IDS的體系結(jié)構(gòu)

　　IDS在結(jié)構(gòu)上可劃分為數(shù)據(jù)收集和數(shù)據(jù)分析兩部分。 　　　　

　　一、 數(shù)據(jù)收集機制 　　　　

　　數(shù)據(jù)收集機制在IDS中占據(jù)著舉足輕重的位置。如果收集的數(shù)據(jù)時延較大，檢測就會失去作用；如果數(shù)據(jù)不完整，系統(tǒng)的檢測能力就會下降；如果由于錯誤或入侵者的行為致使收集的數(shù)據(jù)不正確，IDS就會無法檢測某些入侵，給用戶以安全的假象。 　　　　

　　1． 分布式與集中式數(shù)據(jù)收集機制 　　　　

　　分布式數(shù)據(jù)收集：檢測系統(tǒng)收集的數(shù)據(jù)來自一些固定位置而且與受監(jiān)視的網(wǎng)元數(shù)量無關(guān)。 　　　

　　集中式數(shù)據(jù)收集：檢測系統(tǒng)收集的數(shù)據(jù)來自一些與受監(jiān)視的網(wǎng)元數(shù)量有一定比例關(guān)系的位置�！　�

　　集中式和分布式數(shù)據(jù)收集方式的區(qū)別通常是衡量IDS數(shù)據(jù)收集能力的標(biāo)志，它們幾乎以相同的比例應(yīng)用于當(dāng)前的IDS產(chǎn)品中。據(jù)專家預(yù)言，分布式數(shù)據(jù)收集機制在若干年后將會占有優(yōu)勢。 　　　　

　　2． 直接監(jiān)控和間接監(jiān)控 　　　　

　　如果IDS從它所監(jiān)控的對象處直接獲得數(shù)據(jù)，則稱為直接監(jiān)控；反之，如果IDS依賴一個單獨的進(jìn)程或工具獲得數(shù)據(jù)，則稱為間接監(jiān)控。 　　　

　　就檢測入侵行為而言，直接監(jiān)控要優(yōu)于間接監(jiān)控，由于直接監(jiān)控操作的復(fù)雜性，目前的IDS產(chǎn)品中只有不足20%使用了直接監(jiān)控機制。 　　　

　　3． 基于主機的數(shù)據(jù)收集和基于網(wǎng)絡(luò)的數(shù)據(jù)收集 　　　　

　　基于主機的數(shù)據(jù)收集是從所監(jiān)控的主機上獲取的數(shù)據(jù); 基于網(wǎng)絡(luò)的數(shù)據(jù)收集是通過被監(jiān)視網(wǎng)絡(luò)中的數(shù)據(jù)流獲得數(shù)據(jù)。 　　　　

　　總體而言，基于主機的數(shù)據(jù)收集要優(yōu)于基于網(wǎng)絡(luò)的數(shù)據(jù)收集。 　　　　

　　4． 外部探測器和內(nèi)部探測器 　　　　

　　外部探測器是負(fù)責(zé)監(jiān)測主機中某個組件（硬件或軟件）的軟件。它將向IDS提供所需的數(shù)據(jù)，這些操作是通過獨立于系統(tǒng)的其他代碼來實施的。 　　　　

　　內(nèi)部探測器是負(fù)責(zé)監(jiān)測主機中某個組件（硬件或軟件）的軟件。它將向IDS提供所需的數(shù)據(jù)，這些操作是通過該組件的代碼來實施的。 　

　　外部探測器和內(nèi)部探測器在用于數(shù)據(jù)收集時各有利弊，可以綜合使用。 　　　　

　　由于內(nèi)部探測器實現(xiàn)起來的難度較大，所以在現(xiàn)有的IDS產(chǎn)品中，只有很少的一部分采用它。

　　二、 數(shù)據(jù)分析機制 　　　　

　　根據(jù)IDS如何處理數(shù)據(jù)，可以將IDS分為分布式IDS和集中式IDS。 　　　　

　　分布式IDS：在一些與受監(jiān)視組件相應(yīng)的位置對數(shù)據(jù)進(jìn)行分析的IDS。 　　　　

　　集中式IDS：在一些固定且不受監(jiān)視組件數(shù)量限制的位置對數(shù)據(jù)進(jìn)行分析的IDS。

億恩科技地址(ADD)：鄭州市黃河路129號天一大廈608室 郵編(ZIP)：450008 傳真(FAX)：0371-60123888
   聯(lián)系：億恩小凡
   QQ：89317007
   電話:0371-63322206

服務(wù)器租用/服務(wù)器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]