缺点是可视化程度不够，防范及管理功能较弱。 第四阶段是以安全管理+协议分析+模式匹配+异常统计为主的技术，其优点是入侵管理和多项技术协同工作，建立全局的主动保障体系，具有良好的可视化、可控性和可管理性。以该技术为核心，可构造一个积极的动态防御体系，即入侵管理系统IMS。
随着时代的发展，入侵检测技术将朝着3个方向发展： （1）分布式入侵检测：第一层含义，即针对分布式网络攻击的检测方法；第二层含义，即使用分布式的方法来检测分布式的攻击，其中的关键技术为检测信息的协同处理与入侵攻击的全局信息的提取。
（2）智能化入侵检测：即使用智能化的方法与手段来进行入侵检测。所谓的智能化方法，现阶段常用的有神经网络、遗传算法、模糊技术、免疫原理等方法，这些方法常用于入侵特征的辨识与泛化。 （3）全面的安全防御方案：即使用安全工程风险管理的思想与方法来处理网络安全问题，将网络安全作为一个整体工程来处理。从管理、网络结构、加密通道、防火墙、病毒防护、入侵检测多方位对所关注的网络作出全面的评估，然后提出可行的整体解决方案。 3．入侵检测原理与系统结构 入侵检测可分为实时入侵检测和事后入侵检测，如下图所示。
36
实时入侵检测原理 事后入侵检测原理
1） 实时入侵检测在网络连接过程中进行，系统根据用户的历史行为模型、存储在计算机中的专家知识以及神经网络模型对用户当前的操作进行判断，一旦发现入侵迹象立即断开入侵者与主机的连接，并收集证据和实施数据恢复。
2） 事后入侵检测由网络管理人员定期或不定期进行，根据计算机系统对用户操作所做的历史审计记录判断用户是否具有入侵行为，如果有就断开连接，并记录入侵证据和进行数据恢复；但是其入侵检测的能力不如实时入侵检测系统。 4。入侵检测系统的模型
入侵检测系统至少应该包含3个模块，即提供信息的信息源、发现入侵迹象的分析器和入侵响应部件。为此，美国国防部高级计划局提出了公共入侵检测模型（Common Intrusion Detection Framework，
用户历史行为专家知识神经网络模型入侵？是断开连接收集证据数据恢复否入侵检测检测用户当前操作用户当前操作入侵检测专家知识断开连接收集证据数据恢复 37
CIDF），阐述了一个入侵检测系统IDS的通用模型。它将一个入侵检测系统分为4个组件，如图所示。
入侵检测系统的组成
5。入侵检测系统的部署
入侵检测系统（IDS）是一种对网络传输进行即时监视，在发现可疑传输时发出警报或采取主动反应措施的网络设备。
IDS在交换式网络中的位置一般选择在尽可能靠近攻击源和受保护的资源处（通常是在服务器区域的交换机上、Internet接入路由器之后的第一台交换机上或重点保护网段的局域网交换机上）。经典入侵检测系统的部署方式如图所示。
38
事件产生器（Event Generators）事件分析器（Event Analyzers）响应单元（Response Units ）事件数据库（Event Databases ）源于网络上的数据包
经典的入侵检测系统的部署方式
6。网络系统漏洞的概念
网络系统漏洞也称为网络系统的脆弱性、缺陷等，是指网络系统的软件、硬件或策略上的不安全因素。网络系统漏洞可以分为两类：软漏洞和硬漏洞。软漏洞是由网络系统配置不当引起的；硬漏洞是软件或硬件厂商的生产过程造成的。网络系统的脆弱性是网络安全评估的测试对象，评估者对其的理解和测试方法是影响评估结果的决定因素。
7。网络扫描技术
网络扫描技术是一种基于Internet远程检测目标网络或本地主机安全性脆弱点的技术。扫描采取模拟攻击的形式，对目标可能存在的已知安全漏洞逐项进行检查。目标可以是工作站、服务器、交换机、路由器和数据库应用等。通过扫描，系统管理员能够发现所维护的Web服务器的各种TCP/IP端口的分配、开放的服务、Web服务的软件版本及软件呈现在Internet上的安全漏洞，并根据扫描结果提供周
39
密、可靠的分析报告。网络扫描技术与防火墙、安全监控系统互相配合就能够为网络提供很高的安全性。
一次完整的网络安全扫描，分为如下3个阶段。 （1）第一阶段：发现目标主机或网络。
（2）第二阶段：发现目标后进一步搜集目标信息，包括操作系统类型、运行的服务以及服务软件的版本等。如果目标是一个网络，还可以进一步发现该网络的拓扑结构、路由设备以及各主机的信息。 （3）第三阶段：根据搜集到的信息判断或者进一步测试系统是否存在安全漏洞。 8。网络监听的原理
目前很流行的以太网协议的工作方式是：将要发送的数据包发往连接在一起的所有主机，包中包含着应该接收数据包主机的正确地址，只有与数据包中目的地址一致的那台主机才能接收。但是，当主机工作在监听模式下时，无论数据包中的目的地址是什么，主机都将接收。
当数字信号到达一台主机的网络接口时，正常情况下网络接口读入数据帧，进行检查，如果数据帧中携带的物理地址是自己的或者是广播地址，则将数据帧交给上层IP协议软件，否则就将该帧丢弃。对于每一个到达网络接口的数据帧，都要进行这个过程。然而，当主机工作在监听模式下时，所有的数据帧都将被交给上层协议软件处理。而且，当连接在同一条电缆或集线器上的主机被逻辑地分为几个子网时，如果一台主机处于监听模式下，它还能接收到发往与自己
40