试题出自试卷《04751《计算机网络安全》真题及答案解析（2020.10）》

问题1选项
A.协议
B.数据源
C.检测理论
D.检测时效

B

本题考查入侵检测技术-入侵检测概述-入侵检测原理。入侵检测系统首先需要解决的问题是数据源，或者说是审计事件发生器。按照数据源所处的位置，入侵检测系统可分为主机入侵检测系统、网络入侵检测系统和混合入侵检测系统。（1）主机入侵检测系统(Host-based IDS, HIDS)。系统通常部署在权限被授予和跟踪的主机上，依据一定的算法对主机的网络实时连接及日志文件中的审计数据(包括可查事件和可查信息，如多次登录失败的记录等)进行分析，得出非法用户的登录企图、冒充合法用户等入侵行为，从而采取相应措施保护主机安全。（2）网络入侵检测系统(Network-based IDS, NIDS)。网络入侵检测系统的实现方式是将某台主机的网卡设置成混杂模式（PromiscMode），通过监听本网段内的所有数据包并进行判断或直接在路由设备上放置入侵检测模块。这种机制为进行网络数据流的监视和入侵检测提供了必要的数据来源。该系统目前应用比较广泛，如ISS公司的RealSecure等。（3）混合入侵检测系统(HybridIDS)。混合入侵检测系统结合了HIDS和NIDS，两种技术优势互补，这样既可发现网络中的攻击信息，也可从系统日志中发现异常情况。但这种方案覆盖面较大，需要考虑到由此引起的巨大数据量和费用。故本题选B。