更新时间：2022-06-26 21:58
IDMEF描述了表示入侵检测系统输出信息的数据模型，并解释了使用此模型的基本原理。
入侵检测消息交换格式(IDMEF)
IDWG(入侵检测工作组)发起制定的入侵检测标准三部分之一.
1．IDMEF的数据模型
IDMEF数据模型以面向对象的形式表示探测器传递给控制台的警报数据，设计数据模型的目标是为警报提供确定的标准表达方式，并描述简单警报和复杂警报之间的关系。
IDMEF数据模型各个主要部分之间的关系如概述图所示。
所有IDMEF消息的最高层类是IDMEF-Message，每一种类型的消息都是该类的子类。IDMEF目前定义了两种类型的消息：Alert（警报）和Heartbeat（心跳），这两种消息又分别包括各自的子类，以表示更详细的消息。
需要注意的是，IDMEF数据模型并没有对警报的分类和鉴别进行说明。例如，对一个端口的扫描，一个分析器可能将其确定为一个多目标的单一攻击，而另一个分析器可能将其确定为来自同一个源的多次攻击。只有一个分析器决定了发送的警报类型，数据模型才能规定怎样对这个警报进行格式化。
IDMEF数据模型是用统一建模语言（UML）描述的。UML用一个简单的框架表示实体以及它们之间的关系，并将实体定义为类。IDMEF包括的主要类有IDMEF-Message类、Alert类、Heartbeat类、Core类、Time类和Support类，这些类还可以再细分为许多子类。
2．使用XML描述IDMEF文档标记
IDWG最早曾提出两个建议实现IDMEF：用SMI（管理信息结构）描述一个SNMP MIB和使用DTD（文档类型定义）描述XML文档。IDWG 在1999年9月和2000年2月分别对这两个建议进行了评估，认为XML最能符合IDMEF的要求，于是，在2000年2月的会议上决定采用XML方案。
XML是SGML（标准通用标记语言）的简化版本，是ISO 8879标准对文本标记说明进行定义的一种语法。作为一种表示和交换网络文档及数据的语言，XML能够有效地解决HTML面临的许多问题，所以获得了业界的普遍青睐。1998年10月，WWW联盟（W3C）将XML作为一项建议公布于众。此后不久，WWW联盟又发布了一份建议，定义了XML文档中的名字空间。
XML是一种元语言——即一个描述其他语言的语言，它允许应用程序定义自己的标记，还可以为不同类型的文档和应用程序定义定制化的标记语言。
XML DTD（文档类型定义）可用来声明文档所用的标记，它包括元素（文档包括的不同信息部分）、属性（信息的特征）和内容模型（各部分信息之间的关系）。