随着科技的飞速发展，网络安全问题日益凸显，其复杂程度也随之加剧。
虽然我们无法阻止网络犯罪分子变得更加狡猾，但我们可以借助诸如入侵检测系统（IDS）和入侵防御系统（IPS）等安全机制来缩小攻击面，甚至彻底阻止攻击。 这就引出了我们今天探讨的核心问题：IDS与IPS之间的选择，哪种方案对网络更为有利？
若想解答这个问题，我们需要深入了解这些技术的本质，它们的工作原理以及各自的类型。 这将有助于您为自己的网络做出更明智的选择。
需要指出的是，IDS和IPS都是安全有效的工具，它们各自具有优势和不足。然而，在安全问题上，任何冒险行为都是不可取的。
因此，本文将对IDS与IPS进行详细的比较，旨在帮助您了解它们的功能，并找到更有效的解决方案来保护您的网络。
现在，让我们开始这场“战斗”吧！
IDS与IPS：它们是什么？
在正式比较IDS和IPS之前，我们先从IDS入手，了解一下它的基本概念。
什么是IDS？
入侵检测系统（IDS）是一种软件解决方案，旨在监控系统或网络中是否存在入侵、策略违规或恶意活动。当检测到此类事件时，软件会立即向管理员或安全人员发出警报。 这有助于他们调查报告的事件并采取适当的补救措施。
这种被动监控解决方案会在检测到威胁时提醒您，但它本身并不会对威胁采取直接行动。它类似于安装在建筑物中的安全警报系统，可以通知保安人员即将发生的危险。
IDS系统的设计目标是在威胁渗透到网络之前将其检测出来。它让您在不影响网络流量的前提下，全面了解网络状况。除了检测策略违规外，它还可以防御信息泄露、未经授权的访问、配置错误、木马病毒等威胁。
如果您不希望干扰或降低网络流量速度，同时又希望保护网络资产免受潜在威胁，那么IDS将是您的理想选择。
什么是IPS？
入侵防御系统（IPS），也被称为入侵检测和防御系统（IDPS），是一种软件解决方案，用于监控系统或网络活动中是否存在恶意事件，记录这些活动的信息，将其报告给管理员或安全人员，并尝试阻止或防止它们发生。
它是一种主动监控和防御系统，可以看作是IDS的延伸。两者都具备监控恶意活动的能力，但与IDS不同的是，IPS软件通常部署在网络防火墙之后，可以与传入流量进行交互，并阻止或防止检测到的入侵。我们可以将其视为网络的“安全卫士”。
当检测到威胁时，IPS可以采取多种行动，例如发送警报、丢弃已识别的恶意数据包、阻止恶意IP地址访问网络以及重置连接。此外，它还可以纠正与循环冗余校验（CRC）相关的错误，对数据包流进行碎片整理，清理额外的网络层和传输选项，并减少与TCP排序相关的错误。
如果您的目标是在系统检测到攻击时立即阻止攻击，那么IPS将是您的首选，即使为了确保安全，您可能需要暂时关闭所有流量，包括合法流量。它的主要目标是减少网络中外部和内部威胁造成的损害。
IDS与IPS：类型
入侵检测系统的类型
IDS可以根据威胁检测发生的位置或采用的检测方法进行分类。基于检测位置（即网络或主机）的IDS类型主要有：
#1. 网络入侵检测系统（NIDS）
NIDS是网络基础设施的重要组成部分，它会监控流经网络的数据包。它通常与交换机等具有抽头、跨度或镜像功能的设备协同工作。NIDS被部署在网络中的关键位置，以监控所有连接设备的传入和传出流量。
它会分析整个子网中的流量，并将这些流量与已知的攻击数据库进行比对。一旦NIDS识别出攻击或感知到异常行为，它会立即向网络管理员发出警报。
您可以在子网的防火墙后面安装NIDS，并监控是否有人试图突破防火墙。NIDS还可以将相似数据包的签名与匹配记录进行比较，从而关联检测到的恶意数据包并阻止它们。
NIDS主要有两种类型：
- 在线NIDS：实时处理网络流量。它会分析以太网数据包，并应用特定的规则来判断是否存在攻击。
- 离线NIDS：处理收集到的数据。它会通过一系列流程来分析数据，并最终得出结论。
此外，您还可以将NIDS与其他安全技术相结合，以提高预测和检测率。例如，基于人工神经网络（ANN）的NIDS可以智能地分析海量数据，因为它具有自组织结构，可以更有效地识别攻击模式。它可以根据以往的入侵事件来预测攻击，并帮助您建立早期的预警系统。
#2. 基于主机的入侵检测系统（HIDS）
基于主机的入侵检测系统（HIDS）是一种在网络上的单独设备或主机上运行的解决方案。它只能监控来自连接设备的传入和传出数据包，并在检测到可疑活动时提醒管理员或用户。它会监控系统调用、文件更改、应用程序日志等。
HIDS会定期对系统中的文件进行快照，并将它们与之前的文件进行比对。如果发现关键文件被删除或修改，HIDS会向管理员发送警报，以便进行调查。
例如，HIDS可以分析密码登录，并将其与已知的暴力攻击模式进行比较，从而识别潜在的漏洞。
这些IDS解决方案广泛应用于配置不会轻易更改的关键任务机器。由于它直接在主机或设备上监控事件，HIDS解决方案可以检测到NIDS解决方案可能遗漏的威胁。
它还可以有效地识别和防止完整性破坏（例如木马病毒），并且可以在加密的网络流量中正常工作。通过这种方式，HIDS可以保护敏感数据，如法律文件、知识产权和个人信息。
除了上述类型外，IDS还有其他类型，包括：
- 周界入侵检测系统（PIDS）：作为第一道防线，它可以检测和定位对中央服务器的入侵尝试。这种设置通常包括位于服务器虚拟围栏上的光纤或电子设备。当检测到恶意活动时，如有人试图通过其他方式尝试访问，它会向管理员发出警报。
- 基于VM的入侵检测系统（VMIDS）：这些解决方案可以结合上述IDS或其中之一。不同的是，它是使用虚拟机远程部署的。它相对较新，主要由托管IT服务提供商使用。
IPS的类型
通常，入侵防御系统（IPS）有四种类型：
#1. 基于网络的入侵防御系统（NIPS）
NIPS可以通过分析数据包或检查整个网络的协议活动来识别和防止可疑或恶意活动。它可以从网络和主机收集数据，以检测网络上允许的主机、操作系统和应用程序。此外，NIPS会记录有关正常流量的数据，以便从头开始发现变化。
此IPS解决方案可以通过限制带宽利用率、发送TCP连接或拒绝数据包来减轻攻击。但是，NIPS在分析加密流量和处理直接攻击或高流量负载方面效果不佳。
#2. 无线入侵防御系统（WIPS）
WIPS可以监控无线网络，通过分析无线网络协议并采取措施阻止或删除它们来检测可疑流量或活动。 WIPS的部署通常会覆盖当前的无线局域网基础设施。当然，您也可以单独部署它们，并在您的组织中实施无无线策略。
此IPS解决方案可以防止诸如错误配置的接入点、拒绝服务（DOS）攻击、蜜罐、MAC欺骗、中间人攻击等威胁。
#3. 网络行为分析（NBA）
NBA主要基于异常检测，在网络或系统中寻找偏离正常行为的异常或可疑活动。因此，要使其有效运作，NBA必须经过一段训练期，以便了解网络或系统的正常行为。
一旦NBA系统了解了正常行为，它就可以检测到偏差并将其标记为可疑。它虽然很有效，但在训练阶段无法工作。但是，一旦完成训练，您就可以完全依赖它。
#4. 基于主机的入侵防御系统（HIPS）
HIPS解决方案可以监控关键系统的恶意活动，并通过分析其代码行为来阻止它们。它们最大的优点在于，除了从主机系统保护与个人身份和健康相关的敏感数据外，它们还可以检测加密攻击。它在单个设备上工作，通常与基于网络的IDS或IPS一起使用。
IDS与IPS：它们如何工作？
IDS和IPS使用不同的方法来监控和防止入侵。
IDS是如何工作的？
IDS使用三种检测方法来监控恶意活动流量：
#1. 基于签名或基于知识的检测
基于签名的检测会监控特定的模式，例如恶意软件使用的网络攻击签名或网络流量中的字节序列。在识别威胁方面，它的工作方式与防病毒软件类似。
在基于签名的检测中，IDS可以轻松识别已知威胁。但是，对于没有可用模式的新攻击，它可能效果不佳，因为这种方法仅基于以前的攻击模式或签名工作。
#2. 基于异常或基于行为的检测
在基于异常的检测中，IDS通过监控系统日志并判断是否有任何活动看起来异常或偏离为设备或网络指定的正常行为，从而监控网络或系统中的违规和入侵。
这种方法也可以检测未知的网络攻击。 IDS还可以使用机器学习技术来构建可信活动模型，并将其作为正常行为模型的基准，从而比较新的活动并声明结果。
您可以根据特定的硬件配置、应用程序和系统需求来训练这些模型。因此，具有行为检测功能的IDS比基于签名的IDS具有更高的安全属性。虽然它有时可能会出现一些误报，但它在其他方面的工作效率很高。
#3. 基于信誉的检测
IDS使用基于信誉的检测方法，根据信誉级别来识别威胁。它是通过识别您网络内的友好主机与试图访问您网络的主机之间的通信来完成的，该主机基于其违规或恶意行为的声誉。
它收集并跟踪不同的文件属性，如来源、签名、年龄和使用文件的用户的使用统计信息。接下来，它可以使用具有统计分析和算法的信誉引擎来分析数据并确定它是否具有威胁性。
基于信誉的IDS主要用于反恶意软件或防病毒软件，并应用于批处理文件、可执行文件和其他可能携带不安全代码的文件上。
IPS是如何工作的？
与IDS类似，IPS除了其他方法外，也可以使用基于签名和基于异常的检测等方法。
#1. 基于签名的检测
使用基于签名的检测的IPS解决方案会监控网络中传入和传出的数据包，并将它们与以前的攻击模式或签名进行比较。它适用于带有恶意代码威胁的已知模式库。当发现漏洞时，它会记录并存储其签名，以便进一步检测。
基于签名的IPS有两种类型：
- 面向漏洞利用的签名：IPS通过将签名与网络中的威胁签名进行匹配来识别入侵。当找到匹配项时，它会尝试阻止它。
- 面向漏洞的签名：黑客以您网络或系统中存在的漏洞为目标，而IPS会尝试保护您的网络免受这些可能未被发现的威胁。
#2. 基于统计异常或基于行为的检测
IPS使用基于统计异常的检测可以监控您的网络流量，以发现不一致或异常。它设置一个基线来定义网络或系统的正常行为。基于此，IPS将比较网络流量，并标记偏离正常行为的可疑活动。
例如，基线可以是指定的带宽或用于网络的协议。如果IPS发现流量突然增加带宽或检测到不同的协议，它会触发警报并阻止流量。
但是，您必须注意智能地配置基线，以避免误报。
#3. 状态协议分析
IPS使用状态协议分析来检测协议状态的偏差，类似于基于异常的检测。它根据行业领导者和供应商设定的公认惯例来使用预定义的通用配置文件。
例如，IPS可以监控具有相应响应的请求，并且每个请求必须包含可预测的响应。它标记出超出预期结果的响应并进一步分析它们。
当IPS解决方案监控您的系统和网络并发现可疑活动时，它会发出警报并执行一些操作以防止它访问您的网络。方法如下：
- 加强防火墙：IPS可能会检测到防火墙中的漏洞，该漏洞为威胁进入您的网络铺平了道路。为了提供安全性，IPS可能会更改其程序并在解决问题时加强它。
- 执行系统清理：恶意内容或损坏的文件可能会损坏您的系统。这就是它执行系统扫描以清理它并消除潜在问题的原因。
- 关闭会话：IPS可以通过找到其入口点并阻止它来检测异常是如何发生的。为此，它可能会阻止IP地址、终止TCP会话等。
IDS与IPS：异同
IDS和IPS之间的相似之处
IDS和IPS的早期流程是相似的。它们都检测和监控系统或网络的恶意活动。让我们看看它们的共同点：
- 监控：一旦安装，IDS和IPS解决方案就会根据指定的参数监控网络或系统。您可以根据自己的安全需求和网络基础设施设置这些参数，并让它们检查所有传入和传出网络的流量。
- 威胁检测：它们都会读取网络中流动的所有数据包，并将这些数据包与包含已知威胁的数据库进行比较。当它们找到匹配项时，它们会将该数据包标记为恶意数据包。
- 学习：这两种技术都使用机器学习等现代技术来训练自己一段时间，并了解新出现的威胁和攻击模式。这样，它们就可以更好地应对现代威胁。
- 日志：当它们检测到可疑活动时，它们会将其与响应一起记录下来。它可以帮助您了解保护机制，查找系统中的漏洞，并相应地培训您的安全系统。
- 警报：一旦检测到威胁，IDS和IPS都会向安全人员发送警报。这有助于他们为各种情况做好准备，并迅速采取行动。
在此之前，IDS和IPS的工作方式相似，但区分它们之后会发生什么呢？
IDS和IPS之间的区别
IDS和IPS之间的主要区别在于，IDS用作监控和检测系统，而IPS用作除监控和检测之外的预防系统。一些关键区别如下：
- 响应：IDS解决方案是被动安全系统，仅监控和检测网络中的恶意活动。它们可以提醒您，但不会自行采取任何行动来阻止攻击。指定的网络管理员或安全人员必须立即采取行动来减轻攻击。另一方面，IPS解决方案是主动安全系统，可以监控和检测网络中的恶意活动、发出警报并自动防止攻击发生。
- 定位：IDS通常部署在网络的边缘，以收集所有事件并记录和检测违规行为。这种定位方式使IDS可以最大程度地观察数据包。而IPS软件则位于网络防火墙之后，与传入流量进行交互，以便更好地防止入侵。
- 检测机制：IDS对恶意活动使用基于签名的检测、基于异常的检测和基于信誉的检测。其基于签名的检测仅包括面向漏洞利用的签名。而IPS则使用基于签名的检测以及面向漏洞利用和面向漏洞的签名。此外，IPS还使用基于统计异常的检测和状态协议分析检测。
- 保护：如果您受到威胁，IDS的帮助可能有限，因为您的安全人员需要自行决定如何保护网络并立即清理系统或网络。而IPS则可以自动执行预防措施。
- 误报：如果IDS给出误报，您可能会发现一些不便。但如果IPS这样做，整个网络都会受到影响，因为您需要阻止所有流量——无论是传入还是传出。
- 网络性能：由于IDS不是在线部署的，因此不会降低网络性能。但是，由于IPS需要处理流量，网络性能可能会受到一定影响。
IDS与IPS：为什么它们对网络安全至关重要
您可能会经常听到有关在线业务遭受各种数据泄露和黑客攻击的事件。正因如此，IDS和IPS在保护您的网络和系统方面发挥着至关重要的作用。其重要性体现在以下方面：
增强安全性
IDS和IPS系统使用自动化来监控、检测和预防恶意威胁。它们还可以使用机器学习和人工智能等新兴技术来学习模式并有效修复它们。因此，您的系统可以免受病毒、DOS攻击、恶意软件等威胁，而无需额外资源。
执行策略
您可以根据您的组织需求配置IDS和IPS，并为您的网络强制执行安全策略，确保每个进出网络的数据包都必须遵守这些策略。如果有人试图突破策略并闯入您的网络，它可以帮助您保护您的系统和网络，并快速发现异常行为。
合规性
在当今的安全环境中，数据保护至关重要。这也是为什么HIPAA、GDPR等监管机构会监管公司，并确保他们投资于能够帮助保护客户数据的技术。通过实施IDS和IPS解决方案，您将遵守这些法规，避免法律问题。
维护声誉
实施IDS和IPS等安全技术表明您重视保护客户的数据。它可以让您的品牌给客户留下良好印象，并提升您在行业内外的声誉。此外，您还可以避免可能泄露敏感业务信息或导致声誉受损的威胁。
IDS和IPS可以协同工作吗？
答案是肯定的！
您可以在网络中同时部署IDS和IPS。部署IDS解决方案来监控和检测流量，并全面了解网络内的流量移动情况。此外，您可以在系统中使用IPS作为主动措施来防止网络中出现安全问题。
这样一来，您还可以完全避免选择IDS或IPS的难题。
此外，实施这两种技术可以为您的网络提供全方位的保护。您可以了解以往的攻击模式，以便设置更好的参数，并让您的安全系统做好更充分的准备来应对威胁。
一些IDS和IPS的供应商包括Okta、Varonis、UpGuard等。
IDS与IPS：您应该选择什么？👈
选择IDS还是IPS完全取决于您的组织的安全需求。在做出选择时，需要考虑您的网络规模、预算以及您需要的保护程度。
如果从一般情况而言，IPS无疑是更好的选择，因为它同时提供预防、监控和检测功能。然而，如果选择信誉良好的供应商提供的IPS，会有所帮助，因为它可能会减少误报。
由于两者各有优劣，因此没有明显的赢家。但是，正如上一节所述，您可以从可靠的供应商那里同时获取这两种解决方案。这将为您的网络提供全面的保护，包括入侵检测和预防。