11 入侵检测系统概述之基于主机的入侵检测系统 (HIDS)
在信息安全的广阔领域中，入侵检测系统（IDS）扮演着至关重要的角色。上一篇文章中，我们讨论了防火墙的类型以及入侵检测的基本工作原理，那是维护网络安全的一部分。而本篇将重点介绍基于主机的入侵检测系统（HIDS），理解其功能及其在入侵检测领域中的重要性。
什么是基于主机的入侵检测系统 (HIDS)？
基于主机的入侵检测系统 (HIDS) 是一种监测和分析单个计算机主机或设备上活动的安全技术。它通过监视系统日志、文件完整性和进程活动，来检测可能的恶意行为或异常活动。
HIDS的工作原理
HIDS与其他类型的入侵检测系统相比，其具有以下几个显著特征：
文件完整性监测：
HIDS会监控文件的变更，包括文件的创建、删除和修改。它会维护一个文件哈希值的数据库，当文件被更改时，会触发警报。例如，对于Linux系统，可以使用
AIDE（Advanced Intrusion Detection Environment）来实现文件完整性检测：1
2
3
4
5
6
7
8# 安装AIDE
sudo apt-get install aide
# 初始化AIDE数据库
sudo aideinit
# 检查文件的完整性
sudo aide --check日志分析：
HIDS会分析系统产生的各种日志文件，例如/var/log/auth.log、/var/log/syslog等，以寻找异常登录尝试或系统调用。进程监控：
HIDS能够监控正在运行的进程和服务，并与已知的安全基线进行比较，检测出异常的进程。例如，使用ps命令可以列出当前运行的所有进程，我们可以将输出与预先定义的数据库进行比对。1
ps aux
HIDS的优缺点
优点：
- 深度监控：由于HIDS是在主机上直接运行的，它能提供更为详尽和具体的活动监控。
- 及时检测：能够快速响应主机内部的威胁，减少潜在损失。
缺点：
- 资源消耗：HIDS通常会消耗相对较多的系统资源，可能对系统性能造成影响。
- 难以进行全面监测：HIDS无法监控网络流量，无法捕捉跨主机的攻击行为。
案例分析：HIDS应用场景
设想一个企业的服务器上，部署了HIDS来保护其重要数据。某天，系统管理员注意到某个用户在午夜时分尝试登录三次，每次都失败了。通过HIDS的日志分析，管理员能够即时了解到这些异常登录尝试，并采取措施，阻止进一步的攻击。
此外，假如HIDS检测到某个关键的配置文件如/etc/passwd发生了未经授权的修改，它会立即发出警报，通知系统管理员，以便迅速查明原因。
结论
基于主机的入侵检测系统（HIDS）是保障主机安全的重要工具，它与网络入侵检测系统（NIDS）相辅相成，共同构成一个完整的入侵检测机制。HIDS能够细致入微地监测主机内部的异常活动，为安全防护提供了深度的保障。
在下一篇文章中，我们将探讨另一种类型的入侵检测系统，也就是基于网络的入侵检测系统（NIDS），了解它在整体网络安全架构中的作用及其工作原理。请继续关注！
11 入侵检测系统概述之基于主机的入侵检测系统 (HIDS)
