主题：企业需要什么样的IDS测试 IDS重要标准

　　首先，我们需要选用防火墙作为防御非法入侵的大门，通过规则定义，我们告诉防火墙和路由器: 符合某些条件的信息可以被放行，不符合某些条件的信息需要被拒绝。同时，我们还可以使用PKI加密认证和VPN通道技术，让“合法”的信息到达目的地。

　　其次，对服务器系统进行加固，提高安全防护水平。对系统的安全加固是个长期的工作，用户需要随时进行漏洞检查，做到随时发现随时填补。

　　第三，选用优秀的入侵检测系统(Intrusion Detection System，IDS)。在安全防护系统中，若不良来访者被允许访问，它会对企业网做出令网络管理者无法控制的事情，如果系统配备了IDS，这种破坏性行为将被抑制。我们知道，网络总是要提供服务的，对于一些常用的服务如浏览和E-mail收发等，防火墙只做到允许或者拒绝各种各样访问者访问这些服务，无法判定具有攻击行为的访问是否会摧毁防火墙。这就好像门卫难以判定每个来访者是办事者还是偷窃者一样。如果墙角(或其他什么位置)安装了微型摄像机，能够监视来访者的一举一动，保安人员便可以根据来访者的行为及时发现不法分子，及时报警，确保办公与居住人员的安全。

　　IDS在国内已经出现一段时间了，它是网络安全防护体系的重要组成部分。目前，它在国内的应用还不够广泛，人们还没有充分利用这个利器更好地保护企业网。作为大多数技术人员来说，介绍IDS的资料相对较少，而市场上类似的产品却多如牛毛，如何正确选择适合各自企业应用的产品，是每个人都关心的话题。本文将从使用者的角度介绍选择IDS的几个关键技术点，希望能为用户的选购给予帮助。

　　需要提醒用户注意的是，在IDS方面做得出色的产品一定很实用，但并不能说它就是一个优秀的安全产品，因为除此之外，它还应该附带很多附属功能，即让用户感觉简单、好用。作为一个真正的IDS产品，其主要功能应包括以下几个方面。

　　检测入侵。

　　远程管理。

　　抗欺骗能力。

　　自身安全性。

　　下面，我们将分别对这4个方面进行分析。

　　一、检测入侵

　　IDS最主要的功能是检测非法入侵。能够智能地报告入侵者的非法行为是检验IDS性能优劣的首要条件。用户安装上IDS后，在缺省情况下，应该对各个服务可能遇到的攻击进行告警检测。我们可以选择一些破坏性比较大的攻击，比如远程溢出攻击(只要攻击成功，即可全面控制计算机系统)，用它对IDS进行一下测试。面对这种攻击，如果IDS产品没有反应，那么附加功能再多，也是一个检测非法入侵能力低下的产品。

　　二、远程管理

　　IDS的机制是监视网络上的流量，如果所要监视的网络不止一个Hub或交换机，就要在每个Hub或交换机上安装网络引擎。这样我们就需要一个控制台和日志分析程序来管理和分析多个网络引擎及它们产生的告警。用户有时希望坐在办公室中实时查看和管理机房里的IDS，作为产品提供商，应该满足用户的这种需求，为用户提供远程管理功能，只是需要注意把这个功能和IDS的另一个功能(即远程告警)区分开。事实上，IDS还应该能够支持各种各样的远程告警方式，像打电话、发邮件等等。不过这种交流是单向的，用户只能被动地得到信息，而不能主动控制远程的网络引擎。

　　三、抗欺骗能力

　　IDS的目的是抵制入侵者，然而入侵者会想方设法逃避它。逃避IDS的方法很多，总结起来可以分成两大类: 让IDS漏报和让IDS误报。

　　1.IDS误报

　　所谓IDS误报是指: 明明没有这个攻击，但是入侵者让IDS拼命告警，使不断增长的告警日志塞满硬盘，以致翻滚的告警屏幕把管理者搞得眼花缭乱。这样，真正的攻击就可以夹杂在数不清的虚假告警中蒙混过关了。

　　2001年3月，国外网络安全产品