入侵檢測是指“通過對(duì)行為、安全日志或?qū)徲?jì)數(shù)據(jù)或其它網(wǎng)絡(luò)上可以獲得的信息進(jìn)行操作，檢測到對(duì)系統(tǒng)的闖入或闖入的企圖”。入侵檢測是檢測和響應(yīng)計(jì)算機(jī)誤用的學(xué)科，其作用包括威懾、檢測、響應(yīng)、損失情況評(píng)估、攻擊預(yù)測和起訴支持。
（1）異常檢測模型（AnomalyDetection）：檢測與可接受行為之間的偏差。如果可以定義每項(xiàng)可接受的行為，那么每項(xiàng)不可接受的行為就應(yīng)該是入侵。首先總結(jié)正常操作應(yīng)該具有的特征（用戶輪廓），當(dāng)用戶活動(dòng)與正常行為有重大偏離時(shí)即被認(rèn)為是入侵。這種檢測模型漏報(bào)率低，誤報(bào)率高。因?yàn)椴恍枰獙?duì)每種入侵行為進(jìn)行定義，所以能有效檢測未知的入侵。
（2）誤用檢測模型（MisuseDetection）：檢測與已知的不可接受行為之間的匹配程度。如果可以定義所有的不可接受行為，那么每種能夠與之匹配的行為都會(huì)引起告警。收集非正常操作的行為特征，建立相關(guān)的特征庫，當(dāng)監(jiān)測的用戶或系統(tǒng)行為與庫中的記錄相匹配時(shí)，系統(tǒng)就認(rèn)為這種行為是入侵。這種檢測模型誤報(bào)率低、漏報(bào)率高。對(duì)于已知的攻擊，它可以詳細(xì)、準(zhǔn)確地報(bào)告出攻擊類型，但是對(duì)未知攻擊卻效果有限，而且特征庫必須不斷更新。
