信息安全从业参考

原文地址
http://bbs.chinaunix.net/viewthr ... &extra=page%3D1

Author：
赵彦，http://blog.sina.com.cn/u/1258699773
Homepage：www.ph4nt0m.org
Mailto: ay4z3ro@hotmail.com
本版初稿只代表个人观点，仅供参考，对于迷信产生的后果，本人不承担任何责任
本文实际上并不能算是Career Planning，只是一些分类描述，唯一好处仅在于帮助你理解不同职位的技能要求，因为最近很忙，本文也远远达不到Body of Knowledge的详细程度，计划在空闲时再补一篇真正的Career Roadmap

[漏洞挖掘/安全技术研究员]
研究对象：OS，网络，应用，通讯媒介及协议的安全漏洞和防御方法，偏重于底层技术，对技术要求最高，但不要求很全面，只需精通一两种流行的平台即可。其 研究成果经常为IDS/IPS/Vulnerability Scanner插件作分析等，最新的技术可能被转化到产品中实现商业价值，或可能承担技术最高的一部分专业安全服务。

主要技能：C\C++,ASM,OS kernel，调试器，反汇编、缓冲区溢出类，逻辑编程错误等

[安全产品开发]
和其他程序员一样，只不过是面向安全产品，有核心引擎也有界面开发，如何成为一个优秀的程序员就不用我废话了吧，网上的Proposal多的是

[产品工程师]
作为厂商的技术人员，一般是对自有产品做售后技术支持，如FW，VPN，IDS/IPS，Scanner，AV，AAAA，CF，UTM，SOC， Terminal Management，Vulnerability/Patch Management，Anti-DOS，Anti-Spam……该职位对技术要求一般，有一定的系统、网络基础，可以熟练部署产品即可，另外还有 Testing和Troubleshooting的能力也是比较重要的

[技术顾问/售前工程师]
作为厂商的售前，须对自有的产品和解决方案非常熟悉，售前偏重于架构/方案设计，Presentation,Documentation以及其他 Presale Engineering的能力（如投标、销售推介技能），一般需要多年工作经验，有售后或者研发背景，对特定行业的理解-如曾在电信、金融或者SI的工作 经验能增强竞争力，如能对专业安全技术服务及咨询服务有所掌握，会使你的知识背景更强势，项目管理技能也是必要的。

[安全服务工程师]
个人觉得在安全工程领域，产品选型和部署相对简单，门槛较高的是专业安全服务，先不论当前行业内的安全服务技术人员实际水平如何，我只是就我的理解谈一下 以下职位的技能需求。如渗透测试、安全加固、安全外包/安全监控，应急响应，高级安全技术培训，风险评估等要求技术人员对主流的操作系统平台，网络设备， 数据库，企业应用有一定程度的掌握，并且需要融入对安全和攻防技术的理解，另外安全服务人员最好需要有信息安全管理和项目管理的知识。沟通表达以及文档撰 写能力都是必须的。

[安全架构师]
之前的售前工程师和安全服务工程师也要写整体解决方案，但从专业程度来说，他们还达不到安全架构师的技术高度，安全架构师须熟悉IT基础设施、容灾备份， 大型企业级应用，安全集成，网络设计规划，网络安全产品典型部署，熟悉各种通信标准及协议，需要了解安全趋势和客户的整体安全需求，既有深度又有广度，需 要较多的经验和技术。

[信息安全咨询顾问]
信息安全既有技术也有管理的问题，如传统的Strategy、HR、IT consulting一样，Information Security Consulting也是专业服务中的主要业务，如：Risk Assessment、ISMS building、SOX Compliance……
信息安全不可能脱离企业自身的业务和实际需求，否则便成了空中楼阁，信息安全管理应该是以企业管理为上层引导，信息安全管理为中间支柱，下层以计算机及通信技术为基础依托的三层结构，当然出售的最终产物是三层融合的整体解决方案，咨询顾问一般需要以下技能：
熟悉各类安全标准--BS7799,ISO13335,CC,SSE-CMM,IATF,SP800……
相关的知识领域—IT Governance,ITIL/ITSM,MOF,COBIT,SOA,COSO……
咨询体系--企业经营管理，流程管理，人力资源管理，信息战略，法律法规
基本技能--沟通表达、文档、项目管理
技术体系--All above（不要因为我说了这句话趋之若鹜哦）

[CHO]
这里并不是指人力资源总监，而是传说中的Chief Hacker Officer--首席黑客官，在国外某些公司设有此类职位，是更加纯技术的职位，从名字就可以看出他的技术偏向哪里，实际上应该是安全教科书中的 Whitehat，从Know your enemy的角度讲，反黑的的能力也确实强

[CSO/CISO]
一般只有较大的组织机构才单独设有首席安全官或首席信息安全官，在没有独立设置CSO职位的情况下，信息安全通常属于CIO/CTO/COO考虑的范畴， 实际上也由他们扮演CSO的角色，因此换个角度—信息安全管理咨询应该是in CXO’s perspective，实际上高级咨询顾问到甲方即可成为CSO

通用且有一定竞争力的认证：
CISSP,CISM,CISA,BS7799LA

可供职的厂商：
国内专业安全公司：绿盟科技、启明星辰、天融信、联想网御、安氏
国外安全公司：ISS、Mcafee、Symantec、Checkpoint、TrendMirco
各大IT公司：Microsoft、HP、IBM、Cisco、Juniper、F5、Various vendors
会计事务所：PWC、E&Y、KPMG、DTT……
咨询公司：Accenture
甲方：如电信移动、金融、各大门户、电子商务以及IT系统对内部运营起到关键作用的企业

薪酬：
职位当然是影响Salary的重要因素，除此之外，审计师/咨询顾问、安全架构师和研究员的工资较高，外企的工资一般比国内企业高，在甲方的工资不一定有 乙方高，主要看所在行业、企业盈利程度和对信息安全的重视程度，但乙方高薪职位通常来说比甲方更忙碌，其实质也是用时间换工资，从行为经济学看未必很实 惠。

职业发展路线
研究员-高级安全研究员
开发程序员-项目经理
产品工程师-安全服务工程师-售前技术顾问
产品工程师-安全服务工程师-安全服务项目经理
产品工程师、安全服务工程师、技术顾问有两个发展方向：
1. 偏技术方向—安全架构师
2. 偏管理方向—咨询顾问
甲方和乙方的角色切换，如果对当前的视角失去了兴趣，不妨换个角度，如果结婚了寻求安定不想出差可以去甲方
当然以上只是理论公式，现实生活中的“天花板”在哪里有机会可以自己去体验一下


知识体系结构
大体分为技术体系和管理体系吧
技术体系：
对攻防技术的理解
OS、Network、Application、Data protection and related
TCP/IP protocol suits
研究偏重底层技术，架构偏重网络

安全管理体系：
各种信息安全技术/管理标准，审计及内部控制标准
传统管理学大集合
咨询及审计

其他：
对客户业务的理解
表达沟通，文档，演讲，项目管理和销售技能

Thank Adam、Why and Yhl who did effect and improve my career objective

......
显示全文...

看人

看一个国家的国民教育，要看他的公共厕所。

看一个男人的品味，要看他的袜子。
　　
看一个女人是否养尊处优，要看她的手。
　　
看一个人的气血，要看他的头发。
　　
看一个人的心术，要看他的眼神。
　　
看一个人的身价，要看他的对手。
　　
看一个人的底牌．要看他身边的好友。
　　
看一个人的性格，要看他的字写得怎样。
　　
看一个人是否快乐，不要看笑容，要看清晨梦醒时的一刹那表情。
　　
看一个人的胸襟，要看他如何面对失败及被人出卖。
　　
看两个人的关系，要看发生意外时，另一方的紧张程度。

......
显示全文...

Shell中ANSI控制码的说明

ANSI控制码的说明
例如:
echo -ne "\33[32m" 可以将字符的显示颜色改为绿色
echo -ne "\33[3;1H" 可以将光标移到第3行第1列处
具体的摘抄一些如下：
\33[0m 关闭所有属性
\33[1m 设置高亮度
\33[4m 下划线
\33[5m 闪烁
\33[7m 反显
\33[8m 消隐
\33[30m -- \33[37m 设置前景色
\33[40m -- \33[47m 设置背景色
\33[nA 光标上移n行
\33[nB 光标下移n行
\33[nC 光标右移n行
\33[nD 光标左移n行
\33[y;xH设置光标位置
\33[2J 清屏
\33[K 清除从光标到行尾的内容
\33[s 保存光标位置
\33[u 恢复光标位置
\33[?25l 隐藏光标
\33[?25h 显示光标......
显示全文...

我又当舅舅了

好久没来更新博客，日子还像以前过得一样，只是又堕落了一点。
刚才接到电话，我小妹妹又给我生了一个小外甥，农历七月初三生日，和我就差一天，我是农历七月初二的，真的很高兴，这回我妈外孙女和外孙都有了，我大妹妹家的那个小外甥女现在都上幼儿园了。
高兴之后，来的悲伤。我很高兴我两个妹妹现在都了自己的小宝宝。可是我很担心我妈妈，妈妈一身的病。我想妈妈此时心情应该也是很高兴又很伤心。两个妹妹， 大妹妹嫁到湖南，小妹妹嫁到湖北。离我老家河南都很远，当初他们两个结婚我妈都是极力反对，可最终女大不中留。我妈也只有自己偷偷的流泪。
老家在个老传统，女儿有小孩时，妈妈必须去照顾女儿一个月。大妹妹在小孩时，妈因为一身的病，家里事双多，没有去，我知道我妈为此不知道流过多少次泪。现在小妹妹有小孩，妈妈又去不了，可想妈妈是什么感觉。
两个妹妹都已经有了家，有孩子，而现在我这个当哥哥的有什么呢？来深圳都一年了，事业一踏糊涂，感情更是一踏糊涂。一个人孤单的漂在充满竞争的城市里。工 作的压力，生活的压力，向谁说？向爸妈说，他们一辈子都没有出过老家，他们不知道现在外面的生活；向女朋友说，都一年多没见了，每个星期也就一两次联系， 她还生活在那体会不到什么叫生活压力的校园里，还经常向我抱怨学校太苦，认为我在这边过得很好。白天在办公室，对着电脑8个小时，加上回来还是对着电脑， 我生活的2/3在电脑面前度过。有时候想想自己的将来，很心虚，对于事业，对于爱情，我现在没有一个能看得清楚......
生活，没有同情，更不能靠同情，能做的，只有自己努力。人，只有靠自己。......
显示全文...

关于黑锅

今天体会到一句话：黑锅总是要人来背的。
吃了一堑，于是应该长一智了：黑锅是可以背的，不过要看替谁背，能称得上朋友的，背了也无所谓；对于某些鸟人，事不关已，就高高挂起吧！

......
显示全文...

转载__IDS入侵检测

IDS 是英文“Intrusion Detection Systems”的缩写，中文意思是“入侵检测系统”。专业上讲就是依照一定的安全策略，对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或者攻击结果，以保证网络系统资源的机密性、完整性和可用性。
我们做一个形象的比喻：假如防火墙是一幢大楼的门锁，那么IDS就是这幢大楼里的监视系统。一旦小偷爬窗进入大楼，或内部人员有越界行为，只有实时监视系统才能发现情况并发出警告。
在本质上，入侵检测系统是一个典型的"窥探设备"。它不跨接多个物理网段（通常只有一个监听端口），无须转发任何流量，而只需要在网络上被动的、无声息的收集它所关心的报文即可。对收集来的报文，入侵检测系统提取相应的流量统计特征值，并利用内置的入侵知识库，与这些流量特征进行智能分析比较匹配。根据预设的阀值，匹配耦合度较高的报文流量将被认为是进攻，入侵检测系统将根据相应的配置进行报警或进行有限度的反击。入侵检测系统的原理模型如图所示。

入侵检测系统通过监听获得网络连路上流量的拷贝


入侵检测系统的工作流程大致分为以下几个步骤：
（1）信息收集 入侵检测的第一步是信息收集，内容包括网络流量的内容、用户连接活动的状态和行为。
（2）信号分析 对上述收集到的信息，一般通过三种技术手段进行分析：模式匹配，统计分析和完整性分析。其中前两种方法用于实时的入侵检测，而完整性分析则用于事后分析。
具体的技术形式如下所述：

模式匹配
模式匹配就是将收集到的信息与已知的网络入侵和系统误用模式数据库进行比较，从而发现违背安全策略的行为。该过程可以很简单（如通过字符串匹配以寻找一个简单的条目或指令），也可以很复杂（如利用正规的数学表达式来表示安全状态的变化）。一般来讲，一种进攻模式可以用一个过程（如执行一条指令）或一个输出（如获得权限）来表示。该方法的一大优点是只需收集相关的数据集合，显著减少系统负担，且技术已相当成熟。它与病毒防火墙采用的方法一样，检测准确率和效率都相当高。但是，该方法存在的弱点是需要不断的升级以对付不断出现的黑客攻击手法，不能检测到从未出现过的黑客攻击手段。

统计分析
分析方法首先给信息对象（如用户、连接、文件、目录和设备等）创建一个统计描述，统计正常使用时的一些测量属性（如访问次数、操作失败次数和延时等）。测量属性的平均值将被用来与网络、系统的行为进行比较，任何观察值在正常偏差之外时，就认为有入侵发生。例如，统计分析可能标识一个不正常行为，因为它发现一个在晚八点至早六点不登录的帐户却在凌晨两点试图登录。其优点是可检测到未知的入侵和更为复杂的入侵，缺点是误报、漏报率高，且不适应用户正常行为的突然改变。具体的统计分析方法如基于专家系统的、基于模型推理的和基于神经网络的分析方法，目前正处于研究热点和迅速发展之中。

完整性分析
完整性分析主要关注某个文件或对象是否被更改，包括文件和目录的内容及属性，它在发现被更改的、被特络伊化的应用程序方面特别有效。完整性分析利用强有力的加密机制，称为消息摘要函数（例如MD5），能识别及其微小的变化。其优点是不管模式匹配方法和统计分析方法能否发现入侵，只要是成功的攻击导致了文件或其它对象的任何改变，它都能够发现。缺点是一般以批处理方式实现，不用于实时响应。这种方式主要应用于基于主机的入侵检测系统（HIDS）。

（3）实时记录、报警或有限度反击
IDS根本的任务是要对入侵行为做出适当的反应，这些反应包括详细日志记录、实时报警和有限度的反击攻击源。

经典的入侵检测系统的部署方式如图所示：

......
显示全文...

入侵检测系统－－笔记

入侵检测系统

l 概念：进行入侵检测的软件与硬件的组合便是入侵检测系统 （Intrusion Detection System,简称IDS）。与其他安全产品不同的 是，入侵检测系统需要更多的智能，它必须可以将得到的数据进行分析，并得出有用的结果。

l 主要功能：a.监测并分析用户和系统的活动；　　
　　b.核查系统配置和漏洞； 　　
　　c.评估系统关键资源和数据文件的完整性；　　
　　d.识别已知的攻击行为；　　
　　e.统计分析异常行为；　　
　　f.操作系统日志管理，并识别违反安全策略的用户活动

l 厂商：国外：ISS、axent、NFR、cisco等；国内：中联绿盟，中科网威，启明星辰等。

l CIDF模型： Common Intrusion Detection Framework (CIDF)（http://www.gidos.org/）阐述了一个入侵检测系统（IDS）的通用模型。它将一个入侵检测系统分为以下组件：
　　
　　l事件产生器（Event generators）　　
　　l　　 事件分析器（Event analyzers 　
　　l　　 响应单元（Response units ）　　
　　l　事件数据库（Event databases ）
　　CIDF将IDS需要分析的数据统称为事件（event）,它可以是网络中的数据包，也可以是从系统
　　日志等其他途径得到的信息。（有些文章中经常用数据采集部分、分析部分和控制台部分来分别代替事件产生器、事件分析器和响应单元这些术语。且常用日志来简单的指代事件数据库。）

l IDS分类：

1. 主机型：

A. 特点：以系统日志、应用程序日志等作为数据源，保护的一般是所在的系统。

B. 缺点：必须为不同平台开发不同的程序、增加系统负荷、所需安装数量众多等。

C. 优点：内在结构却没有任何束缚，同时可以利用操作系统本身提供的功能、并结合异常分析，更准确的报告攻击行为。

2. 网络型：

A. 特点：数据源则是网络上的数据包。入侵检测系统担负着保护整个网段的任务。

B. 优点：简便，不会给运行关键业务的主机带来负载上的增加。

3. 数据采集部分：

在安装IDS的时候，关键是选择数据采集部分所在的位置，因为它决定了“事件”的可见度。

A. 主机型IDS，其数据采集部分当然位于其所监测的主机上。

B. 网络型IDS，其数据采集部分则有多种可能： 　　
　　（1）如果网段用总线式的集线器相连，则可将其简单的接在集线器的一个端口上即可； 　　
　　（2）对于交换式以太网交换机，问题则会变得复杂。由于交换机不采用共享媒质的办法，传统的采用一个sniffer来监听整个子网的办法不再可行。可解决的办法有： 　　
　　a.交换机的核心芯片上一般有一个用于调试的端口（span port），任何其他端口的进出信息都可从此得到。如果交换机厂商把此端口开放出来，用户可将IDS系统接到此端口上。
　　优点：无需改变IDS体系结构。 　　
　　缺点：采用此端口会降低交换机性能。
　　b.把入侵检测系统放在交换机内部或防火墙内部等数据流的关键入口、出口。 　　
　　优点：可得到几乎所有关键数据。 　　
　　缺点：必须与其他厂商紧密合作，且会降低网络性能。　　
　　c.采用分接器（Tap），将其接在所有要监测的线路上。
　　优点：再不降低网络性能的前提下收集了所需的信息。
　　缺点：必须购买额外的设备(Tap)；若所保护的资源众多，IDS必须配备众多网络接口。
　　d.可能唯一在理论上没有限制的办法就是采用主机型IDS。

l 通信协议

IDS系统组件之间需要通信使用协议为IAP，IAP(Intrusion Alert Protocol)是idwg制定的、运行于TCP之上的应用层协议（可从任意端发起连接，结合了加密、身份验证）

入侵检测技术

对各种事件进行分析，从中发现违反安全策略的行为是入侵检测系统的核心功能。从技术上，入侵检测分为两类：一种基于标志（signature-based），另一种基于异常情况(anomaly-based)。

两种检测技术的方法、所得出的结论有非常大的差异。基于异常的检测技术的核心是维护一个知识库。对于已知得攻击，它可以详细、准确的报告报告出攻击类型， 但是对未知攻击却效果有限，而且知识库必须不断更新。基于异常的检测技术则无法准确判别出攻击的手法，但它可以（至少在理论上可以）判别更广范、甚至未发 觉的攻击。

l 信息收集

入侵检测的第一步是信息收集，内容包括系统、网络、数据及用户活动的状态和行为。入侵检测很大程度上依赖于收集信息的可靠性和正确性，这需要保证用来检测网络系统的软件的完整性。

入侵检测利用的信息一般来自以下四个方面：

1. 系统和网络日志文件

2. 目录和文件中的不期望的改变

3. 程序执行中的不期望行为

4. 物理形式的入侵信息（一是未授权的对网络硬件连接；二是对物理资源的未授权访问）

l 信号分析

对上述四类收集到的有关系统、网络、数据及用户活动的状态和行为等信息，一般通过三种技术手段进行分析：模式匹配，统计分析和完整性分析。其中前两种方法用于实时的入侵检测，而完整性分析则用于事后分析。

1. 模式匹配：模式匹配就是将收集到的信息与已知的网络入侵和系统误用模式数据库进行比较，从而发现违背安全策略的行为。

2. 统计分析：统计分析方法首先给系统对象（如用户、文件、目录和设备等）创建一个统计描述，统计正常使用时的一些测量属性（如访问次数、操作失败次数和延时等）。测量属性的平均值将被用来与网络、系统的行为进行比较，任何观察值在正常值范围之外时，就认为有入侵发生

3. 完整性分析：主要关注某个文件或对象是否被更改，这经常包括文件和目录的内容及属性，它在发现被更改的、被特络伊化的应用程序方面特别有效。（优点是不管模式匹配方法和统计分析方法能否发现入侵，只要是成功的攻击导致了文件或其它对象的任何改变，它都能够发现。缺点是一般以批处理方式实现，不用于实时响应）

l 入侵检测功能
　　
　　 ·监督并分析用户和系统的活动
　　 ·检查系统配置和漏洞
　　 ·检查关键系统和数据文件的完整性
　　 ·识别代表已知攻击的活动模式
　　 ·对反常行为模式的统计分析
　　 ·对操作系统的校验管理，判断是否有破坏安全的用户活动。
　　 ·入侵检测系统和漏洞评估工具的优点在于：
　　 ·提高了信息安全体系其它部分的完整性
　　 ·提高了系统的监察能力
　　 ·跟踪用户从进入到退出的所有活动或影响
　　 ·识别并报告数据文件的改动
　　 ·发现系统配置的错误，必要时予以更正
　　 ·识别特定类型的攻击，并向相应人员报警，以作出防御反应
　　 ·可使系统管理人员最新的版本升级添加到程序中
　　 ·允许非专家人员从事系统安全工作
　　 ·为信息安全策略的创建提供指导
　　 ·必须修正对入侵检测系统和漏洞评估工具不切实际的期望：这些产品并不是无所不能的，它们无法弥补力量薄弱的识别和确认机制
　　 ·在无人干预的情况下，无法执行对攻击的检查
　　 ·无法感知公司安全策略的内容
　　 ·不能弥补网络协议的漏洞
　　 ·不能弥补由于系统提供信息的质量或完整性的问题
　　 ·它们不能分析网络繁忙时所有事务
　　 ·它们不能总是对数据包级的攻击进行处理
　　 ·它们不能应付现代网络的硬件及特性
......
显示全文...

转载__入侵检测系统（IDS）简介

第一章 入侵检测系统概念
　　
　　当越来越多的公司将其核心业务向互联网转移的时候，网络安全作为一个无法回避的问题呈现在人们面前。传统上，公司一般采用防火墙作为安全的第一道防线。而随着攻击者知识的日趋成熟，攻击工具与手法的日趋复杂多样，单纯的防火墙策略已经无法满足对安全高度敏感的部门的需要，网络的防卫必须采用一种纵深的、多样的手段。与此同时，当今的网络环境也变得越来越复杂，各式各样的复杂的设备，需要不断升级、补漏的系统使得网络管理员的工作不断加重，不经意的疏忽便有可能造成安全的重大隐患。在这种环境下，入侵检测系统成为了安全市场上新的热点，不仅愈来愈多的受到人们的关注，而且已经开始在各种不同的环境中发挥其关键作用。
　　
　　本文中的"入侵"（Intrusion）是个广义的概念，不仅包括被发起攻击的人（如恶意的黑客）取得超出合法范围的系统控制权，也包括收集漏洞信息，造成拒绝访问（Denial of Service）等对计算机系统造成危害的行为。　
　
　　入侵检测（Intrusion Detection），顾名思义，便是对入侵行为的发觉。它通过对计算机网
　　络或计算机系统中得若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。进行入侵检测的软件与硬件的组合便是入侵检测系统（Intrusion Detection System,简称IDS）。与其他安全产品不同的是，入侵检测系统需要更多的智能，它必须可以将得到的数据进行分析，并得出有用的结果。一个合格的入侵检测系统能大大的简化管理员的工作，保证网络安全的运行。

　　
　　具体说来，入侵检测系统的主要功能有（[2]）：
　　
　　a.监测并分析用户和系统的活动；
　　
　　b.核查系统配置和漏洞；
　　
　　c.评估系统关键资源和数据文件的完整性；
　　
　　d.识别已知的攻击行为；
　　
　　e.统计分析异常行为；
　　
　　f.操作系统日志管理，并识别违反安全策略的用户活动。
　　由于入侵检测系统的市场在近几年中飞速发展，许多公司投入到这一领域上来。除了国外的ISS、axent、NFR、cisco等公司外，国内也有数家公司（如中联绿盟，中科网威等）推出了自己相应的产品。但就目前而言，入侵检测系统还缺乏相应的标准。目前，试图对IDS进行标
　　准化的工作有两个组织：IETF的Intrusion Detection Working Group (idwg)和Common Int
　　rusion Detection Framework (CIDF)，但进展非常缓慢，尚没有被广泛接收的标准出台。
　　
　　第二章 入侵检测系统模型
　　2.1 CIDF模型
　　Common Intrusion Detection Framework (CIDF)（http://www.gidos.org/）阐述了一个入侵检测系统（IDS）的通用模型。它将一个入侵检测系统分为以下组件：
　　
　　l事件产生器（Event generators）
　　
　　l　　 事件分析器（Event analyzers
　　
　　l　　 响应单元（Response units ）
　　
　　l　事件数据库（Event databases ）
　　CIDF将IDS需要分析的数据统称为事件（event）,它可以是网络中的数据包，也可以是从系统
　　日志等其他途径得到的信息。
　　
　　事件产生器的目的是从整个计算环境中获得事件，并向系统的其他部分提供此事件。事件分析器分析得到的数据，并产生分析结果。响应单元则是对分析结果作出作出反应的功能单元，它可以作出切断连接、改变文件属性等强烈反应，也可以只是简单的报警。事件数据库是存放各种中间和最终数据的地方的统称，它可以是复杂的数据库，也可以是简单的文本文件。
　　
　　在这个模型中，前三者以程序的形式出现，而最后一个则往往是文件或数据流的形式。
　　
　　在其他文章中，经常用数据采集部分、分析部分和控制台部分来分别代替事件产生器、事件分析器和响应单元这些术语。且常用日志来简单的指代事件数据库。如不特别指明，本文中两套术语意义相同。
　　
　　2.2 IDS分类
　　一般来说，入侵检测系统可分为主机型和网络型。
　　
　　主机型入侵检测系统往往以系统日志、应用程序日志等作为数据源，当然也可以通过其他手段（如监督系统调用）从所在的主机收集信息进行分析。主机型入侵检测系统保护的一般是所在的系统。
　　
　　网络型入侵检测系统的数据源则是网络上的数据包。往往将一台机子的网卡设于混杂模式（promisc mode）,监听所有本网段内的数据包并进行判断。一般网络型入侵检测系统担负着保护整个网段的任务。
　　
　　不难看出，网络型IDS的优点主要是简便：一个网段上只需安装一个或几个这样的系统，便可以监测整个网段的情况。且由于往往分出单独的计算机做这种应用，不会给运行关键业务的主机带来负载上的增加。但由于现在网络的日趋复杂和高速网络的普及，这种结构正受到越来越大的挑战。一个典型的例子便是交换式以太网。
　　
　　而尽管主机型IDS的缺点显而易见：必须为不同平台开发不同的程序、增加系统负荷、所需安装数量众多等，但是内在结构却没有任何束缚，同时可以利用操作系统本身提供的功能、并结合异常分析，更准确的报告攻击行为。参考文献[7]对此做了描述，感兴趣的读者可参看。
　　
　　入侵检测系统的几个部件往往位于不同的主机上。一般来说会有三台机器，分别运行事件产生器、事件分析器和响应单元。在安装IDS的时候，关键是选择数据采集部分所在的位置，因为它决定了"事件"的可见度。
　　
　　对于主机型IDS，其数据采集部分当然位于其所监测的主机上。
　　
　　对于网络型IDS，其数据采集部分则有多种可能：
　　
　　（1）如果网段用总线式的集线器相连，则可将其简单的接在集线器的一个端口上即可；
　　
　　（2）对于交换式以太网交换机，问题则会变得复杂。由于交换机不采用共享媒质的办法，传统的采用一个sniffer来监听整个子网的办法不再可行。可解决的办法有：
　　
　　a.交换机的核心芯片上一般有一个用于调试的端口（span port），任何其他端口的进出信息都可从此得到。如果交换机厂商把此端口开放出来，用户可将IDS系统接到此端口上。
　　优点：无需改变IDS体系结构。
　　
　　缺点：采用此端口会降低交换机性能。
　　b.把入侵检测系统放在交换机内部或防火墙内部等数据流的关键入口、出口。
　　
　　优点：可得到几乎所有关键数据。
　　
　　缺点：必须与其他厂商紧密合作，且会降低网络性能。
　　
　　c.采用分接器（Tap），将其接在所有要监测的线路上。
　　优点：再不降低网络性能的前提下收集了所需的信息。
　　缺点：必须购买额外的设备(Tap)；若所保护的资源众多，IDS必须配备众多网络接口。
　　d.可能唯一在理论上没有限制的办法就是采用主机型IDS。
　　
　　2.3 通信协议
　　IDS系统组件之间需要通信，不同的厂商的IDS系统之间也需要通信。因此，定义统一的协议，使各部分能够根据协议所致订的的标准进行沟通是很有必要的。
　　
　　IETF目前有一个专门的小组Intrusion Detection Working Group (idwg)负责定义这种通信
　　格式，称作Intrusion Detection Exchange Format。目前只有相关的草案（internet draft），并未形成正式的RFC文档。尽管如此，草案为IDS各部分之间甚至不同IDS系统之间的通信提供了一定的指引。
　　
　　IAP(Intrusion Alert Protocol)是idwg制定的、运行于TCP之上的应用层协议，其设计在很大程度上参考了HTTP，但补充了许多其他功能（如可从任意端发起连接，结合了加密、身份验证等）。对于IAP的具体实现，请参看 [9]，其中给出了非常详尽的说明。这里我们主要讨论一下设计一个入侵检测系统通信协议时应考虑的问题：
　　
　　1．　分析系统与控制系统之间传输的信息是非常重要的信息，因此必须要保持数据的真实性和完整性。必须有一定的机制进行通信双方的身份验证和保密传输（同时防止主动和被动攻击）。
　　
　　2. 通信的双方均有可能因异常情况而导致通信中断，IDS系统必须有额外措施保证系统正常工作。
　　
　　2.4入侵检测技术
　　对各种事件进行分析，从中发现违反安全策略的行为是入侵检测系统的核心功能。从技术上，入侵检测分为两类：一种基于标志（signature-based），另一种基于异常情况(anomaly-based)。
　　
　　对于基于标识的检测技术来说，首先要定义违背安全策略的事件的特征，如网络数据包的某些头信息。检测主要判别这类特征是否在所收集到的数据中出现。此方法非常类似杀毒软件。
　　而基于异常的检测技术则是先定义一组系统"正常"情况的数值，如CPU利用率、内存利用率、文件校验和等（这类数据可以人为定义，也可以通过观察系统、并用统计的办法得出），然后将系统运行时的数值与所定义的"正常"情况比较，得出是否有被攻击的迹象。这种检测方式的核心在于如何定义所谓的"正常"情况。
　　
　　两种检测技术的方法、所得出的结论有非常大的差异。基于异常的检测技术的核心是维护一个知识库。对于已知得攻击，它可以详细、准确的报告报告出攻击类型，但是对未知攻击却效果有限，而且知识库必须不断更新。基于异常的检测技术则无法准确判别出攻击的手法，但它可以（至少在理论上可以）判别更广范、甚至未发觉的攻击。
　　如果条件允许，两者结合的检测会达到更好的效果。
　　
　　第四章 存在的问题
　　尽管有众多的商业产品出现，与诸如防火墙等技术高度成熟的产品相比，入侵检测系统还存在相当多的问题。这一章我们便要讨论一下对其进行威胁的主要因素，值得注意的是，这些问题大多是目前入侵检测系统的结构所难以克服的（包括waRcher），而且这些矛盾可能越来越尖锐。

......
显示全文...

这年头有人竟然抢起猪肉来了

深圳晶报7月13日报道说， 昨日凌晨4点左右，在位于宝安光明街道的白花社区市场，一名男子开着摩托车，正准备下车将车上125公斤猪肉拉到市场交易。不料，后面一辆金杯面包车迅猛 冲来，从车上跳下4人，手持尖刀钢管，不容分说，将该男子狠打一顿，将其摩托车及猪肉抢走，其中一歹徒跨上摩托车，摇摇晃晃（125公斤猪肉再加一个人， 摩托车有些吃力）逃离现场，而另外三人则开面包车向观澜街道方向逃逸。
　　
　　 受害人迅速向附近一号岗值勤队员报警，劫匪很快给逮住了。据了解，平时这几名歹徒经常出没在这个区域，以前是以抢劫摩托车为主。已被抓获过几次，现在从牢 狱出来后与时俱进将目标转移到正在涨价的猪肉上。“目前他们一辆赃车最多也仅能卖千余元，而车上的125公斤猪肉，价格至少在3000元以上。”巡防员讲 到，正是因为车辆载重超负荷的缘故，车辆无法高速行使，因此歹徒载在巡防员的手中。
　　
　　 呜呼！抢劫猪肉！我们这个和谐社会到底怎么了？太平盛世几十年，到头来发现吃的肉是别人抢来的。商务部说猪肉涨价是因为石油涨价，石油寡头反过来说猪肉都 涨价了，我们的石油也应该涨了；家园被洪水淹掉了，名嘴说老百姓过年了；老百姓说买不起房子了，国土资源部长也跟着哭穷；女局长在自己别墅被情人杀死了， 让人感兴趣的不是新闻本身，而是女局长所在的单位是闻所未闻的“蔬菜局”；专家说虽然有很多老鼠，但是不会爆发鼠疫，大伙说求你了专家，你不说我们还不担 心呢。......
显示全文...

下一步计划

过完春节这几个月真是太忙了， 大任务一个接着一个，好在现在都告一什段落了。离下一个大任务还有一个多月呢。眼下就只有一些平常的小事做要。
所以从今天开始，接下来要做一个基于snort的NIDS，从0开始，一定要做出成果，搞懂其中原理。我们公司现在还没有IDS，就算到时领导不采纳，我也能学到不少东西嘛。
Let's go!......
显示全文...

喝酒的好处

本人酒量不行，一直都对酒不是很感冒，每次和同事们出去吃饭，都想尽办法不喝酒。
前天晚上，一个同事办结婚喜宴，在深圳一个海鲜大酒楼里，三十多桌。那帮人是相当的疯，逃都逃不掉，被灌的晕晕乎乎的。星期一过来上班，发现好多同事都没 来，一问才知道，原来那家酒店的饭菜有问题，好多同事吃完喜宴回去之后都是上吐下泻，好几个都住进医院了，而我们这些喝晕的，几乎都没事。于是乎我们猜， 应该是我们喝酒喝多了，酒精多了，把那些病毒在胃里都杀掉了。如此说来，吃饭喝点酒还是有好处的。......
显示全文...

070616清远漂流

从春节到现在，真是太忙太忙了，好不容易有个双休，当然得出去放松一下。于是和同事们去清远漂流去！闲话不多说，上些片片吧～

第一站：滨江公园

第二站：坐船游峡谷，享用午餐









第三站：也就是此行最重要的一站，玄真峡漂流，漂流的时候水太大，没法带相机，所以就没有片片，我们那天去的时候有点冷，一路漂下来，有几个MM都快冻坏了，不过漂流过程中打水仗真的很好玩，真像小时候和一群小朋友光着屁股在河里打水仗那样爽！
......
显示全文...

Linux中vi命令详解－－收藏

......
显示全文...

药都亳州----妖娆芍药遍地开（贴图）

今天规章间在网上看到这个贴子，我的家乡就临着亳州，这里的风景真的和家乡一样美。大学毕业，第一次没在家过年，第一次没见家乡的春天，在这忙忙碌碌的城市里，忙忙碌碌的生活着，连奏是什么时候溜走的都不知道，今天看到家乡这美丽的春色，不由自主的想起家。。。。。。
这些图片是在天涯社区里转载一个老乡的，借以贴在此处展示家乡的美丽～～

芍药别名白芍、殿春、将离。
　　毛茛科芍药属。
　　多年生草本植物。
















......
显示全文...

转载__史上最牛广告语——生命短暂，离个婚吧！

早 上乘地铁，时代报上偶尔看了一篇有趣的新闻，算来已经是过期五天的旧闻了，美国两名女律师为了招徕生意，花大价钱在芝加哥市中心作了一个别出心裁的户外 广告，画面是火辣性感的俊男靓女，估计表现尺度应该是非常大胆，更为拍案叫绝的是它的广告语：生命短暂，离个婚吧！这句听起来极富诗意短小精悍的广告语如 果能参加广告语大赛的话，一定能够获得大奖，无论从它的传播速度、传播范围还是影响深度来看，都远非其他广告语所能及，他在从芝加哥市中心露面到被市府人 员拆除的短短一周之内，这句话就已经通过互联网传遍了整个地球，甚至连远在地球这一端的我都知晓，可以算得上是迅速传播的典范，并且根据女律师们的说法， 此广告语一出，他们的业务量就开始急剧增长，从中就看得出这条广告语的影响力非同一般了，它的目标受众是那些处于婚姻危机之中但还没有下定决心跨出离婚一 部的犹豫人士，但不能说对那些自认为婚姻美满的家庭没有产生丝毫的影响，尤其是在开放程度非常高的美国芝加哥地区，至少对于像我这种习惯了自由的人来说， 这句广告语还是比较能打动我的。
　　虽然此话引起了芝加哥政府和市民的强烈抗议，单就其语言的凝练程度和广告创意来看，已经达到了广告届“语不惊 人死不休”的炉火纯青的境界，它的意境很容易令我想起另一个颇有讲头的广告语，法国著名诗人让彼浩勒在法国巴黎街头经过一个双目失明的乞丐旁边时，看到乞 丐面前的一个木牌子上写了“我什么也看不见”，但没有一个行人给他前，于是诗人就在他的乞讨牌上写了几个字变成了“春天来了，可是我什么也看不见”，乞讨 词改过之后，乞丐讨到的钱迅速增加。之所以令我想起这个广告，我想是因为女律师的广告词也有一些诗意的东西在里面，他们的共同之处是使一种真实的社会现象 看起来更艺术和令人从感情上更容易接受，只不过前更有一种享受当下，戏谑人生的味道。这也是为什么广告刚一曝光就遭到了市民和政府的抗议，并且在极短的时 间里就被撤下来的原因。试想这句话如果仅在坊间出现，它将会非常容易地流行起来而且不会遭到市民和政府人员的反对，就是因为它的“不正经”和对婚姻的戏谑 调侃，但当他堂而皇之地登上户外广告之后，这种对于法制婚姻的调侃鼓动必然会在民众之间引起极大的思想震动，这当然是政府和正派人士所不愿看到的结果。很 遗憾，这样一个伟大的广告语没法继续存在下去，但在互联网高度发达的今天，这丝毫不影响它的创意被迅速传播，正验证了一句话：是金子总会发光的！好创意绝 对不会被埋没。
　　无论如何，这将是广告史上最牛的一条广告语！

......
显示全文...

文本删除命令速查表

文本删除命令速查表

键盘操作	命令名称	动作
C-d	delete-char	删除光标位置上的字符
DEL	delete-backward	删除光标前面的字符
M-d	kill-word	删除光标后面的单词
M-DEL	backward-kill-word	删除光标前面的单词
C-k	kill-line	从光标位置删除到行尾
M-k	kill-sentence	删除光标后面的句子
C-x DEL	backward-kill-sentence	删除光标前面的句子
C-y 或 SHIFT-INSERT Edit->Paste Most Recent	yank	恢复被删除的文本
C-w 或 SHIFT-DELETE Edit->Cut	kill-region	删除文本块
NULL	kill-paragraph	删除光标后面的段落
NULL	backward-kill-paragraph	删除光标前面的段落

......
显示全文...

文本块操作命令

文本块操作名令速查

键盘操作	命令名称	动作
C-@ 或 C-SPACE	set-mark-command	标记文本的开始或结束位置
C-x C-x	exchange-point-and-mark	呼唤插入点和文本标记的位置
C-w 或 SHIFT-DELETE Edit->Cut	kill-region	删除文本块
C-y 或 SHIFT-INSERT Edit->Paste Most Recent	yank	粘贴最近删除或复制的文本
M-w 或 C-INSERT Edit->Copy	kill-ring-save	复制文本块（以便用C-y命令来粘贴它）
M-h	mark-paragrahp	标记段落
C-x C-p	mark-page	标记页面
C-x h	mark-whole-buffer	标记整个缓存区
M-y Edit->Select and Paste	yank-pop	在用过C-y命令以后粘贴更早删除的文本

......
显示全文...

Emacs与文件操作和帮助相关的命令列表

Emacs与文件操作和帮助相关的命令列表

键盘操作	命令名称	动作
C-x C-f Files->Open File	find-file	查找文件并在一个新缓冲区里打开它
C-x C-v	find-alternate-file	读入另外一个文件替换掉用“C-x C-f”读入的文件
C-x i Files->Insert File	insert-file	把文件插入到光标的当前位置
C-x C-s	save-buffer	保存文件
C-x C-w Files->Save Buffer As	write-file	把缓冲区内容写入一个文件
C-x C-c Files->Exit Emacs	save-buffers-kill-emacs	退出Emacs
C-h	help-command	进入Emacs的在线帮助系统
C-h f Help->Describe Function	describe-function	给出某个给定命令名的在线帮助信息
C-h k Help->Describe Key	describe-key	给出某个给定击键序列的在线帮助信息
C-h t Help->Emacs Tutorial	help-with-tutorial	启动Emacs教程
C-h I Help->Browse Manuals	info-goto-emacs-command-node	启动Info文档阅读器

......
显示全文...