第1章 概述 1
1.1网络安全的主要威胁 1
1.1.1互联网已经进入木马／病毒经济时代 2
1.1.2 “0Day”等漏洞和系统缺陷令人防不胜防 3
1.1.3社会工程学的攻击手段成为病毒入侵的重要途径 4
1.1.4网络内部原因所引起的安全威胁 4
1.2攻击行为分析 5
1.3主动安全防御技术概述 6
1.3.1主动安全防御的基本思想 6
1.3.2常见主动防御技术 6
习题1 9
第2章 入侵检测系统基础知识 10
2.1入侵检测系统的基本组成 10
2.1.1入侵检测的一般过程 10
2.1.2入侵检测系统模型及组件 12
2.2入侵检测系统的分类 17
2.2.1按IDS数据源的分类方式 17
2.2.2按IDS所采用的分析技术分类 20
2.2.3其它分类方式 22
2.3基于主机的入侵检测系统 23
2.3.1基于主机的入侵检测系统的工作原理 23
2.3.2基于主机的IDS的优缺点 24
2.3.3基于主机的入侵检测系统的分类 26
2.3.4基于主机的入侵检测系统的体系结构 27
2.3.5基于主机的入侵检测系统的模型分析 27
2.4基于网络的入侵检测系统 31
2.4.1基于网络的入侵检测系统的工作原理 31
2.4.2基于网络的IDS的优缺点 32
2.4.3基于网络的入侵检测系统的体系结构 33
2.4.4基于网络的入侵检测系统的模型分析 33
2.5分布式入侵检测系统 35
2.5.1分布式入侵检测系统的设计思想 35
2.5.2分布式入侵检测系统的体系结构 36
2.5.3分布式入侵检测系统的典型方案分析1 37
2.5.4分布式入侵检测系统的典型方案分析2 38
习题2 40
第3章 入侵检测系统中的主要技术 41
3.1攻击防范技术 41
3.1.1网络安全防范的正确策略 41
3.1.2密码学基本方法的应用 45
3.1.3漏洞探测法 52
3.1.4信息流的控制 74
3.1.5诱骗法 74
3.1.6其它常见攻击防范技术 76
3.2入侵检测技术 78
3.2.1审计跟踪及分析法 78
3.2.2包过滤方法 84
3.2.3入侵检测相关的数学模型 89
3.2.4入侵检测系统的检测方式 90
3.2.5误用检测 91
3.2.6异常检测 107
3.2.7混合式检测 161
3.2.8 IPS的高级检测技术 162
3.2.9信息的主动收集 165
3.3入侵响应技术 174
3.3.1响应策略的制定 175
3.3.2常见响应方式 180
3.3.3主动响应技术 181
3.4自动恢复技术 191
3.4.1自动恢复技术的相关概念 191
3.4.2自动恢复技术实例说明 192
3.5入侵取证与反取证技术 193
3.5.1计算机入侵取证技术 194
3.5.2网络入侵取证技术 198
3.5.3反取证技术 201
3.6新一代入侵检测产品引入的关键性技术 203
习题3 205
第4章 入侵检测标准 207
4.1通用入侵检测框架 207
4.1.1 IDS的体系结构 208
4.1.2 CIDF的通信机制 209
4.1.3 CIDF语言 221
4.1.4 CIDF的API接口 226
4.2 IDWG的建议草案 227
4.2.1入侵检测消息交换格式 228
4.2.2入侵检测交换协议 241
4.2.3隧道轮廓 247
4.3两种标准草案之间的联系 252
习题4 253
第5章 入侵检测系统的架构与设计 254
5.1用户的需求分析与设计原则 254
5.1.1用户的需求调研及需求分析 254
5.1.2入侵检测系统设计原则 256
5.2入侵检测系统各功能模块的设计与通信 258
5.2.1主要功能模块的设计 258
5.2.2各功能模块之间的通信 277
5.3入侵检测系统与其它网络安全产品的协同 279
5.3.1入侵检测系统与防火墙的联动 279
5.3.2入侵检测系统与其它网络安全产品的协同 285
习题5 289
第6章 入侵检测系统评估 290
6.1入侵检测系统的主要性能参数 290
6.1.1检测率、虚报率与报警可信度 291
6.1.2抗攻击能力 293
6.1.3其它性能指标 293
6.2入侵检测系统评估标准 294
6.2.1准确性（Accuracy） 294
6.2.2完备性（Completeness） 295
6.2.3容错性（Fault Tolerance） 295
6.2.4及时性（Timeliness） 296
6.2.5处理性能（Performance） 296
习题6 297
第7章 Snort的配置与使用 298
7.1 Snort的安装及配置 298
7.1.1 Snort软件的下载 298
7.1.2 Snort所需的Windows环境 299
7.1.3安装Snort 304
7.1.4配置Snort 305
7.2使用IDScenter配置Snort 307
7.3 Snort的测试 313
7.4 Snort命令参数及入侵检测实例 314
7.4.1 Snort命令参数及作用 314
7.4.2 Snort入侵检测实例 315
7.5 Snort的维护和升级 319
习题7 320
附录 321
附录1 TCP／IP协议簇 321
附录2 当前网络安全的主要漏洞 321
附录3 利用WinPcap抓包主要实现代码 323
附录4 数据结构Rule Tree Nodes（RTN）和Opt Tree Nodes（OTN） 325
附录5 网络数据包捕获模块主要数据结构和变量声明介绍 327
附录6 规则解析模块公共数据结构和变量声明介绍 327
附录7 基于CIDF的组件通信算法描述 328
附录8 函数DecodeEthPkt（） 、DecodeARP（） 、DecodeIP（） 、DecodeICMP（） 、DecodeTCP（） 、DecodeUDP（）的具体说明 330
参考文献 338