There are two types of systems that

There are two types of systems that are called anomaly detectors: those based upon a
specification (or a set of rules) of what is regarded as “good/normal” behavior, and others
that learn the behavior of a system under normal operation. The first type relies upon
human expertise and may be regarded as a straightforward extension of typical misuse
detection IDS systems. Here we regard the latter type, where the behavior of a system is
automatically learned, as a true anomaly detection system.
Rule-based network intrusion detection systems such as Snort and Bro use hand-crafted
rules to identify known attacks, for example, virus signatures in the application payload,
and requests to nonexistent services or hosts. They can do little to stop zero-day worms.
They depend upon signatures only known after the worm has been launched successfully, essentially disclosing their new content and method. The rules can also be specified
for “good” behavior instead of “bad” behavior. Sekar [61] proposed specification-based
anomaly detection in which they specify all the legitimate behavior of a server, for instance, IP, TCP or SMTP, using finite state machines (FSM), and any execution path that
fails to track the specified FSM may be flagged as anomalous. But it’s hard to guarantee
that a manually-developed state machine is accurate and complete, and hard to update if

Kết quả (Việt) 1:

Có hai loại hệ thống được gọi là máy phát hiện bất thường: những người dựa trên mộtđặc điểm kỹ thuật (hoặc một tập các quy tắc) của những gì được coi là "tốt/bình thường" hành vi, và những người khácmà tìm hiểu hành vi của một hệ thống hoạt động bình thường. Các loại đầu tiên dựa vàochuyên môn của con người và có thể được coi là một phần mở rộng đơn giản của việc sử dụng sai tiêu biểuHệ thống nhận ID. Ở đây chúng tôi quan tâm là loại thứ hai, hành vi của một hệ thống ở đâutự động học được, như là một hệ thống phát hiện đúng bất thường.Hệ thống phát hiện xâm nhập dựa trên quy tắc mạng chẳng hạn như Snort và Bro sử dụng bàn tay-crafted.Các quy tắc để xác định các cuộc tấn công được biết đến, ví dụ, vi rút chữ ký trong tải trọng ứng dụng,và các yêu cầu dịch vụ không tồn tại hoặc máy chủ. Họ có thể làm ít để ngăn chặn zero ngày sâu.Họ phụ thuộc vào chữ ký chỉ được biết đến sau khi sâu đã được phóng thành công, về cơ bản tiết lộ nội dung mới và phương pháp của họ. Các quy tắc cũng có thể được xác địnhĐối với hành vi "tốt" thay vì "xấu" hành vi. An [61] đề xuất dựa trên đặc điểm kỹ thuậtphát hiện bất thường trong đó họ chỉ định tất cả hành vi hợp pháp của một máy chủ, ví dụ, IP, TCP hoặc SMTP, bằng cách sử dụng máy hữu hạn trạng thái (FSM), và bất kỳ đường dẫn thực hiện màkhông theo dõi FSM đã chỉ định có thể được gắn cờ là bất thường. Nhưng rất khó để đảm bảomột máy tính tự phát triển nhà nước là chính xác và đầy đủ, và khó để Cập Nhật nếu

Kết quả (Việt) 2:

Có hai loại hệ thống được gọi là phát hiện bất thường: những người dựa trên một
đặc điểm kỹ thuật (hoặc một tập hợp các quy tắc) của những gì được coi là "tốt / bình thường" hành vi, và những người khác
mà học hành vi của một hệ thống đang hoạt động bình thường. Loại thứ nhất dựa vào
chuyên môn của con người và có thể được coi như một phần mở rộng đơn giản của việc lạm dụng điển hình
hệ thống phát hiện IDS. Ở đây chúng ta coi các loại sau, nơi mà hành vi của một hệ thống được
tự động học, như một hệ thống phát hiện bất thường đúng.
hệ thống phát hiện xâm nhập mạng dựa trên nguyên tắc như chế tác bằng tay và Snort Bro sử dụng
quy tắc để xác định cuộc tấn công được, ví dụ, virus chữ ký trong payload ứng dụng,
và các yêu cầu tới các dịch vụ không tồn tại hoặc máy chủ. Họ có thể làm gì để ngăn chặn sâu zero-day.
Họ phụ thuộc vào chữ ký chỉ được biết đến sau khi con sâu đã được phóng thành công, về cơ bản công bố nội dung mới của họ và phương pháp. Các quy định này cũng có thể được chỉ định
cho "tốt" hành vi thay vì hành vi "xấu". Sekar [61] đề xuất dựa trên đặc điểm
phát hiện bất thường, trong đó họ xác định tất cả các hành vi hợp pháp của một máy chủ, ví dụ, IP, TCP hoặc SMTP, sử dụng máy trạng thái hữu hạn (FSM), và bất kỳ con đường thực hiện mà
không theo dõi các FSM định có thể được gắn cờ là bất thường. Nhưng thật khó để đảm bảo
rằng một máy nhà nước tự phát triển là chính xác và đầy đủ, và khó để cập nhật nếu