8.10. 入侵检测¶

8.10.1. IDS与IPS¶

IDS与IPS是常见的防护设备，IPS相对IDS的不同点在于，IPS通常具有阻断能力。

8.10.2. 常见入侵点¶

Web入侵
高危服务入侵

8.10.3. 监控实现¶

8.10.3.1. 客户端监控¶

监控敏感配置文件
常用命令ELF文件完整性监控
- ps
- lsof
- …
rootkit监控
资源使用报警
- 内存使用率
- CPU使用率
- IO使用率
- 网络使用率
新出现进程监控
基于inotify的文件监控

8.10.3.2. 网络检测¶

基于网络层面的攻击向量做检测，如Snort等。

8.10.3.3. 日志分析¶

将主机系统安全日志/操作日志、网络设备流量日志、Web应用访问日志、SQL应用访问日志等日志集中到一个统一的后台，在后台中对各类日志进行综合的分析。

8.10.4. 参考链接¶