入侵检测中信息收集的内容都有哪些,这些信息的来源一般有哪些?

Question

如题所述

Answer 1

1. 系统状态：包括操作系统、数据库和中间件等关键组件的运行状况。
2. 网络状态：涉及网络流量分析、连接行为和路由器、交换机等网络设备的日志信息。
3. 数据状态：包括数据存储、访问模式和数据内容的异常变化。
4. 用户活动状态：涵盖用户登录行为、权限使用情况以及操作系统的用户行为日志。
信息来源通常分为以下几类：
1. 系统日志：来自操作系统、应用程序和服务器的日志文件，记录了正常和异常事件。
2. 目录和文件：监控文件和目录的修改、访问和权限变更，以识别未授权的活动。
3. 程序执行：分析程序的执行路径、参数和返回值，以检测潜在的恶意代码或异常行为。
4. 物理形式入侵信息：如入侵检测系统（IDS）和入侵防御系统（IPS）提供的物理安全事件数据。