2.1.1 Anomaly detectionThe most com

2.1.1 Anomaly detection
The most common way people approach network intrusion detection is to detect statistical anomalies. The idea behind this approach is to measure a "baseline" of such stats as CPU utilization, disk activity, user logins, file activity, and so forth. Then, the system can trigger when there is a deviation from this baseline.
The benefit of this approach is that it can detect the anomalies without having to understand the underlying cause behind the anomalies.

For example, let's say that you monitor the traffic from individual workstations. Then, the system notes that at 2am, a lot of these workstations start logging into the servers and carrying out tasks. This is something interesting to note and possibly take action on.

2.1.2 Signature recognition
The majority of commercial products are based upon examining the traffic looking for well-known patterns of attack. This means that for every hacker technique, the engineers code something into the system for that technique.
This can be as simple as a pattern match. The classic example is to example every packet on the wire for the pattern "/cgi-bin/phf?", which might indicate somebody attempting to access this vulnerable CGI script on a web-server. Some IDS systems are built from large databases that contain hundreds (or thousands) of such strings. They just plug into the wire and trigger on every packet they see that contains one of these strings.

Kết quả (Việt) 1:

2.1.1 bất thường phát hiệnPhổ biến nhất cách mọi người tiếp cận mạng xâm nhập phát hiện là để phát hiện các thống kê bất thường. Ý tưởng đằng sau cách tiếp cận này là để đo lường một đường cơ sở"" của các số liệu thống kê là sử dụng CPU, đĩa hoạt động, người sử dụng thông tin đăng nhập, hoạt động tập tin và vv. Sau đó, Hệ thống có thể kích hoạt khi có một độ lệch từ đường cơ sở này.Lợi ích của phương pháp này là nó có thể phát hiện các bất thường mà không cần phải hiểu nguyên nhân tiềm ẩn đằng sau các dị thường.Ví dụ, giả sử rằng bạn theo dõi lưu lượng truy cập từ máy trạm làm việc cá nhân. Sau đó, các hệ thống ghi chú rằng lúc 02: 00, rất nhiều các máy trạm làm việc bắt đầu đăng nhập vào các máy chủ và thực hiện nhiệm vụ. Đây là một cái gì đó thú vị để lưu ý và có thể thực hiện hành động.2.1.2 công nhận chữ kýPhần lớn các sản phẩm thương mại dựa trên kiểm tra lưu lượng truy cập tìm kiếm các mô hình nổi tiếng của cuộc tấn công. Điều này có nghĩa rằng cho mỗi kỹ thuật hacker, kỹ sư các mã một cái gì đó vào hệ thống cho các kỹ thuật đó.Điều này có thể đơn giản như một phù hợp với mô hình. Ví dụ điển hình là ví dụ mỗi gói trên dây cho các mô hình "/ cgi-bin/phf?", điều này có thể cho thấy ai đó đang cố gắng truy cập vào CGI script này dễ bị tổn thương trên một máy chủ web. Một số hệ thống ID đang được xây dựng từ cơ sở dữ liệu lớn chứa hàng trăm (hoặc hàng ngàn) của các dây. Họ chỉ cần cắm vào dây điện và kích hoạt trên mỗi gói tin họ thấy có chứa một trong số các dây.

Kết quả (Việt) 2:

2.1.1 bất thường phát hiện
Cách mọi người tiếp cận phổ biến nhất phát hiện xâm nhập mạng là để phát hiện dị thường thống kê. Ý tưởng đằng sau phương pháp này là để đo lường một "đường cơ sở" của số liệu thống kê như sử dụng CPU, đĩa hoạt động, sử dụng thông tin đăng nhập, hoạt động tập tin, và vv. Sau đó, hệ thống có thể kích hoạt khi có một độ lệch từ đường cơ sở này.
Lợi ích của phương pháp này là nó có thể phát hiện các dị thường mà không cần phải hiểu được những nguyên nhân tiềm ẩn đằng sau những dị thường.

Ví dụ, chúng ta hãy nói rằng bạn giám sát lưu lượng từ cá nhân máy trạm. Sau đó, hệ thống ghi chú rằng lúc 2 giờ sáng, rất nhiều các máy trạm bắt đầu đăng nhập vào các máy chủ và thực hiện nhiệm vụ. Đây là một cái gì đó thú vị để lưu ý và có thể có hành động trên.

2.1.2 công nhận Chữ ký
Đa số các sản phẩm thương mại được dựa trên việc kiểm tra lưu lượng tìm kiếm các mô hình nổi tiếng của cuộc tấn công. Điều này có nghĩa rằng đối với mỗi kỹ thuật hacker, các kỹ sư đang điều gì đó vào hệ thống với kỹ thuật đó.
Điều này có thể đơn giản như một mô hình phù hợp. Ví dụ cổ điển là để dụ mỗi gói trên dây cho các mô hình "/ cgi-bin / PHF?", Mà có thể chỉ ra ai đó cố gắng truy cập kịch bản CGI dễ bị tổn thương này trên một máy chủ web. Một số hệ thống IDS được xây dựng từ cơ sở dữ liệu lớn chứa hàng trăm (hoặc hàng ngàn) của chuỗi đó. Họ chỉ cần cắm dây vào và kích hoạt trên mỗi gói họ thấy rằng chứa một trong các chuỗi.