Question

异常检测和误用检测有何区别？

Answer 1

异常检测和误用检测有何区别？

　　异常检测：入侵和滥用行为通常和正常的行为存在严重的差异，检查出这些差异就可以检测出入侵。

　　误用检测：是通过某种方式预先定义行为，然后见识系统的运行，从中找出符合预先定义规则的入侵行为。

　　异常检测通常用于检测系统内容错误，当系统内容错误时将发出执行异常事件。具体使用方法时，在“检测执行内容”事件中，设置所要执行的命令。然后执行其方法‘检测执行’。如果发现命令错误时，就发出执行异常事件。

　　注意：这里的错误，不是指搭建错误，而是系统内部错误。

　　异常检测的经典应用以客户服务器方式执行提交时，如果服务端出现错误，造成没有提交成功，这时就要发出系统异常事件，使数据正常处理，数据表数据滚回。如向银行系统的服务器更改存钱信息，当服务器错误没有接收到新的数据，这时要发出异常事件使数据恢复为原来的数据，表示没存上。

　　在常规应用中，假设一段代码必须按正确的时候进行，错了的时候发出异常事件. 误用检测按照预定模式搜寻事件数据。最适用于对已知模式的可靠检验。执行误用检测，主要依赖于可靠的用户活动记录和分析事件的方法。

缺点：

　　异常检测的局限在于并非所有的入侵都表现为异常，而且系统的轨迹难于计算和更新；

　　误用检测只能发现已知的攻击，对未知的攻击无能为力。

Answer 2

异常检测

异常检测通常用于检测系统内容错误，当系统内容错误时将发出执行异常事件。具体使用方法时，在“检测执行内容”事件中，设置所要执行的命令。然后执行其方法‘检测执行’。如果发现命令错误时，就发出执行异常事件。

注意：这里的错误，不是指搭建错误，而是系统内部错误。

异常检测的经典应用以客户服务器方式执行提交时，如果服务端出现错误，造成没有提交成功，这时就要发出系统异常事件，使数据正常处理，数据表数据滚回。如向银行系统的服务器更改存钱信息，当服务器错误没有接收到新的数据，这时要发出异常事件使数据恢复为原来的数据，表示没存上。

在常规应用中，假设一段代码必须按正确的时候进行，错了的时候发出异常事件。
误用入侵检测系统综述
http://www.cid2008.net/calculator_safety_6/2005_05/the_misuse_invades_the_d_42312.htm