的命令行　
8.3.2　Snort的命令行　
8.3.3　高性能的配置方式　
8.4　Snort的規(guī)則　
8.4.1　規(guī)則的結構　
8.4.2　規(guī)則的語法　
8.4.3　預處理程序　
8.4.4　輸出插件　
8.4.5　常用攻擊手段對應規(guī)則舉例　
8.4.6　規(guī)則的設計　
8.5　使用Snort構建入侵檢測系統實例　
習題　
第9章　入侵檢測的發(fā)展趨勢　
9.1　入侵檢測技術現狀分析　
9.2　目前的技術分析　
9.3　入侵檢測的先進技術　
9.4　入侵檢測的前景　
9.4.1　入侵檢測的能力　
9.4.2　高度的分布式結構　
9.4.3　廣泛的信息源　
9.4.4　硬件防護　
9.4.5　高效的安全服務　
9.4.6　IPv6對入侵檢測的影響　
習題　
附錄　主要入侵檢測系統介紹與分析　
附1　國外主要入侵檢測系統簡介　
附2　國內主要入侵檢測系統簡介　
參考文獻