| 引言 | 第1-11页 |
| 第一章 概念和技术背景 | 第11-19页 |
| 1．1 入侵检测的定义 | 第11-12页 |
| 1．2 入侵简介 | 第12-14页 |
| 1．2．1 入侵定义和分类 | 第12页 |
| 1．2．2 入侵的步骤 | 第12-14页 |
| 1．3 入侵检测的基本功能 | 第14-15页 |
| 1．3．1 发现入侵 | 第14-15页 |
| 1．3．2 对入侵行为的响应 | 第15页 |
| 1．3．3 定期扫描并发现系统漏洞 | 第15页 |
| 1．4 入侵检测系统的分类方法 | 第15页 |
| 1．5 检测的基本方法 | 第15-17页 |
| 1．5．1 误用（Misuse）检测 | 第15-16页 |
| 1．5．2 异常（Exception）检测 | 第16-17页 |
| 1．6 检测技术的标准化（CIDF模型） | 第17-18页 |
| 1．7 入侵检测技术最新发展动向 | 第18-19页 |
| 第二章 分布式入侵检测系统 | 第19-25页 |
| 2．1 现有设计模式的不足 | 第19-21页 |
| 2．1．1 处理速度慢 | 第20页 |
| 2．1．2 扩展性差 | 第20页 |
| 2．1．3 数据来源单一 | 第20页 |
| 2．1．4 分析引擎不完善 | 第20-21页 |
| 2．1．4．1 检测错误率高 | 第20-21页 |
| 2．1．4．2 不能检测长期的攻击 | 第21页 |
| 2．1．4．3 不能进行攻击预测 | 第21页 |
| 2．1．5 响应系统简单 | 第21页 |
| 2．2 分布式入侵检测系统概述 | 第21-23页 |
| 2．2．1 分布式入侵检测 | 第21-22页 |
| 2．2．2 系统设计的性能要求 | 第22-23页 |
| 2．2．2．1 难以欺骗性 | 第23页 |
| 2．2．2．2 实时性 | 第23页 |
| 2．2．2．3 检测成功率 | 第23页 |
| 2．3 分布系统的框架结构 | 第23-25页 |
| 2．3．1 数据收集代理 | 第24页 |
| 2．3．2 分析引擎 | 第24-25页 |
| 2．3．3 响应子系统 | 第25页 |
| 第三章 分布式数据收集代理的设计实现 | 第25-44页 |
| 3．1 基于网络的数据收集 | 第26-34页 |
| 3．1．1 优、缺点研究 | 第26页 |
| 3．1．2 实现方法 | 第26-28页 |
| 3．1．3 流量规整 | 第28-33页 |
| 3．1．3．1 规整的必要性 | 第28-29页 |
| 3．1．3．2 规整的软件的位置 | 第29-30页 |
| 3．1．3．3 规整软件的实现 | 第30-33页 |
| 3．1．4 交换式网络解决方案 | 第33-34页 |
| 3．2 基于主机的信息收集 | 第34-37页 |
| 3．2．1 优、缺点研究 | 第34-35页 |
| 3．2．2 日志信息处理 | 第35页 |
| 3．2．3 BSM数据处理 | 第35-36页 |
| 3．2．4 文件完整性校验 | 第36-37页 |
| 3．3 检测数据的处理 | 第37-43页 |
| 3．3．1 形成统一的事件对象 | 第37-39页 |
| 3．3．1．1 对象的结构 | 第37-38页 |
| 3．3．1．2 对象形成过程 | 第38-39页 |
| 3．3．2 快速匹配算法 | 第39-43页 |
| 3．3．3 检测信息保存 | 第43页 |
| 3．4 时钟同步 | 第43-44页 |
| 第四章 分析引擎的设计实现 | 第44-80页 |
| 4．1 总体思路 | 第44-45页 |
| 4．2 专家系统 | 第45-46页 |
| 4．3 规则判定过程 | 第46-61页 |
| 4．3．1 规则的格式 | 第46-47页 |
| 4．3．2 判定原理说明 | 第47-49页 |
| 4．3．3 实际设计 | 第49-61页 |
| 4．3．3．1 BSM的事件流分析 | 第49-53页 |
| 4．3．3．2 网络数据报分析 | 第53-61页 |
| 4．4 系统状态转移 | 第61-74页 |
| 4．4．1 分析方法 | 第61-69页 |
| 4．4．2 具体设计 | 第69-74页 |
| 4．4．2．1 “ftp-write”攻击 | 第69-72页 |
| 4．4．2．2 同步淹没攻击 | 第72-74页 |
| 4．5 攻击树分析 | 第74-78页 |
| 4．5．1 分析方法 | 第74-76页 |
| 4．5．2 具体设计 | 第76-78页 |
| 4．6 知识库的更新 | 第78-79页 |
| 4．7 控制中心 | 第79-80页 |
| 第五章 响应系统的设计实现 | 第80-83页 |
| 5．1 响应的策略 | 第80-82页 |
| 5．1．1 撤消TCP连接 | 第80-81页 |
| 5．1．2 攻击回避 | 第81页 |
| 5．1．3 隔离保护 | 第81页 |
| 5．1．4 伪装SYN／ACK | 第81-82页 |
| 5．1．5 复位连接 | 第82页 |
| 5．1．6 反击攻击者 | 第82页 |
| 5．2 实现 | 第82-83页 |
| 第六章 系统部署、安全和组件协作问题 | 第83-87页 |
| 6．1 各组成部分的位置 | 第83-84页 |
| 6．2 代理的配置 | 第84-85页 |
| 6．3 安全问题 | 第85-86页 |
| 6．3．1 重要性 | 第85页 |
| 6．3．2 实现方法 | 第85-86页 |
| 6．4 分布系统组件之间的协作 | 第86-87页 |
| 6．4．1 组件定位 | 第86-87页 |
| 6．4．2 分布代理之间的负载分担 | 第87页 |
| 第7章 入侵检测系统性能测试 | 第87-91页 |
| 7．1 总体设计 | 第87-89页 |
| 7．1．1 测试的重要性 | 第87-88页 |
| 7．1．2 测试环境 | 第88-89页 |
| 7．2 分类测试 | 第89-91页 |
| 7．2．1 防火墙穿透（firewall penetration） | 第89-90页 |
| 7．2．2 同步淹没攻击（Syn flood） | 第90-91页 |
| 7．2．3 缓冲区溢出攻击（Buffer overflow） | 第91页 |
| 第八章 结论 | 第91-94页 |
| 8．1 系统设计总结 | 第91-92页 |
| 8．2 入侵检测的应用前景 | 第92页 |
| 8．3 下一步的研究思路 | 第92-94页 |
| 参考文献 | 第94-95页 |
| 致谢 | 第95-96页 |
| 附录 | 第96-101页 |
| 1 IETF入侵检测信息交换格式 | 第96-97页 |
| 2 事件类继承关系 | 第97页 |
| 3 AC BM字符匹配算法程序片段 | 第97-101页 |