Nếu một tổ chức muốn bảo vệ một máy chủ tránh bị người dùng hợp pháp phá hoại, hệ thống phát hiện thâm nhập bất hợp pháp nào là lựa chọn tốt nhất?

Câu hỏi này tập trung vào việc bảo vệ máy chủ khỏi sự phá hoại từ người dùng *hợp pháp*. Điều này có nghĩa là chúng ta cần một hệ thống giám sát hành vi trên chính máy chủ đó, chứ không phải chỉ giám sát lưu lượng mạng bên ngoài. Do đó:

• NIDS (Hệ thống phát hiện xâm nhập mạng): Giám sát lưu lượng mạng để tìm kiếm các hoạt động đáng ngờ. Nó không hiệu quả trong việc phát hiện các hành động phá hoại từ người dùng đã được xác thực trên hệ thống.
• HIDS (Hệ thống phát hiện xâm nhập máy chủ): Giám sát các hoạt động diễn ra trên một máy chủ cụ thể, bao gồm cả việc theo dõi các tệp tin hệ thống, nhật ký, và các tiến trình đang chạy. Đây là lựa chọn tốt nhất vì nó có thể phát hiện các hành động bất thường hoặc phá hoại mà người dùng hợp pháp thực hiện trên máy chủ.
• Lai tạo: Không rõ ràng về ý nghĩa. Nếu nó chỉ sự kết hợp của NIDS và HIDS, thì HIDS vẫn là thành phần quan trọng để phát hiện hành vi từ người dùng hợp pháp.
• Các câu trên đều sai: Câu này không đúng vì HIDS là một lựa chọn phù hợp.

Vậy, đáp án đúng là HIDS.