本文目录一览：
Windows系统入侵检测系统与实现
基于Windows入侵检测系统的研究与设计——检测模块设计时间:2010-10-20 12:35来源:未知 作者:admin
摘 要当今是信息时代，互联网正在给全球带来翻天覆地的变化。随着Internet在全球的飞速发展， *** 技术的日益普及， *** 安全问题也显得越来越突出。计算机 *** 安全是一个国际化的问题，每年全球因计算机 *** 的安全系统被破坏而造成的经济损失高达数百亿美
．引 言
1.1课题背景及意义
当今 *** 技术的迅速发展， *** 成为人们生活的重要组成部分，与此同时，黑客频频入侵 *** ， *** 安全问题成为人们关注的焦点。传统安全 *** 是采用尽可能多地禁止策略进行防御，例如各种杀毒软件、防火墙、身份认证、访问控制等，这些对防止非法入侵都起到了一定的作用，从系统安全管理的角度来说，仅有防御是不够好的，还应采取主动策略。
入侵检测技术是动态安全技术的最核心技术之一。传统的操作系统加固技术和防火墙隔离技术等都是静态安全防御技术，对 *** 环境下日新月异的攻击手段缺乏主动的反应。
入侵检测是防火墙的合理补充，帮助系统对付 *** 攻击，扩展了系统管理员的安全管理能力（包括安全审计、监视、进攻识别和响应），提高了信息安全基础结构的完整性。它从计算机 *** 系统中的若干关键点收集信息、分析信息，查看是否有违反安全策略的行为和遭到袭击的迹象。入侵检测被认为是防火墙之后的第二道安全防线，提供对内部攻击、外部攻击和误操作的实时保护。
本文首先介绍了 *** 入侵检测的基本原理和实现入侵检测的技术。随后重点介绍了基于Windows入侵检测系统中检测模块的设计与实现。即 *** 数据包的捕获与分析过程的设计与实现。
1.1.1 *** 安全面临的威胁
入侵的来源可能是多种多样的，比如说，它可能是企业心怀不满的员工、 *** 黑客、甚至是竞争对手。攻击者可能窃听 *** 上的信息，窃取用户口令、数据库信息，还可以篡改数据库内容，伪造用户身份，否认自己的签名。更为严重的是攻击者可以删除数据库内容，摧毁 *** 节点，释放计算机病毒，直到整个 *** 陷入瘫痪。
用密码编码学和 *** 安全的观点，我们把计算机 *** 面临的威胁归纳为以下四种：
截获（interception）：攻击者从 *** 上窃听他人的通信内容。
中断（interruption）：攻击者有意中断他人在 *** 上的通信。
篡改（modification）：攻击者故意篡改 *** 上传播的报文。
伪造（fabrication）：攻击者伪造信息在 *** 上传送。
这四种威胁可以划分为两大类，即被动攻击和主动攻击。在上述情况中，截获信息的攻击称为被动攻击，而更改信息和拒绝客户使用资源的攻击称为主动攻击。在被动攻击中攻击者只是观察和窃取数据而不干扰信息流，攻击不会导致对系统中所含信息的任何改动，而且系统的操作和状态也不会被改变，因此被动攻击主要威胁信息的保密性。主动攻击则意在篡改系统中所含信息或者改变系统的状态及操作。因此主动攻击主要威胁信息的完整性、可用性和真实性。
1.1.2 *** 安全隐患的来源
*** 安全隐患主要来自于四个方面：
（1） *** 的复杂性。 *** 是一个有众多环节构成的复杂系统。由于市场利润、技术投入、产品成本、技术规范等等问题，不同供应商提供的环节在安全性上不尽相同，使得整个 *** 系统的安全成度被限制在安全等级更低的那个环节上。
（2） *** 的飞速发展。由于 *** 的发展，提供新的 *** 服务，增加 *** 的开放性和互联性，必然将更多环节纳入系统中，新加入的环节又增加了系统的复杂性，引发了 *** 的不安定性。
（3）软件质量问题。软件质量难以评估是软件的一个特性。现实中，即使是正常运行了很长时间的软件，也会在特定的情况下出现漏洞。现代 *** 已经是软件驱动的发展模式，对软件的更多依赖性加大了软件质量对 *** 安全的负面影响。同时，市场的激烈竞争，促使商家需要更快地推出产品，软件的快速开发也增大了遗留更多隐患的可能性。
（4）其他非技术因素。包括技术人员在 *** 配置管理上的疏忽或错误， *** 实际运行效益和安全投入成本间的平衡抉择， *** 用户的安全管理缺陷等等。
由于存在更多的安全威胁和安全隐患，能否成功的阻止 *** 黑客的入侵、保证计算机和 *** 系统的安全和正常的运行便成为 *** 管理员所面临的一个重要问题。
1.1.3 *** 安全技术
如今已有大量的研究机构、社会团体、商业公司和 *** 部门投入到 *** 安全的研究中，并将此纳入到一个被称为信息安全的研究领域。 *** 安全技术主要包括基于密码学的安全措施和非密码体制的安全措施，前者包括：数据加密技术、身份鉴别技术等。后者则有：防火墙、路由选择、反病毒技术等。
（1）数据加密技术
数据加密是 *** 安全中采用的最基本的安全技术，目的是保护数据、文件、口令以及其他信息在 *** 上的安全传输，防止窃听。 *** 中的数据加密，除了选择加密算法和密钥外，主要问题是加密的方式以及实现加密的 *** 协议层次和密钥的分配管理。按照收发双方密钥是否相同，可分为对称密码算法和非对称密码算法即公钥密码算法两种。对称密码算法有保密度高，加密速度快的优点，但其密钥的分发则是一个比较复杂的问题。比较著名的对称密码算法有：美国的DES和欧洲的IDEA等。在公钥密码中，收发双方使用的密钥各不相同，密钥的管理比较方便。比较著名的公钥密码算法有：ECC、RSA等，其中RSA算法应用最为广泛。
（2）鉴别技术
鉴别技术可以验证消息的完整性，有效的对抗冒充、非法访问、重演等威胁。按照鉴别对象的不同，鉴别技术可分为消息源鉴别和通信双方互相鉴别，按照鉴别内容的不同，鉴别技术可分为用户身份鉴别和消息内容鉴别，鉴别的 *** 有很多种，主要有通过用户标识和口令、报文鉴别、数字签名等方式。
（3）访问控制技术
访问控制是从计算机系统的处理能力方面对信息提供保护机制，它按照事先确定的规则决定主体对客体的访问是否合法。当一个主体试图非法使用一个未经授权的资源时，访问机制将拒绝这一企图，并将这一时间记录到系统日志中。访问控制技术的主要任务是保证 *** 资源不被非法使用和访问，它是保证 *** 安全的重要策略之一。
（4）防火墙技术
防火墙是一个或一组 *** 设备，其工作方式是将内联 *** 与因特网之间或者与其他外联 *** 间互相隔离，通过加强访问控制，阻止区域外的用户对区域内的资源的非法访问，使用防火墙可以进行安全检查、记录网上安全事件等，在维护 *** 安全作用中起着重要的作用。
（5）反病毒技术
计算机病毒是一段具有极强破坏性的恶意代码，它可以将自身纳入其他程序中，以此来进行隐藏，复制和传播，从而破坏用户文件，数据甚至硬件。从广义上讲，它还包括逻辑炸弹、特洛伊木马和系统陷阱等。计算机病毒的主要传播途径有：文件传输、软盘拷贝、电子邮件等。 *** 反病毒技术主要包括检查病毒和杀出病毒。
虽然 *** 安全已经超越了纯技术领域，但 *** 安全技术仍然是解决 *** 安全最重要的基础和研究方向。
1.2 本文研究内容
本文共分为五个部分，各部分内容如下：
之一部分，主要介绍了课题提出的背景、意义、安全隐患、现有的安全技术等，强调了入侵检测的重要性。
第二部分，主要介绍了入侵检测相关的基础知识、发展趋势等与本文相关的理论。
第三部分，对整个系统的设计做了概述，介绍了系统的整体框架、开发及运行环境等。
第四部分，详细介绍了检测模块的设计与实现以及系统集成后的运行结果。其中包括检测模块的设计思想、工作原理以及核心代码的分析等。
第五部分，是对整个系统的测试与分析的总结。主要测试了检测模块实现的各种功能。
2. 入侵检测基础
当我们无法完全防止入侵时，那么只能希望系统在受到攻击时，能尽快检测出入侵，而且更好是实时的，以便可以采取相应的措施来对付入侵，这就是入侵检测系统要做的，它从计算机 *** 中的若干关键点收集信息，并分析这些信息，检查 *** 中是否有违反安全策略的行为和遭到袭击的迹象。入侵检测系统（IDS，Intrusion Detection System）正是一种采取主动策略的 *** 安全防护措施，它从系统内部和各种 *** 资源中主动采集信息，从中分析可能的 *** 入侵或攻击，同时还对入侵行为做出紧急响应。入侵检测被认为是防火墙之后的第二道安全闸门。
2.1 入侵检测的定义
可以看到入侵检测的作用就在于及时地发现各种攻击以及攻击企图并作出反应。我们可以给入侵检测做一个简单的定义，入侵检测就是对（ *** ）系统的运行状态进行监视，发现各种攻击企图、攻击行为或者攻击结果，以保证系统资源的机密性、完整性与可用性。即入侵检测（Intrusion Detection）是检测和识别系统中未授权或异常现象，利用审计记录，入侵检测系统应能识别出任何不希望有的活动，这就要求对不希望的活动加以限定，一旦当它们出现就能自动地检测。
一个完整的入侵检测系统必须具备下列特点：
经济性：为了保证系统安全策略的实施而引入的入侵检测系统必须不能妨碍系统的正常运行（如系统性能）。
时效性：必须及时的发现各种入侵行为，理想情况是在事前发现攻击企图，比较现实的情况则是在攻击行为发生的过程中检测到。
安全性：入侵检测系统自身必须安全，如果入侵检测系统自身的安全性得不到保障，首先意味着信息的无效，而更严重的是入侵者控制了入侵检测系统即获得了对系统的控制权。
可扩展性：可扩展性有两方面的意义。之一是机制与数据的分离，在现有机制不变的前提下能够对新的攻击进行检测。第二是体系结构的可扩展性，在必要的时候可以在不对系统的整体结构进行修改的前提下对检测手段进行加强，以保证能检测到新的攻击。
2.2 入侵检测与P2DR模型
P2DR模型是一个动态的计算机系统安全理论模型。它的指导实现比传统静态安全方案有突破性提高。PDR是Policy(策略)、Protection(防护)、Detection(检测)和Response(响应)的缩写，特点是动态性和基于时间的特性。
P2DR模型阐述了这样一个结论：安全的目标实际上就是尽可能地增大保护时间，尽量减少检测时间和响应时间。入侵检测技术就是实现P2DR模型中”Detection”部分的主要技术手段。在P2DR模型中，安全策略处于中心地位，但是从另一个角度来看，安全策略也是制定入侵检测中检测策略的一个重要信息来源，入侵检测系统需要根据现有的安全策略信息来更好地配置系统模块参数信息。当发现入侵行为后，入侵检测系统会通过响应模块改变系统的防护措施，改善系统的防护能力，从而实现动态的系统安全模型。
入侵防护系统(IPS)的原理?
通过全面的数据包侦测，TippingPoint的入侵防御系统提供吉比特速率上的应用、 *** 架构和性能保护功能。应用保护能力针对来自内部和外部的攻击提供快速、精准、可靠的防护。由于具有 *** 架构保护能力，TippingPoint的入侵防御系统保护VOIP系统、路由器、交换机、DNS和其他 *** 基础免遭恶意攻击和防止流量异动。TippingPoint的入侵防御系统的性能保护能力帮助客户来遏制非关键业务抢夺宝贵的带宽和IT资源，从而确保网路资源的合理配置并保证关键业务的性能。
入侵防御系统（IPS）,属于 *** 交换机的一个子项目，为有过滤攻击功能的特种交换机。一般布于防火墙和外来 *** 的设备之间，依靠对数据包的检测进行防御（检查入网的数据包，确定数据包的真正用途，然后决定是否允许其进入内网）
毕业论文
相关资料：
企业内网安全分析与策略
一、背景分析
提起 *** 信息安全，人们自然就会想到病毒破坏和黑客攻击。其实不然， *** 和企业因信息被窃取所造成的损失远远超过病毒破坏和黑客攻击所造成的损失，据权威机构调查：三分之二以上的安全威胁来自泄密和内部人员犯罪，而非病毒和外来黑客引起。
目前， *** 、企业等社会组织在 *** 安全防护建设中，普遍采用传统的内网边界安全防护技术，即在组织 *** 的边缘设置网关型边界防火墙、AAA认证、入侵检测系统IDS等等 *** 边界安全防护技术，对 *** 入侵进行监控和防护，抵御来自组织外部攻击、防止组织 *** 资源、信息资源遭受损失，保证组织业务流程的有效进行。
这种解决策略是针对外部入侵的防范，对于来自 *** 内部的对企业 *** 资源、信息资源的破坏和非法行为的安全防护却无任何作用。对于那些需要经常移动的终端设备在安全防护薄弱的外部 *** 环境的安全保障，企业基于 *** 边界的安全防护技术就更是鞭长莫及了，由此危及到内部 *** 的安全。一方面，企业中经常会有人私自以Modem拨号方式、手机或无线网卡等方式上网，而这些机器通常又置于企业内网中，这种情况的存在给企业 *** 带来了巨大的潜在威胁;另一方面，黑客利用虚拟专用 *** VPN、无线局域网、操作系统以及 *** 应用程序的各种漏洞就可以绕过企业的边界防火墙侵入企业内部 *** ，发起攻击使内部 *** 瘫痪、重要服务器宕机以及破坏和窃取企业内部的重要数据。
二、内网安全风险分析
现代企业的 *** 环境是建立在当前飞速发展的开放 *** 环境中，顾名思义，开放的环境既为信息时代的企业提供与外界进行交互的窗口，同时也为企业外部提供了进入企业最核心地带——企业信息系统的便捷途径，使企业 *** 面临种种威胁和风险：病毒、蠕虫对系统的破坏；系统软件、应用软件自身的安全漏洞为不良企图者所利用来窃取企业的信息资源;企业终端用户由于安全意识、安全知识、安全技能的匮乏，导致企业安全策略不能真正的得到很好的落实，开放的 *** 给企业的信息安全带来巨大的威胁。
1.病毒、蠕虫入侵
目前，开放 *** 面临的病毒、蠕虫威胁具有传播速度快、范围广、破坏性大、种类多、变化快等特点，即使再先进的防病毒软件、入侵检测技术也不能独立有效地完成安全防护，特别是对新类型新变种的病毒、蠕虫，防护技术总要相对落后于新病毒新蠕虫的入侵。
病毒、蠕虫很容易通过各种途径侵入企业的内部 *** ，除了利用企业 *** 安全防护措施的漏洞外，更大的威胁却是来自于内部 *** 用户的各种危险应用：不安装杀毒软件；安装杀毒软件但不及时升级； *** 用户在安装完自己的办公桌面系统后，未采取任何有效防护措施就连接到危险的 *** 环境中，特别是Internet；移动用户计算机连接到各种情况不明 *** 环境，在没有采取任何防护措施的情况下又连入企业 *** ；桌面用户在终端使用各种数据介质、软件介质等等都可能将病毒、蠕虫在不知不觉中带入到企业 *** 中，给企业信息基础设施，企业业务带来无法估量的损失。
2.软件漏洞隐患
企业 *** 通常由数量庞大、种类繁多的软件系统组成，有系统软件、数据库系统、应用软件等等，尤其是存在于广大终端用户办公桌面上的各种应用软件不胜繁杂，每一个软件系统都有不可避免的、潜在的或已知的软件漏洞。无论哪一部分的漏洞被利用，都会给企业带来危害，轻者危及个别设备，重者成为攻击整个企业 *** 媒介，危及整个企业 *** 安全。
3.系统安全配置薄弱
企业 *** 建设中应用的各种软件系统都有各自默认的安全策略增强的安全配置设置，例如，账号策略、审核策略、屏保策略、匿名访问限制、建立拨号连接限制等等。这些安全配置的正确应用对于各种软件系统自身的安全防护的增强具有重要作用，但在实际的企业 *** 环境中，这些安全配置却被忽视，尤其是那些 *** 的终端用户，导致软件系统的安全配置成为“软肋”、有时可能严重为配置漏洞，完全暴露给整个外部。例如某些软件系统攻击中采用的“口令强制攻击”就是利用了弱口令习惯性的使用安全隐患，黑客利用各种 *** 应用默认安装中向外部提供的有限信息获取攻击的必要信息等等。
4.脆弱的 *** 接入安全防护
传统的 *** 访问控制都是在企业 *** 边界进行的，或在不同的企业内网不同子网边界进行且在 *** 访问用户的身份被确认后，用户即可以对企业内网进行各种访问操作。在这样一个访问控制策略中存在无限的企业 *** 安全漏洞，例如，企业 *** 的合法移动用户在安全防护较差的外网环境中使用VPN连接、远程拨号、无线AP，以太网接入等等 *** 接入方式，在外网和企业内网之间建立一个安全通道。
另一个传统 *** 访问控制问题来自企业 *** 内部，尤其对于大型企业 *** 拥有成千上万的用户终端，使用的 *** 应用层出不穷，目前对于企业网管很难准确的控制企业 *** 的应用，这样的现实导致安全隐患的产生：员工使用未经企业允许的 *** 应用，如邮件服务器收发邮件，这就可能使企业的保密数据外泄或感染邮件病毒；企业内部员工在终端上私自使用未经允许的 *** 应用程序，在此过程中就有可能下载到带有病毒、木马程序等恶意代码的软件，从而感染内部 *** ，进而造成内部 *** 中敏感数据的泄密或损毁。
5.企业 *** 入侵
现阶段黑客攻击技术细分下来共有8类，分别为入侵系统类攻击、缓冲区溢出攻击、欺骗类攻击、拒绝服务攻击、对防火墙的攻击、病毒攻击、伪装程序/木马程序攻击、后门攻击。
对于采取各种传统安全防护措施的企业内网来说，都没有万无一失的把握;对于从企业内网走出到安全防护薄弱的外网环境的移动用户来说，安全保障就会严重恶化，当移动用户连接到企业内网，就会将各种 *** 入侵带入企业 *** 。
6.终端用户计算机安全完整性缺失
随着 *** 技术的普及和发展，越来越多的员工会在企业专网以外使用计算机办公，同时这些移动员工需要连接回企业的内部 *** 获取工作必须的数据。由于这些移动用户处于专网的保护之外，很有可能被黑客攻陷或感染 *** 病毒。同时，企业现有的安全投资（如：防病毒软件、各种补丁程序、安全配置等）若处于不正常运行状态，终端员工没有及时更新病毒特征库，或私自卸载安全软件等，将成为黑客攻击内部 *** 的跳板。
三、内网安全实施策略
1.多层次的病毒、蠕虫防护
病毒、蠕虫破坏 *** 安全事件一直以来在 *** 安全领域就没有一个根本的解决办法，其中的原因是多方面的，有人为的原因，如不安装防杀病毒软件，病毒库未及时升级等等，也有技术上的原因，杀毒软件、入侵防范系统等安全技术对新类型、新变异的病毒、蠕虫的防护往往要落后一步。危害好像是无法避免的，但我们可以控制它的危害程度，只要我们针对不同的原因采取有针对性的切实有效的防护办法，就会使病毒、蠕虫对企业的危害减少到更低限度，甚至没有危害。这样，仅靠单一、简单的防护技术是难以防护病毒、蠕虫的威胁的。
2.终端用户透明、自动化的补丁管理，安全配置
为了弥补和纠正运行在企业 *** 终端设备的系统软件、应用软件的安全漏洞，使整个企业 *** 安全不至由于个别软件系统的漏洞而受到危害，完全必要在企业的安全管理策略中加强对补丁升级、系统安全配置的管理。
用户可通过管理控制台集中管理企业 *** 终端设备的软件系统的补丁升级、系统配置策略，定义终端补丁下载。将补丁升级策略、增强终端系统安全配置策略下发给运行于各终端设备上的安全 *** ，安全 *** 执行这些策略，以保证终端系统补丁升级、安全配置的完备有效，整个管理过程都是自动完成的，对终端用户来说完全透明，减少了终端用户的麻烦和企业 *** 的安全风险，提高企业 *** 整体的补丁升级、安全配置管理效率和效用，使企业 *** 的补丁及安全配置管理策略得到有效的落实。
3.全面的 *** 准入控制
为了解决传统的外网用户接入企业 *** 给企业 *** 带来的安全隐患，以及企业 *** 安全管理人员无法控制内部员工 *** 行为给企业 *** 带来的安全问题，除了有效的解决企业员工从企业内网、外网以各种 *** 接入方式接入企业 *** 的访问控制问题，同时对传统的 *** 边界访问控制没有解决的 *** 接入安全防护措施，而采用边界准入控制、接入层准入控制等技术进行全面的实现准入控制。当外网用户接入企业 *** 时，检查客户端的安全策略状态是否符合企业整体安全策略，对于符合的外网访问则放行。一个全面的 *** 准入检测系统。
4.终端设备安全完整性保证
主机完整性强制是确保企业 *** 安全的关键组件。主机完整性可确保连接到企业网的客户端正运行着所需的应用程序和数据文件。信息安全业界已经开发出了多种基于主机的安全产品，以确保企业 *** 和信息的安全，阻止利用 *** 连接技术、应用程序和操作系统的弱点和漏洞所发起的攻击。并已充分采用了在个人防火墙、入侵检测、防病毒、文件完整性、文件加密和安全补丁程序等方面的技术进步来有效地保护企业设备。然而，只有在充分保证这些安全技术的应用状态、更新级别和策略完整性之后，才能享受这些安全技术给企业 *** 安全带来的益处。如果企业端点设备不能实施主机完整性，也就不能将该设备看成企业 *** 受信设备。
仅供参考，请自借鉴
希望对您有帮助
新手如何构建一个入门级入侵检测系统
通常来说，一个企业或机构准备进军此领域时，往往选择从基于 *** 的IDS入手，因为网上有很多这方面的开放源代码和资料，实现起来比较容易，并且，基于 *** 的IDS适应能力强。有了简单 *** IDS的开发经验，再向基于主机的IDS、分布式IDS、智能IDS等方面迈进的难度就小了很多。在此，笔者将以基于 *** 的IDS为例，介绍典型的IDS开发思路。 根据CIDF规范，我们从功能上将入侵检测系统划分为四个基本部分
通常来说，一个企业或机构准备进军此领域时，往往选择从基于 *** 的IDS入手，因为网上有很多这方面的开放源代码和资料，实现起来比较容易，并且，基于 *** 的IDS适应能力强。有了简单 *** IDS的开发经验，再向基于主机的IDS、分布式IDS、智能IDS等方面迈进的难度就小了很多。在此，笔者将以基于 *** 的IDS为例，介绍典型的IDS开发思路。
根据CIDF规范，我们从功能上将入侵检测系统划分为四个基本部分：数据采集子系统、数据分析子系统、控制台子系统、数据库管理子系统。
具体实现起来，一般都将数据采集子系统（又称探测器）和数据分析子系统在Linux或Unix平台上实现，我们称之为数据采集分析中心;将控制台子系统在Windows NT或2000上实现，数据库管理子系统基于Access或其他功能更强大的数据库，多跟控制台子系统结合在一起，我们称之为控制管理中心。本文以Linux和Windows NT平台为例介绍数据采集分析中心和控制管理中心的实现。
可以按照如下步骤构建一个基本的入侵检测系统。
之一步 获取Libpcap和Tcpdump
审计踪迹是IDS的数据来源，而数据采集机制是实现IDS的基础，否则，巧妇难为无米之炊，入侵检测就无从谈起。数据采集子系统位于IDS的更底层，其主要目的是从 *** 环境中获取事件，并向其他部分提供事件。目前比较流行的做法是：使用Libpcap和Tcpdump，将网卡置于“混杂”模式，捕获某个网段上所有的数据流。
Libpcap是Unix或Linux从内核捕获 *** 数据包的必备工具，它是独立于系统的API接口，为底层 *** 监控提供了一个可移植的框架，可用于 *** 统计收集、安全监控、 *** 调试等应用。
Tcpdump是用于 *** 监控的工具，可能是Unix上最著名的Sniffer了，它的实现基于Libpcap接口，通过应用布尔表达式打印数据包首部，具体执行过滤转换、包获取和包显示等功能。Tcpdump可以帮助我们描述系统的正常行为，并最终识别出那些不正常的行为，当然，它只是有益于收集关于某网段上的数据流（ *** 流类型、连接等）信息，至于分析 *** 活动是否正常，那是程序员和管理员所要做的工作。Libpcap和Tcpdump在网上广为流传，开发者可以到相关网站下载。
第二步 构建并配置探测器，实现数据采集功能
1. 应根据自己 *** 的具体情况，选用合适的软件及硬件设备，如果你的 *** 数据流量很小，用一般的PC机安装Linux即可，如果所监控的 *** 流量非常大，则需要用一台性能较高的机器。
2. 在Linux服务器上开出一个日志分区，用于采集数据的存储。
3. 创建Libpcap库。从网上下载的通常都是Libpcap.tar.z的压缩包，所以，应先将其解压缩、解包，然后执行配置脚本，创建适合于自己系统环境的Makefile，再用Make命令创建Libpcap库。Libpcap安装完毕之后，将生成一个Libpcap库、三个include文件和一个Man页面（即用户手册）。
4. 创建Tcpdump。与创建Libpcap的过程一样，先将压缩包解压缩、解包到与Libpcap相同的父目录下，然后配置、安装Tcpdump。
如果配置、创建、安装等操作一切正常的话，到这里，系统已经能够收集到 *** 数据流了。至于如何使用Libpcap和Tcpdump，还需要参考相关的用户手册。
第三步 建立数据分析模块
网上有一些开放源代码的数据分析软件包，这给我们构建数据分析模块提供了一定的便利条件，但这些“免费的午餐”一般都有很大的局限性，要开发一个真正功能强大、实用的IDS，通常都需要开发者自己动手动脑设计数据分析模块，而这往往也是整个IDS的工作重点。
数据分析模块相当于IDS的大脑，它必须具备高度的“智慧”和“判断能力”。所以，在设计此模块之前，开发者需要对各种 *** 协议、系统漏洞、攻击手法、可疑行为等有一个很清晰、深入的研究，然后制订相应的安全规则库和安全策略，再分别建立滥用检测模型和异常检测模型，让机器模拟自己的分析过程，识别确知特征的攻击和异常行为，最后将分析结果形成报警消息，发送给控制管理中心。 设计数据分析模块的工作量浩大，并且，考虑到“道高一尺，魔高一丈”的黑客手法日益翻新，所以，这注定是一个没有终点的过程，需要不断地更新、升级、完善。在这里需要特别注意三个问题：
① 应优化检测模型和算法的设计，确保系统的执行效率；
② 安全规则的制订要充分考虑包容性和可扩展性，以提高系统的伸缩性；
③ 报警消息要遵循特定的标准格式，增强其共享与互操作能力，切忌随意制订消息格式的不规范做法。
第四步 构建控制台子系统
控制台子系统负责向 *** 管理员汇报各种 *** 违规行为，并由管理员对一些恶意行为采取行动（如阻断、跟踪等）。由于Linux或Unix平台在支持界面操作方面远不如常用的Windows产品流行，所以，为了把IDS做成一个通用、易用的系统，笔者建议将控制台子系统在Windows系列平台上实现。
控制台子系统的主要任务有两个：
① 管理数据采集分析中心，以友好、便于查询的方式显示数据采集分析中心发送过来的警报消息；
② 根据安全策略进行一系列的响应动作，以阻止非法行为，确保 *** 的安全。
控制台子系统的设计重点是：警报信息查询、探测器管理、规则管理及用户管理。
1．警报信息查询： *** 管理员可以使用单一条件或复合条件进行查询，当警报信息数量庞大、来源广泛的时候，系统需要对警报信息按照危险等级进行分类，从而突出显示 *** 管理员需要的最重要信息。
2．探测器管理：控制台可以一次管理多个探测器（包括启动、停止、配置、查看运行状态等），查询各个网段的安全状况，针对不同情况制订相应的安全规则。
3．规则库管理功能：为用户提供一个根据不同网段具体情况灵活配置安全策略的工具，如一次定制可应用于多个探测器、默认安全规则等。
4．用户管理：对用户权限进行严格的定义，提供口令修改、添加用户、删除用户、用户权限配置等功能，有效保护系统使用的安全性。
第五步 构建数据库管理子系统
一个好的入侵检测系统不仅仅应当为管理员提供实时、丰富的警报信息，还应详细地记录现场数据，以便于日后需要取证时重建某些 *** 事件。
数据库管理子系统的前端程序通常与控制台子系统集成在一起，用Access或其他数据库存储警报信息和其他数据。该模块的数据来源有两个：
① 数据分析子系统发来的报警信息及其他重要信息；
② 管理员经过条件查询后对查询结果处理所得的数据，如生成的本地文件、格式报表等。
第六步 联调，一个基本的IDS搭建完毕
以上几步完成之后，一个IDS的最基本框架已被实现。但要使这个IDS顺利地运转起来，还需要保持各个部分之间安全、顺畅地通信和交互，这就是联调工作所要解决的问题。
首先，要实现数据采集分析中心和控制管理中心之间的通信，二者之间是双向的通信。控制管理中心显示、整理数据采集分析中心发送过来的分析结果及其他信息，数据采集分析中心接收控制管理中心发来的配置、管理等命令。注意确保这二者之间通信的安全性，更好对通信数据流进行加密操作，以防止被窃听或篡改。同时，控制管理中心的控制台子系统和数据库子系统之间也有大量的交互操作，如警报信息查询、 *** 事件重建等。
联调通过之后，一个基本的IDS就搭建完毕。后面要做的就是不断完善各部分功能，尤其是提高系统的检测能力。
如何防止我的网站不被黑客篡改
为了避免由于网页被篡改而带来严重的危害，应该优先考虑做好技术防范工作，阻止网页被篡改或将危害降到更低，主要可采取以下技术手段：
1）为服务器升级最新的安全补丁程序：补丁包含操作系统、应用程序、数据库等，都需要打上最新的安全补丁，这个步骤是非常必要的，因为是程序内部的问题，是安全产品难以替代的，主要是为了防止缓冲溢出和设计缺陷等攻击。
2）封闭未用但开放的 *** 服务端口以及未使用的服务：
对于Windows server 2003操作系统，推荐使用TCP/IP筛选器，可以配合Windows server 2003系统防火墙，当然也可以通过操作比较复杂的IP安全策略来实现；
对于Linux操作系统，可以用自带的IPTable防火墙。
一般用户服务器上架前，会为用户服务器做好服务器端口封闭以及关闭不使用的服务，但不排除部分维护人员为了简便日常维护工作而开启，本工作是一个非常简单的任务，但会大大降低服务器被入侵的可能性，请务必实施。
3）设置复杂的管理员密码：无论是系统管理员、数据库管理员，还是FTP及网站管理员的密码，都务必要设置为复杂密码，原则如下：
不少于8位；至少包含有字母大写、字母小写和数字及特殊字符（@#!$%^()等）；不要明显的规律。
4）合理设计网站程序并编写安全代码：网站目录设计上尽可能将只需要读权限的脚本和需要有写权限的目录单独放置，尽量不要采用第三方不明开发插件，将网站的程序名字按照一定的规律进行命名以便识别；编写代码过程重要注意对输入串进行约束，过滤可能产生攻击的字符串，需要权限的页面要加上身份验证代码。
5）设置合适的网站权限：
网站权限设置包括为每个网站创建一个专属的访问用户和网站目录文件的权限；网站目录文件权限设置原则是：只给需要写入的目录以写的权限，其它全为只读权限；
6）防止ARP欺骗的发生：
安装arp防火墙，并手动绑定网关mac地址。
手动绑定网关mac地址，网关mac地址，可以通过arp命令来查询。
（二）、必要的管理制度和应急处理措施
上文重点从技术的角度分析了最有效解决网页被篡改的安全方案，即我们首先应该把精力投入到做好防护工作上去，尽可能做到不让黑客劫持我们的 *** 、不让黑客入侵到我们的服务器中去，自然也就解决了网页被篡改的问题，但是作为不备之策，我们仍然强调必须做好以下几个方面的工作：
1）网站数据备份：我们必须做好数据备份工作，因为无论是黑客入侵、硬件故障等问题都可导致数据丢失，但我们可以用备份尽快的恢复业务，所以一定制订好持续的数据备份方案。
2）安全管理制度：任何技术手段的实施，如：打安全补丁、网站权限设置、复杂的密码、防火墙规则等，都需要人来进行完成，若没有良好的制度来指导和管理，那么一切都将是空话，因此，制订好一套行之有效的制度，并配备相关的实施人员，把技术手段贯彻下去是非常必要的。
3）应急处理措施：即便是再好的技术和管理，也不能保证攻击事件不会发生，因此我们要时刻做好网页被篡改的准备，准备好相应的检查、记录和恢复工具，准备好规范的应急步骤，一旦发生，以便有条不紊的尽快予以恢复，并进行记录和总结，必要的可保护现场并进行报案等处理。