网络入侵检测系统：保障系统防御第二道防线

无线自组织网络有一些易受攻击的特点，例如露天传输、没有固定基础设施或集中管理的自组织。结果，自组织网络更容易受到攻击，安全挑战更加复杂。作为防御的第一道防线，像加密和认证这样的入侵防御技术，能用来抵御入侵者。然而，甚至在有线网络中，单独使用主动防御也不能有效地防止所有渗透，以使系统安全。防御系统的第二道防线需要检测出网络中正在进行的攻击。如果能检测到，则危害能减至最小。

一个入侵检测系统（Intrusion-Detection System，IDS）监控系统里的活动，并分析审计数据来判定是否存在违反安全规则的行为。如果判定出一个恶意的破坏，就会给出一个警告。IDS也会相应地对攻击做出反应。可用的技术包括异常检测、滥用检测及基于规范的检测（Mishra et al.，2004）：

1）为了检测出异常，用户正常行为轮廓（Profiles）保存在系统里。任何偏离相应轮廓基线的系统活动，都被认定为一个可能的入侵。对于这种方法，正常行为参数的周期性更新是基本的。

2）为了检测出滥用，系统用保存在系统内的已知攻击模式与之匹配，识别出已知入侵。然而，这不能检测出新类型的攻击。(www.xing528.com)

3）在基于规范的检测里，先定义一个约束条件集来描述程序或协议的正常操作。任何违反这些约束条件的行为，被认定为一种可能的入侵。

无线自组织网络中的入侵检测系统架构

无线自组织网络的特性使得它们非常容易受到攻击。首先，移动节点是独立的，它们移动不受系统控制，这样节点就可以轻易地被捕获、破坏和劫持。其次，对敌手来说，在无线网络中没有物理障碍，所以攻击可以来自任何方向，以任何节点为目标。再次，在无线自组织网络中，敌手可能会利用去中心化的管理来实施新型的破坏协作式算法的攻击。为了处理这些额外的挑战，人们设计了一些可能的IDS架构，包括独立IDS、分布式与协作IDS和分层IDS。