網路攻擊與防禦實務
關於IDS的偵測方式，比較特徵比對型（不當偵測型）與異常偵測型，正確的說明是下列何者？
- A特徵比對型以與已知攻擊特徵的一致來偵測，容易漏掉未知攻擊；異常偵測型以偏離平常狀態來偵測，也能察覺未知攻擊，但誤報較多
- B特徵比對型連未登錄的未知攻擊也能確實偵測，異常偵測型則只能偵測事先登錄的已知攻擊
- C異常偵測型不需要學習平常的狀態，因此導入後立刻就能無誤報地使用，也不需要更新特徵碼
查看答案與解析
正確答案：A. 特徵比對型以與已知攻擊特徵的一致來偵測，容易漏掉未知攻擊；異常偵測型以偏離平常狀態來偵測，也能察覺未知攻擊，但誤報較多
特徵比對型事先登錄已知攻擊的通訊特徵（特徵碼），偵測與其一致者。它能準確找出已登錄的攻擊，但容易漏掉新的攻擊，或稍微改變特徵的攻擊，必須持續更新特徵碼。異常偵測型會學習通訊量、時段、連線目標等平常的狀態（基準線），偵測大幅偏離者，因此有可能察覺未知的攻擊。另一方面，它容易把正常但罕見的通訊判定為異常，使誤報增加，因此實務上會把兩者組合使用。
- A. 正確。把擅長已知攻擊的特徵比對型，與能察覺未知攻擊但誤報較多的異常偵測型組合使用。
- B. 說反了。特徵比對型容易漏掉未登錄的未知攻擊。
- C. 異常偵測型需要學習平常狀態的期間，也容易產生較多誤報。