核心問題：如何獲取完整網路資訊
入侵偵測（IDS）核心在於截獲所有網路封包。兩大來源：
- 網路偵聽：Sniffer、Vpacket 等採集封包、流量、狀態、管理資訊——既是駭客偵察手段，也是防禦必經之路。
- 系統/應用程式日誌分析：發現入侵行為與潛在漏洞。
六大主流攻擊類別
| 類別 | 說明 | 典型案例 |
|---|
| 拒絕服務 (DoS) | 耗盡關鍵資源使服務停止 | SYN Flood, Ping Flood, Land, WinNuke |
| 非授權存取嘗試 | 嘗試讀/寫/執行受保護資源 | 暴力破解、權限提升 |
| 預探測攻擊 | 收集網路拓撲、服務資訊 | SATAN掃描、連接埠掃描、IP半掃描 |
| 可疑活動 | 偏離正常通訊模式的活動 | Unknown Protocol、Duplicate IP |
| 協定解碼 | 解析應用層協定以識別異常 | FTP User、Portmapper Proxy 解碼 |
| 系統代理攻擊 | 針對單一主機，透過代理監控 | RealSecure 系統代理監控 |
六大經典攻擊特徵分析與反制
- Land 攻擊：封包源/目的 IP 相同 → 丟棄封包、防火牆過濾、審計記錄。
- TCP SYN Flood：偽造源 IP 發送大量 SYN，耗盡半連接緩衝區 → 單位時間 SYN 連接數閾值告警、防火牆阻斷、審計。
- Ping of Death：封包 > 65535 位元組 → 丟棄超大封包、打補丁、審計。
- WinNuke：目標埠 139/138/137/113/53 + URG=1 → 防火牆過濾該埠+URG 旗標、審計。
- Teardrop：重疊偏移的 UDP 分片封包 → 分析片偏移量、丟棄畸形分片、打補丁、審計。
- TCP/UDP 連接埠掃描：對非常用埠（非 21/23/25/53/80/8000/8080）大量連線 → 統計異常埠連線請求、防火牆阻斷、審計攻擊者 IP/MAC。
入侵偵測系統 (IDS) 面臨的七大挑戰
- 大規模分散式/組合式攻擊識別缺乏成熟方案。
- 加密流量導致特徵匹配失效。
- 網路設備多樣化要求 IDS 可定製化適配。
- 缺乏統一評價標準，互操作困難。
- 自動回應機制可能被利用製造新 DoS（如偽造大量源 IP 觸發防火牆封鎖合法流量）。
- IDS 自身成為攻擊目標，需多重防護。
- 高頻寬環境下即時分析效能瓶頸。
IDS 需持續跟進最新攻擊技術、加密流量分析、高效能架構，才能持續有效守護網路安全。