详谈IDS领域目前的热点

    由于海量数据的存在，及网络环境和网络攻击的复杂性，传统的基于手工编码建立模型的方式缺乏精确性、实时性。所以数据挖掘应运而出。包括分类、关联、序列、聚类等分析方法已得到验证。该方法有效地提高了入侵检测地精确性。在选择统计特征时尤其有用。该方向已成为研究的一个热点。属于网络安全和人工智能的交又学科。

    主要是指IDS主动切断技术，目前有两种方法:

    ①防火墙连动，目前不少网络IDS扩展了与防火墙的联动接口，当发现网络攻击时，主动向防火墙发送相应指令，根据制定的安全策略做出回应。由于不同的防火墙对外的接口不一样，缺乏共同遵循的接口标准和规范，因此目前这种联动不具有广泛的适应性。另外，由于IDS产品本身的高误报率，很容易导致拒绝服务攻击。

    ②发RST报文切断连接，这个方法比较安全，只不过是切断当前连接。但由于IDS产品本身的高误报率，也容易导致拒绝服务攻击，因此主动响应技术面临的关健问题就是IDS本身的准确率。

    自动反击技术(retaliation )，当发现攻击时，通过反向扫描等技术，自动追捕攻击源头，并做出反攻。这种技术存在以下的问题，首先是合法性问题，反击本身是不合法的，另外IDS的检测能力问题，IDS本身的误报率较高，如果依据1DS的攻击告警做出反击，存在严重的法律问题。

现在真正实用的IDS，除了特征检测( Signature)和协议分析(Protocol analysis)的NIDS，对主机端基于应用的Applicationbased IDS的研究也得到了重视，更进一步的研究就是与应用集成(Application-lntegrated)的IDS，但这需要应用提供商提供一些API等的支持工作。

    Correlation是当前工业界IDS的研究方向。correlation通过关联不同类型的IDS能在一定程度上改善检测的敏感性、准确性和误警率，但由于这些系统的效率和基于这些系统的反应机制等方面的原因，反应行为可能建立在不准确和过时信息的基础之上。Sourcefire公司的总裁和CEO, MARTIN ROESCH(开放源码IDS工具Snort的作者)认为，我们将看到很多研发项目将针对入侵检测传感后端数据关联技术，它们将全面集成入侵检测技术，将多个代理传送到管理器的数据整合起来，经过智能处理，将小比例的多个事件整合形成一个放大的全面事件图。

    除了以上的热点研究问题外，其他一些技术如:响应和恢复技术、分布式协作技术、基于神经网络的智能学习技术、移动代理技术等研究也是当前IDS领域研究的热点问题。