入侵偵測系統的原理

• 統計上的異常行為偵測：紀錄使用者的正常行為模式，用此行為模式判斷目前觀察到的行為，看看是不是入侵者

  • 門檻偵測：一天、嘗試登入2000次
  • 以紀錄檔為基礎：平日都五點半準時下班的某甲，連續三天晚上七點進入公司的電腦

• 規則方式偵測：定義一組規則，決定某種行為是否為入侵者

  • 異常偵測：類似統計上的異常行為偵測，但使用 rule base方法
  • 穿透鑑別：利用專家系統來收集可疑行為：使用者嘗試轉變為root身份、嘗試執行已知的入侵程式