基于网络的入侵检测系统采用的识别技术主要有______、统计意义上的非正常现象检测、频率或阀值以及模式匹配。A．事件的相关性B．系统事件C．安全性事件D．应用程序事件

参考答案：B

正确答案：D

答案：正确

正确答案：A

正确答案：A
解析：美国国防部高级研究计划局(DARPA)提出的公共入侵检测框架(Common IntrusionDetection Framework，CIDF)由4个模块组成。
  (1)事件产生器(Event generators，E-boxes)：负责数据的采集，并将收集到的原始数据转换为事件，向系统的其他模块提供与事件有关的信息。入侵检测所利用的信息一般来自4个方面：系统和网络的日志文件、目录和文件中不期望的改变、程序执行中不期望的行为、物理形式的入侵信息等。入侵检测要在网络中的若干关键点(不同网段和不同主机)收集信息，并通过多个采集点信息的比较来判断是否存在可疑迹象或发生入侵行为。
  (2)事件分析器(Event Analyzers，A-boxes)：接收事件信息并对其进行分析，判断是否为入侵行为或异常现象，分析方法有下面三种：
  ①模式匹配：将收集到的信息与已知的网络入侵数据库进行比较，从而发现违背安全策略的行为。
  ②统计分析：首先给系统对象(例如用户、文件、目录和设备等)建立正常使用时的特征文件(Profile)，这些特征值将被用来与网络中发生的行为进行比较。当观察值超出正常值范围时，就认为有可能发生入侵行为。
  ③数据完整性分析：主要关注文件或系统对象的属性是否被修改，这种方法往往用于事后的审计分析。
  (3)事件数据库(Event Databases，D-boxes)：存放有关事件的各种中间结果和最终数据的地方，可以是面向对象的数据库，也可以是一个文本文件。
  (4)响应单元(Response units，R-boxes)：根据报警信息做出各种反应，强烈的反应就是断开连接、改变文件属性等，简单的反应就是发出系统提示，引起操作人员注意。
  因此，入侵检测系统的构成中不包括预警单元，故选A。

答案：D

解析：

答案：A,B,C,D

解析：

参考答案：A

正确答案：A

正确答案：B
本题考查Windows系统安全的基础知识。通过“Windows器”中的事件日志，可以收集关于硬件、软件和系统问题的信息。也可以监视windows系统的安全事件。运行任何Windows版本的计算机通过应用程序事件、安全性事件和系统事件三种日志记录事件。应用程序日志包含由应用程序或系统程序记录的事件。例如，数据库程序可在应用程序日志中记录文件错误。程序开发人员决定监视哪些事件；安全性日志记录诸如有效和无效的登录尝试等事件，以及记录与资源使用相关的事件，如创建、打开或删除文件或其他对象p管理器可以指定在安全性日志中记录什么事件。例如，如果您已启用登录审核，登录系统的尝试将记录在安全性日志里；系统日志包含Windows的系统组件记Windows。例如，在启动过程中加载驱动程序或其他系统组件失败将记录在系统日志中。windows预先确定由系统组件记录的事件类型。

正确答案：D

正确答案：D

答案：B

解析：