数码资讯
Windows入门级IDS构建过程的详细描述
点评：从实用的角度来看，市场上的价格从几十万到几百万的IDS产品的普及，这种相对昂贵的奶酪已被广泛批评，结果是不一般：中小企业要实现入侵检测产品的能力，增强他们的精力会放在路由器、防火墙超过3层的开关在大中型企业；尽管许多产品已在入侵检测系统IDS，但自然 从实用的角度来看，市场上的价格从几十万到几
选购提示
关注价格、性能、续航、售后和真实使用场景，理性比较后再下单。
点评：从实用的角度来看，市场上的价格从几十万到几百万的IDS产品的普及，这种相对昂贵的奶酪已被广泛批评，结果是不一般：中小企业要实现入侵检测产品的能力，增强他们的精力会放在路由器、防火墙超过3层的开关在大中型企业；尽管许多产品已在入侵检测系统IDS，但自然
从实用的角度来看，市场上的价格从几十万到几百万的IDS产品的普及，这种相对昂贵的奶酪已被广泛批评，结果是不一般：中小企业要实现入侵检测产品的能力，增强他们的精力会放在路由器、防火墙和更多比3层交换机的高；虽然很多企业已经在入侵检测系统IDS产品，但天然的缺陷是导致行动。但我们不老，因为ID是一个必要的过程，具有IDS IPS的功能可能会在几年内完全取代单一的IDS市场主导地位，从被动到主动防御是代表大势。
事实上，入侵检测技术也不是很神秘的，然后我们将使用一个语境；跟踪；介绍一个简单的入门级IDS框架。从市场分布和难度来看，它更适合选择入侵检测系统为例，本文贯穿整个检测过程的一个完整的Windows平台，这是表示在一个定性的分析，由于篇幅所限。
预备知识
IDS：入侵检测系统（入侵检测系统），通过收集网络系统信息，实现对入侵检测和分析的软、硬件的智能组合。
标准化组织：IDS检测，IETF工作组（IDWG，入侵检测，入侵检测工作组）和通用入侵检测框架（检测、通用入侵检测框架）作为国际互联网标准。
IDS分类：基于网络的IDS（基于网络）、基于主机的IDS（基于主机）、混合IDS（混合）、控制台IDS（控制台）、文件完整性检查器（文件完整性检查器）和蜜罐。
事件生成系统
入侵检测系统（IDS）的通用模型的思想是基于CIDF阐述，所有的元素和最简单的入侵检测组件如图所示。
根据CIDF规范，使入侵检测系统需要分析的数据统称为事件（事件）。事件可以是网络中的数据包（数据包），也可以是来自系统日志等其他方面的信息。
没有数据流（数据收集），IDS是一根木头，一个完全无用的地面。
入侵检测作为一种基层组织、事件生成系统可以部署，它收集的所有事件的定义，然后在秋天蔓延到其他部分。在Windows环境下，基本的做法是使用Winpcap和WinDump。
你知道的，对事件及事件分析系统，采用现在流行的Linux和Unix平台的软件和程序；事实上，在Windows平台上，有一个类似libpcap（从核心网络数据包捕获工具软件UNIX或Linux）winpcap。
Winpcap是一套免费的，基于Windows的网络接口API，设置网卡的混合模式，然后回收，通过网络捕获的数据包，其工艺简单、可移植性、独立的网络卡，但它是没有效率的。它适用于100兆比特以下的网络。
相应的网络嗅探工具基于Windows WinDump，这是一个移植版本的Linux / Unix平台tcpdump。软件必须基于WinPcap的界面（这里是数据嗅探驱动图像WinPcap）。用WinDump，它可以显示匹配的分组规则，包头。你可以使用这个工具来发现网络问题，或者监控情况，在网络上，在一定程度上有效地监测从网络安全与不安全行为。
这两个软件可以免费在互联网上找到，读者也可以看看相关软件的教程。
下面简要介绍建立事件检测和收集的步骤。
1。组装软件和硬件系统，根据网络的繁忙程度，决定是否使用通用兼容机或高性能专用服务器。如果我们安装NT核心Windows操作系统，我们推荐Windows Server 2003企业版。如果条件不满意，我们也可以使用Windows 2000高级服务器。
2。服务器空间分区应该合理有效，安装执行程序，存储数据日志，这两个空间最好放在不同的分区中。
3的简单实现。Winpcap。先安装其驱动程序，你可以下载WinPcap的自动安装程序（驱动程序DLL）的主页或镜像站点，并安装它直接。
注意：如果你使用WinPcap开发，你还需要下载开发包。
软件分为三大模块：第一模块，NPF（网络组包过滤器），是VxD（虚拟设备驱动程序）文件，它的功能是过滤数据包并将其完整的用户模式模块，第二模块Packet.dll，提供Win32平台的通用接口，架构Packet.dll，并提供更方便、更直接的编程方法。第三模块Wpcap.dll，不依赖于任何操作系统，而且是底层的动态链接库，提供了一个高层次的、抽象的功能，在各大网站的说明具体的使用都有涉及，如何更好利用Winpcap需要强大的C环境下的编程能力。
创造4。WinDump。安装后，在Windows命令提示符运行模式，用户可以查看网络状态本身，而不是去描述它。
如果没有软件兼容性问题，正确地安装和配置，就可以实现事件检测和收集。
事件分析系统
因为我们的网络是交换式以太网交换机连接，所以事件分析系统的建立是实现各种网络防火墙设备检测的目的，以及各种收集方法（如SNMP、Syslog日志数据收集）的支持，并提供事件日志处理、统计、查询功能分析。
事件分析系统是入侵检测系统的核心模块。它的主要功能是分析各种事件。这是一个重点和难点是找出如何行为违反安全策略。如果你可以与人合作或软件系统，你需要做一个严谨的前期准备，如一个更清楚的了解网络协议，黑客攻击的漏洞，然后开始制定规则和策略，它应该是基于技术标准和规范，进而优化算法，提高了检测效率，建立的模型可以模拟攻击和分析过程。
事件分析系统通过检测引擎驻留在监控网络段中。一般通过模式匹配、协议分析和行为分析三种方法来分析，当检测到某一误用模式时，会生成相应的告警信息并发送到响应系统，目前使用协议分析是实时检测的最佳方法。
一种可能的方式，这个系统是由协议分析仪为主体，可以是现成的，开放的协议分析工具构建的基础；协议分析仪可以显示数据包级的网络传输流规则基于自动预警分析网络协议快速检测攻击；因此，网络程序员和管理员可以监视和网络活动，从而发现和定位故障，用户可以免费的网络协议分析器Ethereal，支持Windows系统。用户可以对保存在硬盘事件后生成系统捕获的数据。你可以交互式地浏览捕获的数据包并看到的摘要和详细它有许多强大的特性，如支持几乎所有协议、丰富的过滤语言，以及易于查看TCP会话的重新配置数据流。
响应系统
响应系统是面向人与物的交互系统。可以说是整个系统的中转站和协调站，一个人是系统管理员，一个东西是所有其他组件。
这样，很多系统响应协调办：根据预设的定义，记录安全事件、报警信息（如电子邮件），记录附加日志，隔离入侵者、终止进程、港口服务、禁止受害者甚至打开；可以采取人工应答和自动响应（基于两者的结合反应机），会更好。
响应系统的设计要素：
1、在事件分析系统过滤、分析和重建后，接受事件警报信息，然后与用户（管理员）交互，进行查询和规则判断和管理行为。
2、为管理员提供了一个管理事件数据库系统的接口，它可以根据不同的网络环境修改规则库和配置安全策略，并对数据库系统进行读写操作。
3、当我们在前端系统工作时，我们可以管理事件生成和分析系统（统称为事件检测器），对收集到的事件进行分类和过滤，检测和分析，并对不同的安全情况重新制定安全规则。
响应系统和事件检测器通常以应用程序的形式实现。
设计思想：响应系统分为程序、监控两部分，监控部分绑定一个空闲端口，接收来自事件检测器的分析结果和其他信息，并将存储文件转换为事件数据库系统。作为管理员，可以读取、修改和操作，根据用户的权限，控制部分可以用GTK+编写的GUI，并制定一个更直观的图形用户界面。目的是为用户提供一个更方便、更友好的界面来浏览告警信息。
事件数据库系统
在Windows平台下，虽然访问更容易掌握，但是SQL Server 2000的构建将比访问更有效，而且启动也不是很困难。相关用法请参考微软SQL Server 2000在线版中文版（2004）。
该系统的主要功能是记录、存储和重排事件信息，供管理员调用、查看、查看和获取攻击证据。
系统结构比较简单，只需要数据库软件的一些基本功能。
协调组件之间的有目的的交际，组件必须能够正确理解相互之间传递的各种数据的语义。3层模型可以参照CIDF的沟通机制的构建。注意各组件的互操作性，确保安全、高效、顺畅。
整合将在后续工作中继续进行，每个组件的功能也将不断得到完善，构建一个基本的基于Windows的IDS框架，以满足网络条件，尝试做自己的奶酪，有一种难以形容的工作之后的甜蜜。
从实用的角度来看，市场上的价格从几十万到几百万的IDS产品的普及，这种相对昂贵的奶酪已被广泛批评，结果是不一般：中小企业要实现入侵检测产品的能力，增强他们的精力会放在路由器、防火墙和更多比3层交换机的高；虽然很多企业已经在入侵检测系统IDS产品，但天然的缺陷是导致行动。但我们不老，因为ID是一个必要的过程，具有IDS IPS的功能可能会在几年内完全取代单一的IDS市场主导地位，从被动到主动防御是代表大势。
事实上，入侵检测技术也不是很神秘的，然后我们将使用一个语境；跟踪；介绍一个简单的入门级IDS框架。从市场分布和难度来看，它更适合选择入侵检测系统为例，本文贯穿整个检测过程的一个完整的Windows平台，这是表示在一个定性的分析，由于篇幅所限。
预备知识
IDS：入侵检测系统（入侵检测系统），通过收集网络系统信息，实现对入侵检测和分析的软、硬件的智能组合。
标准化组织：IDS检测，IETF工作组（IDWG，入侵检测，入侵检测工作组）和通用入侵检测框架（检测、通用入侵检测框架）作为国际互联网标准。
IDS分类：基于网络的IDS（基于网络）、基于主机的IDS（基于主机）、混合IDS（混合）、控制台IDS（控制台）、文件完整性检查器（文件完整性检查器）和蜜罐。
事件生成系统
入侵检测系统（IDS）的通用模型的思想是基于CIDF阐述，所有的元素和最简单的入侵检测组件如图所示。
根据CIDF规范，使入侵检测系统需要分析的数据统称为事件（事件）。事件可以是网络中的数据包（数据包），也可以是来自系统日志等其他方面的信息。
没有数据流（数据收集），IDS是一根木头，一个完全无用的地面。
入侵检测作为一种基层组织、事件生成系统可以部署，它收集的所有事件的定义，然后在秋天蔓延到其他部分。在Windows环境下，基本的做法是使用Winpcap和WinDump。
你知道的，对事件及事件分析系统，采用现在流行的Linux和Unix平台的软件和程序；事实上，在Windows平台上，有一个类似libpcap（从核心网络数据包捕获工具软件UNIX或Linux）winpcap。
Winpcap是一套免费的，基于Windows的网络接口API，设置网卡的混合模式，然后回收，通过网络捕获的数据包，其工艺简单、可移植性、独立的网络卡，但它是没有效率的。它适用于100兆比特以下的网络。
相应的网络嗅探工具基于Windows WinDump，这是一个移植版本的Linux / Unix平台tcpdump。软件必须基于WinPcap的界面（这里是数据嗅探驱动图像WinPcap）。用WinDump，它可以显示匹配的分组规则，包头。你可以使用这个工具来发现网络问题，或者监控情况，在网络上，在一定程度上有效地监测从网络安全与不安全行为。
这两个软件可以免费在互联网上找到，读者也可以看看相关软件的教程。
下面简要介绍建立事件检测和收集的步骤。
1。组装软件和硬件系统，根据网络的繁忙程度，决定是否使用通用兼容机或高性能专用服务器。如果我们安装NT核心Windows操作系统，我们推荐Windows Server 2003企业版。如果条件不满意，我们也可以使用Windows 2000高级服务器。
2。服务器空间分区应该合理有效，安装执行程序，存储数据日志，这两个空间最好放在不同的分区中。
3的简单实现。Winpcap。先安装其驱动程序，你可以下载WinPcap的自动安装程序（驱动程序DLL）的主页或镜像站点，并安装它直接。
注意：如果你使用WinPcap开发，你还需要下载开发包。
软件分为三大模块：第一模块，NPF（网络组包过滤器），是VxD（虚拟设备驱动程序）文件，它的功能是过滤数据包并将其完整的用户模式模块，第二模块Packet.dll，提供Win32平台的通用接口，架构Packet.dll，并提供更方便、更直接的编程方法。第三模块Wpcap.dll，不依赖于任何操作系统，而且是底层的动态链接库，提供了一个高层次的、抽象的功能，在各大网站的说明具体的使用都有涉及，如何更好利用Winpcap需要强大的C环境下的编程能力。
创造4。WinDump。安装后，在Windows命令提示符运行模式，用户可以查看网络状态本身，而不是去描述它。
如果没有软件兼容性问题，正确地安装和配置，就可以实现事件检测和收集。
事件分析系统
因为我们的网络是交换式以太网交换机连接，所以事件分析系统的建立是实现各种网络防火墙设备检测的目的，以及各种收集方法（如SNMP、Syslog日志数据收集）的支持，并提供事件日志处理、统计、查询功能分析。
事件分析系统是入侵检测系统的核心模块。它的主要功能是分析各种事件。这是一个重点和难点是找出如何行为违反安全策略。如果你可以与人合作或软件系统，你需要做一个严谨的前期准备，如一个更清楚的了解网络协议，黑客攻击的漏洞，然后开始制定规则和策略，它应该是基于技术标准和规范，进而优化算法，提高了检测效率，建立的模型可以模拟攻击和分析过程。
事件分析系统通过检测引擎驻留在监控网络段中。一般通过模式匹配、协议分析和行为分析三种方法来分析，当检测到某一误用模式时，会生成相应的告警信息并发送到响应系统，目前使用协议分析是实时检测的最佳方法。
一种可能的方式，这个系统是由协议分析仪为主体，可以是现成的，开放的协议分析工具构建的基础；协议分析仪可以显示数据包级的网络传输流规则基于自动预警分析网络协议快速检测攻击；因此，网络程序员和管理员可以监视和网络活动，从而发现和定位故障，用户可以免费的网络协议分析器Ethereal，支持Windows系统。用户可以对保存在硬盘事件后生成系统捕获的数据。你可以交互式地浏览捕获的数据包并看到的摘要和详细它有许多强大的特性，如支持几乎所有协议、丰富的过滤语言，以及易于查看TCP会话的重新配置数据流。
响应系统
响应系统是面向人与物的交互系统。可以说是整个系统的中转站和协调站，一个人是系统管理员，一个东西是所有其他组件。
这样，很多系统响应协调办：根据预设的定义，记录安全事件、报警信息（如电子邮件），记录附加日志，隔离入侵者、终止进程、港口服务、禁止受害者甚至打开；可以采取人工应答和自动响应（基于两者的结合反应机），会更好。
响应系统的设计要素：
1、在事件分析系统过滤、分析和重建后，接受事件警报信息，然后与用户（管理员）交互，进行查询和规则判断和管理行为。
2、为管理员提供了一个管理事件数据库系统的接口，它可以根据不同的网络环境修改规则库和配置安全策略，并对数据库系统进行读写操作。
3、当我们在前端系统工作时，我们可以管理事件生成和分析系统（统称为事件检测器），对收集到的事件进行分类和过滤，检测和分析，并对不同的安全情况重新制定安全规则。
响应系统和事件检测器通常以应用程序的形式实现。
设计思想：响应系统分为程序、监控两部分，监控部分绑定一个空闲端口，接收来自事件检测器的分析结果和其他信息，并将存储文件转换为事件数据库系统。作为管理员，可以读取、修改和操作，根据用户的权限，控制部分可以用GTK+编写的GUI，并制定一个更直观的图形用户界面。目的是为用户提供一个更方便、更友好的界面来浏览告警信息。
事件数据库系统
在Windows平台下，虽然访问更容易掌握，但是SQL Server 2000的构建将比访问更有效，而且启动也不是很困难。相关用法请参考微软SQL Server 2000在线版中文版（2004）。
该系统的主要功能是记录、存储和重排事件信息，供管理员调用、查看、查看和获取攻击证据。
系统结构比较简单，只需要数据库软件的一些基本功能。
协调组件之间的有目的的交际，组件必须能够正确理解相互之间传递的各种数据的语义。3层模型可以参照CIDF的沟通机制的构建。注意各组件的互操作性，确保安全、高效、顺畅。
整合将在后续工作中继续进行，每个组件的功能也将不断得到完善，构建一个基本的基于Windows的IDS框架，以满足网络条件，尝试做自己的奶酪，有一种难以形容的工作之后的甜蜜。
声明：本文内容用于数码产品信息整理与选购参考，具体价格、库存、售后政策以官方渠道和电商页面实时信息为准。