intrusion-detection - 异常检测和行为检测的区别

Question

在入侵检测系统中，有两种技术称为异常检测和行为检测。我正在从头开始实现 IDS 并检查一些签名，并从某些站点将它们作为不同类型的检测方法提供。它们的基本区别是什么？在我看来，两者都是相同的，因此相同的签名应该能够检测到这些类型的攻击。

站点上给出的异常检测示例:检测不属于正常配置文件的函数调用

站点上给出的行为检测示例:搜索 cmd.exe 的任何远程调用。

现在在我看来两者都是相同的东西，即偏离正常行为，那么为什么它们被描述为不同的方法？

Answer 1

基于异常的检测和行为检测之间确实存在差异。在探讨两者之前，我想指出的是
入侵检测社区使用两种附加样式:基于滥用 (又名基于签名)和 基于规范检测，但这些与您的问题无关。

基于异常的检测

定义:一种两步法，首先用数据训练系统以建立一些正态性概念，然后使用已建立的真实数据配置文件来标记偏差。

示例 :查看良性 URL 的一些特征，例如它们的长度、字符分布等，以定义“正常”URL 的外观。有了这种正常性的概念，您就可以标记与正常 URL 长度相差太远或其中包含太多异常字符的 URL。

优点:

可以检测潜在的广泛的新型攻击

缺点:

可能会错过已知的攻击

如果它们不沿着观察到的维度突出，可能会错过新的攻击

高假阳性率(见 base rate fallacy)

训练数据的纯度(即没有攻击)

基于行为的检测

定义 :寻找妥协的证据而不是攻击本身。

示例 : 监视 unset HISTFILE 的 shell 历史记录，通常只有攻击者在入侵机器后才能输入的命令。

优点:

可检测范围广泛的新型攻击

低误报

部署和监控成本低

缺点:

事后，攻击已经发生

一经知易规避