IDS：详解入侵检测系统

入侵检测系统定义

入侵检测系统（Intrusion-detectionsystem，下称“IDS”）是一种监控网络流量并搜索已知威胁和可疑或恶意活动的应用程序。IDS在检测到任何安全风险和威胁时会向IT和安全团队发送警报。

大多数IDS解决方案在检测到异常时只是监控和报告可疑活动和流量。但是，有些可以在检测到异常活动（例如阻止恶意或可疑流量）时采取措施，从而更进一步。

IDS工具通常是在组织的硬件上运行或作为网络安全解决方案运行的软件应用程序。还有基于云的IDS解决方案，可保护组织在其云部署和环境中的数据，资源和系统。

什么是网络安全入侵？

“什么是入侵”的答案通常是攻击者未经授权访问设备、网络或系统。网络犯罪分子使用越来越复杂的技术和策略渗透到组织而不被发现。这包括常见的技术，例如：

1. 地址欺骗：使用欺骗、配置错误且安全性较差的代理服务器隐藏攻击源，这使得组织难以发现攻击者。
2. 分段：分段数据包使攻击者能够绕过组织的检测系统。
3. 模式规避：黑客调整其攻击架构，以避免IDS解决方案用于发现威胁的模式。
4. 协调攻击：网络扫描威胁将大量主机或端口分配给不同的攻击者，使IDS难以确定正在发生的事情。

入侵检测系统（IDS）类型

IDS解决方案有一系列不同的类型和不同的功能。常见的入侵检测系统（IDS）类型包括：

1. 网络入侵检测系统（NIDS）：NIDS解决方案部署在组织网络内的战略点，以监控传入和传出流量。此IDS方法监视和检测进出连接到网络的所有设备的恶意和可疑流量。
2. 主机入侵检测系统（HIDS）：HIDS系统安装在连接到Internet和组织内部网络的单个设备上。此解决方案可以检测来自企业内部的数据包以及NIDS解决方案无法检测的其他恶意流量。它还可以发现来自主机的恶意威胁，例如主机感染了恶意软件，试图将其传播到组织的系统中。
3. 基于特征码的入侵检测系统（SIDS）：SIDS解决方案监控组织网络上的所有数据包，并将其与已知威胁数据库上的攻击特征进行比较。
4. 基于异常的入侵检测系统（AIDS）：此解决方案监视网络上的流量，并将其与被视为“正常”的预定义基线进行比较。它可以检测网络中的异常活动和行为，包括带宽、设备、端口和协议。艾滋病解决方案使用机器学习技术来构建正常行为的基线并建立相应的安全策略。这可确保企业能够发现SIDS等解决方案无法发现的不断演变的新威胁。
5. 周界入侵检测系统（PIDS）：将PIDS解决方案放置在网络上，以检测在组织关键基础设施周边发生的入侵尝试。
6. 基于虚拟机的入侵检测系统（VMIDS）：VMIDS解决方案通过监视虚拟机来检测入侵。它使组织能够监视其设备连接到的所有设备和系统的流量。
7. 基于堆栈的入侵检测系统（SBIDS）：SBIDS被集成到组织的传输控制协议/互联网协议（TCP/IP）中，该协议用作专用网络上的通信协议。此方法使IDS能够在数据包通过组织网络时监视数据包，并在应用程序或操作系统处理它们之前拉取恶意数据包。

入侵检测系统（IDS）有什么用？

IDS解决方案在监控网络流量和检测异常活动方面表现出色。它们被放置在网络中的战略位置或设备本身上，以分析网络流量并识别潜在攻击的迹象。
IDS的工作原理是查找已知攻击类型的特征或检测偏离规定正常值的活动。然后，它会向管理员发出警报或报告这些异常和潜在的恶意操作，以便在应用程序和协议层对其进行检查。
这使组织能够检测攻击者开始或正在执行攻击的潜在迹象。IDS解决方案通过多种功能来实现这一点，包括：

1. 监控关键防火墙、文件、路由器和服务器的性能，以检测、预防和从网络攻击中恢复
2. 使系统管理员能够组织和了解其相关的操作系统审核跟踪和日志，这些跟踪和日志通常难以管理和跟踪
3. 提供易于使用的界面，允许非安全专家的员工帮助管理组织的系统
4. 提供广泛的攻击特征数据库，可用于匹配和检测已知威胁
5. 在发生异常或恶意活动时提供快速有效的报告系统，使威胁能够传递到堆栈中
6. 生成警报，在发生违规时通知必要的人员，例如系统管理员和安全团队
7. 在某些情况下，通过阻止潜在的恶意行为者及其对服务器或网络的访问来应对他们，以防止他们执行任何进一步的操作

业务环境和基础设施的日益互联性质意味着他们需要高度安全的系统和技术来建立可信的通信线路。IDS在现代网络安全战略中发挥着重要作用，可以保护组织免受黑客试图未经授权访问网络和窃取公司数据的侵害。

 

为什么入侵检测系统（IDS）对企业至关重要？

入侵检测系统提供了额外的保护层，使其成为有效网络安全策略的关键要素。您可以将其与其他网络安全工具一起使用，以捕获能够穿透主要防御的威胁。因此，即使您的主系统出现故障，您仍然会收到威胁存在的警报。
例如，医疗保健组织可以部署IDS，向IT团队发出信号，表明一系列威胁已经渗透到其网络中，包括那些设法绕过其防火墙的威胁。通过这种方式，IDS帮助组织遵守数据安全法规。

入侵检测系统（IDS）的优势

IDS解决方案为组织提供了主要好处，主要是围绕识别对其网络和用户构成的潜在安全威胁。部署IDS的一些常见好处包括：

1. 了解风险：IDS工具可帮助企业了解针对他们的攻击数量以及他们面临的风险的类型和复杂程度。
2. 制定安全策略：了解风险对于建立和发展能够抵御现代威胁形势的全面网络安全策略至关重要。IDS还可用于识别组织设备和网络中的错误和潜在缺陷，然后评估和调整其防御措施，以应对未来可能面临的风险。
3. 法规遵从性：组织现在面临着一系列不断发展的日益严格的法规，他们必须遵守这些法规。IDS工具为他们提供了有关其网络中正在发生的事情的可见性，从而简化了满足这些法规的过程。它收集并保存在日志中的信息对于企业记录他们是否满足其合规性要求也至关重要。
4. 更快的响应时间：IDS解决方案发起的即时警报使组织能够比手动监控其网络更快地发现和防止攻击者。IDS使用的传感器还可以检查网络数据包和操作系统中的数据，这也比手动收集此信息更快。

 

入侵检测系统（IDS）挑战

虽然IDS解决方案是监控和检测潜在威胁的重要工具，但它们并非没有挑战。其中包括：

1. 误报：也称为误报，这些使IDS解决方案容易受到识别对组织不是真正风险的潜在威胁。为了避免这种情况，组织必须配置其IDS以了解正常情况，从而了解应被视为恶意活动的内容。
2. 漏报：这是一个更大的问题，因为IDS解决方案将实际的安全威胁误认为是合法流量。攻击者被允许进入组织的网络，而IT和安全团队却忘记了他们的系统已被渗透的事实。

随着威胁形势的发展和攻击者变得越来越复杂，IDS解决方案最好提供误报而不是漏报。换句话说，发现潜在威胁并证明它是错误的比IDS将攻击者误认为合法用户要好。此外，IDS解决方案越来越需要能够快速检测新的威胁和恶意行为的迹象。

IDS与IPS

IDS解决方案通常仅限于监视和检测偏离组织规定的基线正常的已知攻击和活动。IDS解决方案发现的异常被推送到堆栈中，以便在应用程序和协议层进行更仔细的检查。因此，大多数IDS解决方案无法防止或提供他们发现的威胁的解决方案。
入侵防御系统（intrusionpreventionsystem。简称IPS） 通过阻止或防止安全风险来超越这一点。IPS既可以监视恶意事件，也可以采取措施防止攻击发生。

IPS解决方案可帮助企业采取更主动的网络安全方法，并尽快缓解威胁。他们不断监控网络以寻找异常和恶意活动，然后立即记录任何威胁并防止攻击对公司的数据、网络、资源和用户造成损害。IPS还会向系统管理员发送有关威胁的见解，然后系统管理员可以执行操作来关闭防御漏洞并重新配置防火墙以防止未来的攻击。
部署IPS工具使组织能够防止高级威胁，例如拒绝服务（DoS）攻击、网络钓鱼、垃圾邮件和病毒威胁。它们还可以在安全评审练习中使用，以帮助组织发现其代码和策略中的漏洞。
对于组织来说，部署能够支持IDS和IPS的工具或可以同时执行这两种功能的工具以保护其公司数据和用户变得越来越重要。将IDS和IPS集成到一个产品中，可以更无缝地监控、检测和预防威胁。

IDS与防火墙

防火墙和入侵检测系统（IDS）是既可以保护网络又可以保护端点的网络安全工具。然而，它们的目标彼此大相径庭。

1. IDS：入侵检测系统是被动监控工具，可识别可能的威胁并向安全运营中心（SOC）的分析师发送通知。通过这种方式，事件响应者可以及时调查并解决潜在事件。
2. 防火墙：另一方面，防火墙分析网络数据包中包含的元数据，并根据预先建立的规则决定是否允许或禁止流量进出网络。防火墙本质上创建了一个屏障，阻止某些流量通过它。

IDS专注于检测和生成有关威胁的警报，而防火墙则检查入站和出站流量，从而阻止所有未经授权的流量。