IDS/IPS

本文约需 2 分钟阅读

IDS/IPS (Intrusion Detection System / Intrusion Prevention System) 是检测并阻断对网络或系统的非法入侵的安全系统。 IDS 检测到非法活动后通知管理员，而 IPS 则更进一步，自动阻断非法通信。它与防火墙相结合，是构建纵深防御的重要要素。截至 2024 年，基于云的 IDS/IPS 正在迅速普及，可作为 AWS 或 Azure 的托管服务使用。

以告警为起点强化防御的流程

即使 IPS 阻断了一次攻击尝试，也只是拦下了一次试探，攻击者会更换来源和手法卷土重来。此时告警中包含的信息就体现出价值。由于可以得知通信来自哪里、针对哪台服务器、与哪种攻击模式匹配，就能将其转化为后续对策：把攻击来源加入IP 阻断列表在入口处拒绝，或针对被瞄准的弱点检视 WAF 等其他防御层的规则。只有将 IDS/IPS 与接收并处置告警的运营机制结合起来，才能把一次性的阻断转化为防御能力的持续改进。

IDS 与 IPS 的比较

IDS 与 IPS 的区别

IDS 与 IPS 常被混淆，但二者的职责有明确区别。 IDS 专注于「检测与通知」，即使发现非法通信也不会阻断，而是向管理员发送告警。而 IPS 则进行「检测与阻断」，实时自动阻断非法通信。 IDS 设置在网络外侧 (镜像端口)，监控通信的副本；而 IPS 设置在网络的通信路径上 (内联)，直接控制通信。由于 IPS 存在因误检而阻断正常通信的风险，因此部署时的调优至关重要。许多组织采用分阶段的方式，先用 IDS 开始监控，待运维稳定后再迁移到 IPS。

检测方式

基于特征码的检测通过与已知攻击模式进行比对来检测，精度高，但无法应对未知攻击。基于异常的检测通过识别偏离正常通信模式的行为来检测，也能检测出零日攻击，但往往误检较多。

与密码安全的关联

IDS/IPS 也被用于检测暴力破解攻击和撞库攻击。通过检测并阻断短时间内的大量登录尝试，可以防止密码的穷举攻击。为每个服务设置独特而强大的密码，并与 IDS/IPS 的防护相结合，可以大幅提升账户的安全性。