试题出自试卷《信安每日五题（9月26日）》

问题1选项
A.误用检测根据对用户正常行为的了解和掌握来识别入侵行为
B.误用检测根据掌握的关于入侵或攻击的知识来识别入侵行为
C.误用检测不需要建立入侵或攻击的行为特征库
D.误用检测需要建立用户的正常行为特征轮廓

B

本题考查入侵检测技术相关知识。

误用入侵检测通常称为基于特征的入侵检测方法，是指根据已知的入侵模式检测入侵行为。优点：依据具体特征库进行判断，所以检测准确度很高，并且因为检测结果有明确的参照，也为系统管理员做出相应措施提供了方便。缺点：与具体系统依赖性太强，不但系统移植性不好，维护工作量大，而且将具体入侵手段抽象成知识也很困难。并且检测范围受已知知识的局限，尤其是难以检测出内部人员的入侵行为，如合法用户的泄露。故本题选B。

希赛点拨：
基于条件概率的误用检测方法：基于条件概率的误用检测方法，是将入侵方式对应一个事件序列，然后观测事件发生序列，应用贝叶斯定理进行推理，推测入侵行为。
基于状态迁移的误用检测方法：状态迁移方法利用状态图表示攻击特征，不同状态刻画了系统某一时刻的特征。
基于键盘监控的误用检测方法：基于键盘监控的误用检测方法，是假设入侵行为对应特定的击键序列模式，然后监测用户的击键模式，并将这一模式与入侵模式匹配，从而发现入侵行为。
基于规则的误用检测方法：基于规则的误用检测方法是将攻击行为或入侵模式表示成一种规则，只要符合规则就认定它是一种入侵行为。