预防 事故之前防止事故发生；职责分离，岗位轮换（有争议）、数据分类，安全意识培训
检测 事中行为 强制休假
纠正 事后，采取措施对影响降低 BCP DRP
基于知识的检测也叫基于签名检测
基于行为的检测：基于统计异常的IDS优点可以对新型攻击作出反应，基于统计异常的IDS可检测零日攻击
假阳性：基于行为的IDS主要缺点经常出现假警报--假阳性
假阴性：基于签名的系统主要缺点是出现假阴性，因为他识别不出新攻击
基于主机的IDS
基于网络的IDS
IPS入侵防御系统
基于网络的IPS --- NIPS 预防
基于网络的防火墙
基于主机的防火墙
电路级
应用层防火墙
下一代防火墙 工作在1-7层
WEB应用程序防火墙
基于云的防火墙
考试时把题干读懂
不同国家，蜜罐可能非法
蜜罐通常部署为虚拟机，并通过物理或虚拟方式进行隔离
蜜网：模拟整个网络
