入侵检测设备如何终止进程

入侵检测设备一般使用kill 、killall、pkill、xkill等工具命令来终止进程，一个程序已经死掉，但又不能退出，这时就应该考虑应用这些工具，如果是在服务器中在不涉及数据库服务器程序的父进程的停止运行，也可以用这些工具来终止。数据库服务器的父进程不能用这些工具，原因是这些工具在强行终止数据库服务器时，会让数据库产生更多的文件碎片，当碎片达到一定程度的时候，数据库就有崩溃的危险。

入侵检测过程分为3部分：信息收集、信息分析和结果处理。

• 信息收集：入侵检测的第一步是信息收集，收集内容包括系统、网络、数据及用户活动的状态和行为。由放置在不同网段的传感器或不同主机的代理来收集信息，包括系统和网络日志文件、网络流量、非正常的目录和文件改变、非正常的程序执行。

• 信息分析：收集到的有关系统、网络、数据及用户活动的状态和行为等信息，被送到检测引擎，检测引擎驻留在传感器中，一般通过 3 种技术手段进行分析：模式匹配、统计分析和完整性分析。当检测到某种误用模式时，会产生一个告警并发送给控制台。

• 结果处理：控制台按照告警产生预先定义的响应采取相应措施，可以是重新配置路由器或防火墙、终止进程、切断连接、改变文件属性，也可以只是简单的告警。