Based on the type of events or data

Based on the type of events or data the IDS analyze in order to detect intrusions, it is also possible to distinguish between host-based and network-based IDS. Host-based IDS are installed on and protect single hosts, usually by inspecting system log data. For example, the audited system log data may be sequences of system calls2 [114]. Host-based IDS can also monitor single applications. For example, an host-based IDS protecting a web server may monitor the logs produced by the http server software looking for anomalous http request patterns. On the other hand, network-based IDS analyze packets crossing an entire network segment. Network-based IDS have the advantage of being able to protect a high number of hosts at the same time. However, they can suffer from per- formance problems due to the large amount of traffic they need to analyze in real-time and possible attacks that exploit ambiguities in network protocols and cause the exhaustion of the memory and computational resources of the IDS [39]. Furthermore, network-based IDS cannot easily monitor encrypted communications and are inherently unable to monitor intrusive activities that do not pro- duce externally (with respect to a single host) observable evidence. On the other hand, host-based IDS have access to detailed information on system events but may be disabled or made useless by an attacker who successfully gains administrative privileges on the protected machine. Intrusions that bring to the installation of so called root kits3 [49] are an example of such attacks. Once the root kit is installed, it is usually possible for the attacker to cover the traces of malicious activities by, for example, cleaning the system logs, hiding information about malicious processes at the kernel level, etc.

Kết quả (Việt) 1:

Dựa trên các loại dữ liệu hoặc sự kiện các ID phân tích nhằm phát hiện xâm nhập, nó cũng có thể phân biệt giữa ID dựa trên máy chủ và dựa trên mạng. Dựa trên máy chủ lưu trữ ID được cài đặt trên và bảo vệ máy chủ duy nhất, thường bằng cách kiểm tra dữ liệu đăng nhập hệ thống. Ví dụ, dữ liệu Nhật ký kiểm toán hệ thống có thể là các chuỗi của hệ thống calls2 [114]. Dựa trên máy chủ lưu trữ ID cũng có thể theo dõi ứng dụng duy nhất. Ví dụ, một máy chủ lưu trữ dựa trên ID bảo vệ một máy chủ web có thể theo dõi các bản ghi được sản xuất bởi phần mềm máy chủ http, tìm kiếm các mẫu yêu cầu http dị thường. Mặt khác, ID mạng dựa trên phân tích gói tin qua một phân đoạn toàn bộ mạng. Dựa trên mạng ID có lợi thế của việc có thể để bảo vệ một số cao của máy chủ cùng một lúc. Tuy nhiên, họ có thể bị một formance vấn đề do số lượng lớn các lưu lượng truy cập, họ cần phải phân tích thời gian thực và có thể tấn công khai thác ambiguities trong các giao thức mạng và gây ra kiệt sức của bộ nhớ và các tài nguyên tính toán của các ID [39]. Hơn nữa, mạng dựa trên ID không thể dễ dàng theo dõi được mã hóa truyền thông và vốn đã không thể theo dõi các hoạt động xâm nhập làm bằng chứng quan sát được không pro-duce bên ngoài (đối với một máy chủ duy nhất). Mặt khác, máy chủ lưu trữ dựa trên ID có thể truy cập các thông tin chi tiết về sự kiện hệ thống nhưng có thể bị vô hiệu hoá hoặc vô dụng được thực hiện bởi một kẻ tấn công những người thành công thu quyền quản trị trên máy tính được bảo vệ. Sự xâm nhập mang lại để cài đặt như vậy gọi là rễ kits3 [49] là một ví dụ về các cuộc tấn công. Khi bộ rễ được cài đặt, nó là thường có thể cho kẻ tấn công để che dấu vết của các hoạt động nguy hiểm, ví dụ, làm sạch các bản ghi hệ thống, ẩn các thông tin về các quy trình độc hại ở mức độ hạt nhân, vv.

Kết quả (Việt) 2:

Dựa vào loại sự kiện hoặc dữ liệu IDS phân tích để phát hiện xâm nhập, nó cũng có thể phân biệt giữa các máy chủ cơ sở và IDS dựa trên mạng. IDS dựa trên máy chủ được cài đặt trên và bảo vệ vật chủ duy nhất, thường là bằng cách kiểm tra dữ liệu đăng nhập hệ thống. Ví dụ, hệ thống dữ liệu log kiểm toán có thể là chuỗi hệ thống calls2 [114]. IDS dựa trên máy chủ cũng có thể giám sát các ứng dụng duy nhất. Ví dụ, một IDS dựa trên máy chủ để bảo vệ một máy chủ web có thể theo dõi các bản ghi được tạo ra bởi phần mềm máy chủ http tìm kiếm các mô hình yêu cầu http bất thường. Mặt khác, IDS dựa trên mạng phân tích các gói tin đi qua toàn bộ đoạn mạng. IDS dựa trên mạng có lợi thế của việc có thể để bảo vệ một số lượng lớn các máy chủ cùng một lúc. Tuy nhiên, họ có thể bị các vấn đề suất hoạt động do số lượng lớn lưu lượng cần thiết để phân tích trong thời gian thực và có thể tấn công khai thác sự mơ hồ trong các giao thức mạng và gây ra sự cạn kiệt của các bộ nhớ và tài nguyên tính toán của IDS [39] . Hơn nữa, IDS dựa trên mạng không có thể dễ dàng theo dõi thông tin liên lạc được mã hóa và vốn đã không thể theo dõi các hoạt động xâm nhập mà không làm Duce trình bên ngoài (đối với một máy chủ duy nhất) bằng chứng quan sát được. Mặt khác, IDS dựa trên máy chủ có thể truy cập thông tin chi tiết về các sự kiện hệ thống, nhưng có thể được vô hiệu hóa hoặc làm vô dụng bởi một kẻ tấn công giành được thành công đặc quyền quản trị trên máy tính được bảo vệ. Xâm nhập mà mang đến cho các cài đặt như vậy gọi là kits3 gốc [49] là một ví dụ về các cuộc tấn công như vậy. Khi root kit được cài đặt, nó thường có thể cho những kẻ tấn công để trang trải các dấu vết của hoạt động độc hại bằng cách, ví dụ, làm sạch các bản ghi hệ thống, che giấu thông tin về các tiến trình độc hại ở mức độ hạt nhân, vv