Ho difficoltà a comprendere la differenza tra IDS basati sulla conoscenza e IDS basato sul comportamento.
Questo link dice che un IDS basato sulla conoscenza utilizza un database di attacchi specifici e vulnerabilità di sistema , che è metodo blacklist , penso. Ma che dire di un IDS che utilizza la lista bianca? Questo IDS è ancora un IDS basato sulla conoscenza? (o un IDS basato sul comportamento?)
Ecco un esempio di un IDS semplice, qualcuno può dirmi che questo ID è un IDS basato sulla conoscenza o un IDS basato sul comportamento?
Esempio:
Un IDS semplice ha una lista bianca di tutto il personale autorizzato. E la lista bianca sembra [alice, bob] .
Quando arriva Alice o Bob, nessun allarme è attivo. Ma quando arriva il jack, viene attivato l'allarme di intrusione.
(puoi anche pensare a alice, bob e jack come ID dei pacchetti di rete)
Quindi, basato sulla conoscenza? basata sul comportamento?