第 1章　入侵检测概述　1
1.1　网络安全基本概念　1
1.1.1　网络安全的实质　1
1.1.2　网络系统的安全对策与入侵检测　2
1.1.3　网络安全的P2DR模型与入侵检测　3
1.2　入侵检测的产生与发展　4
1.2.1　早期研究　4
1.2.2　主机IDS研究　5
1.2.3　网络IDS研究　6
1.2.4　主机和网络IDS的集成　7
1.3　入侵检测的基本概念　8
1.3.1　入侵检测的概念　9
1.3.2　入侵检测的作用　9
1.3.3　研究入侵检测的必要性　10
习题　11

第 2章　入侵方法与手段　12
2.1　网络入侵　12
2.1.1　什么是网络入侵　12
2.1.2　网络入侵的一般流程　12
2.1.3　典型网络入侵方法分析　15
2.2　漏洞扫描　19
2.2.1　扫描器简介　19
2.2.2　秘密扫描　20
2.2.3　OS Fingerprint技术　21
2.3　口令破解　22
2.3.1　Windows口令文件的格式及安全机制　22
2.3.2　UNIX口令文件的格式及安全机制　23
2.3.3　破解原理及典型工具　24
2.4　拒绝服务攻击　25
2.4.1　拒绝服务攻击的原理　26
2.4.2　典型拒绝服务攻击的手段　27
2.5　分布式拒绝服务攻击　28
2.6　缓冲区溢出攻击　30
2.6.1　堆栈的基本原理　30
2.6.2　一个简单的例子　30
2.7　格式化字符串攻击　33
2.8　跨站脚本攻击　34
2.9　SQL Injection攻击　34
习题　36

第3章　入侵检测系统　37
3.1　入侵检测系统的基本模型　37
3.1.1　通用入侵检测模型(Denning模型)　37
3.1.2　层次化入侵检测模型(IDM)　39
3.1.3　管理式入侵检测模型(SNMP-IDSM)　41
3.2　入侵检测系统的工作模式　42
3.3　入侵检测系统的分类　43
3.3.1　根据目标系统的类型分类　43
3.3.2　根据入侵检测系统分析的数据来源分类　43
3.3.3　根据入侵检测分析方法分类　43
3.3.4　根据检测系统对入侵攻击的响应方式分类　44
3.3.5　根据系统各个模块运行的分布方式分类　44
3.4　入侵检测系统的构架　44
3.4.1　管理者　44
3.4.2　代理　45
3.5　入侵检测系统的部署　45
3.5.1　网络中没有部署防火墙时　46
3.5.2　网络中部署防火墙时　46
习题　47

第4章　入侵检测流程　48
4.1　入侵检测的过程　48
4.1.1　信息收集　48
4.1.2　信息分析　48
4.1.3　告警与响应　49
4.2　入侵检测系统的数据源　49
4.2.1　基于主机的数据源　49
4.2.2　基于网络的数据源　51
4.2.3　应用程序日志文件　52
4.2.4　其他入侵检测系统的报警信息　53
4.2.5　其他网络设备和安全产品的信息　53
4.3　入侵分析的概念　53
4.3.1　入侵分析的定义　54
4.3.2　入侵分析的目的　54
4.3.3　入侵分析应考虑的因素　54
4.4　入侵分析的模型　55
4.4.1　构建分析器　55
4.4.2　分析数据　56
4.4.3　反馈和更新　57
4.5　入侵检测的分析方法　58
4.5.1　误用检测　58
4.5.2　异常检测　61
4.5.3　其他检测方法　68
4.6　告警与响应　71
4.6.1　对响应的需求　71
4.6.2　响应的类型　73
4.6.3　按策略配置响应　76
4.6.4　联动响应机制　77
习题　78

第5章　基于主机的入侵检测技术　79
5.1　审计数据的获取　79
5.1.1　系统日志与审计信息　80
5.1.2　数据获取系统结构设计　81
5.2　审计数据的预处理　82
5.3　基于统计模型的入侵检测技术　86
5.4　基于专家系统的入侵检测技术　87
5.5　基于状态转移分析的入侵检测技术　91
5.6　基于完整性检查的入侵检测技术　91
5.7　基于智能体的入侵检测技术　93
5.8　系统配置分析技术　96
5.9　检测实例分析　96
习题　102

第6章　基于网络的入侵检测技术　103
6.1　分层协议模型与TCP/IP协议簇　103
6.1.1　TCP/IP协议模型　103
6.1.2　TCP/IP报文格式　104
6.2　网络数据包的捕获　108
6.2.1　局域网和网络设备的工作原理　108
6.2.2　Sniffer介绍　109
6.2.3　共享和交换网络环境下的数据捕获　110
6.3　包捕获机制与BPF模型　111
6.3.1　包捕获机制　111
6.3.2　BPF模型　112
6.4　基于Libpcap库的数据捕获技术　113
6.4.1　Libpcap介绍　113
6.4.2　Windows平台下的Winpcap库　116
6.5　检测引擎的设计　120
6.5.1　模式匹配技术　121
6.5.2　协议分析技术　121
6.6　网络入侵特征实例分析　122
6.6.1　特征(Signature)的基本概念　122
6.6.2　典型特征——报头值　123
6.6.3　候选特征　123
6.6.4　**佳特征　124
6.6.5　通用特征　124
6.6.6　报头值关键元素　125
6.7　检测实例分析　125
6.7.1　数据包捕获　126
6.7.2　端口扫描的检测　126
6.7.3　拒绝服务攻击的检测　127
习题　127

第7章　入侵检测系统的标准与评估　128
7.1　入侵检测的标准化工作　128
7.1.1　CIDF　128
7.1.2　IDMEF　133
7.1.3　标准化工作总结　141
7.2　入侵检测系统的性能指标　141
7.2.1　评价入侵检测系统性能的标准　141
7.2.2　影响入侵检测系统性能的参数　141
7.2.3　评价检测算法性能的测度　143
7.3　网络入侵检测系统测试评估　145
7.4　测试评估内容　146
7.4.1　功能性测试　146
7.4.2　性能测试　147
7.4.3　产品可用性测试　148
7.5　测试环境和测试软件　148
7.5.1　测试环境　148
7.5.2　测试软件　149
7.6　用户评估标准　150
7.7　入侵检测评估方案　152
7.7.1　离线评估方案　152
7.7.2　实时评估方案　156
习题　157

第8章　Snort分析　159
8.1　Snort的安装与配置　159
8.1.1　Snort简介　159
8.1.2　底层库的安装与配置　164
8.1.3　Snort的安装　165
8.1.4　Snort的配置　166
8.1.5　其他应用支撑的安装与配置　168
8.2　Snort总体结构分析　168
8.2.1　Snort的模块结构　168
8.2.2　插件机制　169
8.2.3　Libpcap应用的流程　171
8.2.4　Snort的总体流程　171
8.2.5　入侵检测流程　172
8.3　Snort的使用　174
8.3.1　Libpcap的命令行　174
8.3.2　Snort的命令行　175
8.3.3　高性能的配置方式　176
8.4　Snort的规则　176
8.4.1　规则的结构　177
8.4.2　规则的语法　180
8.4.3　预处理程序　181
8.4.4　输出插件　183
8.4.5　常用攻击手段对应规则举例　185
8.4.6　规则的设计　186
8.5　使用Snort构建入侵检测系统实例　189
习题　194

第9章　入侵检测的发展趋势　195
9.1　入侵检测技术现状分析　195
9.2　目前的技术分析　196
9.3　入侵检测的先进技术　197
9.4　入侵检测的前景　206
9.4.1　入侵检测的能力　206
9.4.2　高度的分布式结构　207
9.4.3　广泛的信息源　207
9.4.4　硬件防护　208
9.4.5　高效的安全服务　208
9.4.6　IPv6对入侵检测的影响　208
习题　209

附录　主要入侵检测系统介绍与分析　210
附1　国外主要入侵检测系统简介　210
附2　国内主要入侵检测系统简介　217

参考文献　227