入侵检测系统（IDS）和入侵防御系统（IPS）是两种关键的安全技术，它们在检测和阻止网络、系统及应用程序中的恶意活动方面发挥着至关重要的作用。鉴于网络安全已成为各类型企业面临的首要挑战，使用这些系统显得尤为必要。
随着威胁的不断演变，企业必须应对那些难以发现和预防的新型、未知威胁。IDS 和 IPS 解决方案正是在这种背景下应运而生。
尽管有些人可能会将这两种技术视为竞争对手，但最佳实践往往是将它们协同使用，在网络中形成互补，以达到更好的安全防护效果。 本文将深入探讨 IDS 和 IPS 的定义、它们各自的功能，以及市场上一些优秀的解决方案。
什么是入侵检测系统（IDS）？
入侵检测系统（IDS）是一种软件应用程序或设备，旨在监控组织的计算机网络、应用程序或系统，以发现违反安全策略和可疑活动。 通过使用 IDS，可以将当前的网络活动与已知的威胁数据库进行比对，从而检测出异常、威胁或违规行为。一旦检测到威胁，IDS 系统会立即向管理员发出警报，以便及时采取补救措施。
IDS 系统主要分为两种类型：
- 网络入侵检测系统 (NIDS)：NIDS 监控进出设备的网络流量，将其与已知的攻击模式进行对比，并标记任何可疑活动。
- 基于主机的入侵检测系统 (HIDS)：HIDS 监控各个设备（主机）上的关键文件，包括传入和传出的数据包。它将当前的系统状态与之前的快照进行比较，以检查是否有任何删除或修改。
此外，IDS 还可以基于协议、应用程序协议，或是根据用户的特定需求，结合多种方法的混合型 IDS。
IDS 的工作原理
IDS 系统采用了多种入侵检测机制：
- 基于签名的入侵检测：这种方法通过检查特定的行为或模式（如恶意的签名、字节序列等）来识别攻击。它在应对已知的网络威胁时非常有效，但对于那些系统尚未记录模式的新型攻击，可能效果不佳。
- 基于信誉的检测：IDS 可以根据网络流量的信誉评分来检测网络攻击。评分良好的流量会被允许通过，而评分不佳的流量则会触发系统通知。
- 基于异常的检测：通过监控网络活动，IDS 可以识别计算机和网络中存在的入侵和违规行为，从而对可疑情况进行分类。这种方法可以检测已知和未知的攻击，并利用机器学习来建立可信赖的活动模型，然后将新的行为与之进行比较。
什么是入侵防御系统（IPS）？
入侵防御系统（IPS），也称为入侵检测和防御系统 (IDPS)，是一种网络安全软件应用程序或设备，它不仅能够识别恶意活动和威胁，还能主动阻止它们。IPS 系统能够监控网络或系统活动、记录数据、报告威胁，并在问题发生时加以阻止。这些系统通常部署在组织的防火墙之后，用于检测网络安全策略问题，记录当前的威胁，并确保没有人违反组织的安全策略。
在预防方面，IPS 可以修改安全环境，例如更改威胁内容、重新配置防火墙等。 IPS 系统主要分为四种类型：
- 基于网络的入侵防御系统 (NIPS)：NIPS 分析网络中的数据包，以发现漏洞并通过收集有关应用程序、允许的主机、操作系统、正常流量等方面的数据来防止它们。
- 基于主机的入侵防御系统 (HIPS)：HIPS 通过分析主机活动来检测和阻止恶意活动，从而帮助保护敏感的计算机系统。
- 网络行为分析 (NBA)：NBA 依赖于基于异常的入侵检测，并检查与正常或通常行为的偏差。
- 无线入侵防御系统 (WIPS)：WIPS 监控无线电频谱，以检查未经授权的访问并采取措施应对。 它可以检测和预防诸如受损接入点、MAC 欺骗、拒绝服务攻击、接入点配置错误、蜜罐等威胁。
IPS 的工作原理
IPS 设备使用一种或多种检测方法，对网络流量进行彻底扫描，例如：
- 基于签名的检测：IPS 监控网络流量，检查是否存在与预定义的攻击模式（签名）匹配的活动。
- 状态协议分析检测：IPS 通过将当前事件与预定义的接受活动进行比较来识别协议状态中的异常。
- 基于异常的检测：基于异常的 IPS 通过将数据包与正常行为进行比较来监控数据包。它可以识别新的威胁，但也可能产生误报。
一旦检测到异常，IPS 设备会对网络中传输的每个数据包进行实时检查。如果发现任何可疑数据包，IPS 可以阻止可疑用户或 IP 地址访问网络或应用程序，终止其 TCP 会话，重新配置或重新编程防火墙，或者替换或删除攻击后仍然存在的恶意内容。
IDS 和 IPS 如何提供帮助？
理解网络入侵的含义，可以让你更清晰地认识到这些技术如何发挥作用。
那么，什么是网络入侵？
网络入侵指的是网络上未经授权的活动或事件，例如，有人试图访问组织的计算机网络以破坏安全、窃取信息或运行恶意代码。
端点和网络都容易受到来自各个方面的威胁。此外，未打补丁或过时的硬件和软件，以及数据存储设备可能存在漏洞。
在敏感数据暴露、安全性和合规性、客户信任、声誉和经济损失方面，网络入侵可能对组织造成毁灭性的影响。
因此，在适当的时机检测网络入侵并防止事故发生至关重要。这需要了解不同的安全威胁、它们的影响以及网络活动。IDS 和 IPS 正是在这里发挥作用，帮助检测漏洞并修复它们以防止攻击。
让我们进一步了解使用 IDS 和 IPS 系统的好处：
提高安全性
IPS 和 IDS 系统通过帮助你尽早检测安全漏洞和攻击，并阻止它们渗透到你的系统、设备和网络，从而帮助改善组织的安全状况。
因此，你可以减少安全事件的发生，保护重要数据，并保护你的资源免受损害。这有助于维护客户信任和商业声誉。
自动化
使用 IDS 和 IPS 解决方案有助于自动化安全任务。你不再需要手动设置和监控所有内容；这些系统将帮助自动化这些任务，从而腾出时间发展你的业务。这不仅减少了工作量，还节省了成本。
合规性
IDS 和 IPS 可以帮助你保护客户和业务数据，并在审计期间提供帮助。它使你能够遵守合规规则并防止处罚。
策略执行
使用 IDS 和 IPS 系统是在整个组织内（甚至在网络级别）实施安全策略的有效方法。它可以帮助防止违规行为，并检查组织内外的每一个活动。
提高生产力
通过自动化任务和节省时间，你的员工在工作中将会更有生产力和效率。它还将防止团队中的摩擦，以及不必要的疏忽和人为错误。
因此，如果你想充分发挥 IDS 和 IPS 的潜力，你可以同时使用这两种技术。使用 IDS，你可以了解流量如何在网络中移动并检测问题，同时利用 IPS 来预防风险。这将帮助保护你的服务器、网络和资产，为你的组织提供全方位的安全保护。
如果你正在寻找优质的 IDS 和 IPS 解决方案，以下是一些值得推荐的选择：
Zeek
Zeek 提供了一个强大的框架，具备更佳的网络洞察力和安全监控功能。它提供深入的协议分析，可以在应用层进行更高级别的语义分析。Zeek 是一种灵活且可适应的框架，其特定的领域语言可以让你根据站点的监控策略进行定制。
你可以在任何站点使用 Zeek，从小规模到大规模，并可以使用任何脚本语言。它针对高性能网络，并在不同站点间高效工作。此外，Zeek 还提供顶级的网络活动记录，并具有高度的状态感。
Zeek 的工作流程非常简单。它可以部署在软件、硬件、云或虚拟平台上，并可以不显眼地观察网络流量。此外，它还能解释其观点，并创建高度安全和紧凑的事务日志、完全自定义的输出和文件内容，非常适合在 SIEM (安全信息和事件管理) 系统等用户友好工具中进行手动审查。
Zeek 被全球主要的公司、科学机构和教育机构广泛使用，以保护网络基础设施。你可以免费使用 Zeek，并且可以根据需要提出功能请求。
Snort
使用强大的开源检测软件 Snort 来保护你的网络。最新的 Snort 3.0 提供了改进和新功能。这个 IPS 使用一套规则来定义网络中的恶意活动，并查找数据包以为用户生成警报。
你可以通过在你的个人或企业设备上下载 IPS 来内联部署 Snort 以阻止数据包。Snort 将其规则发布在“社区规则集”中，以及思科 Talos 批准的“Snort 订阅者规则集”中。
另一个规则集由 Snort 社区开发，可供所有用户免费使用。 你还可以按照从为你的操作系统找到合适的软件包到安装指南的步骤来了解更多关于如何保护你的网络的信息。
ManageEngine EventLog Analyzer
ManageEngine EventLog Analyzer 使你能够轻松地进行审计、IT 合规性管理和日志管理。你将获得 750 多种资源，用于使用日志导入、基于代理的日志收集和无代理日志收集来管理、收集、关联、分析和搜索日志数据。
它可以自动分析人类可读的日志格式，并提取字段以标记不同的区域，从而分析第三方和不支持的应用程序文件格式。其内置的 Syslog 服务器会自动更改并从你的网络设备收集 Syslog，以全面了解安全事件。此外，你还可以审计来自外围设备（例如防火墙、IDS、IPS、交换机和路由器）的日志数据，并保护你的网络外围。
你将能够全面了解规则更改、防火墙安全策略、管理员用户登录、关键设备上的注销、用户帐户更改等信息。你还可以发现来自恶意来源的流量，并使用预定义的工作流程立即阻止它。此外，通过应用程序日志审计，你可以检测数据盗窃、监控关键更改、跟踪停机时间并识别业务应用程序（如 Web 服务器数据库）中的攻击。
此外，它还可以保护你组织的敏感数据免受未经授权的访问、安全威胁、破坏和修改。你可以使用 EventLog Analyzer 的文件完整性监控工具，轻松跟踪对包含敏感数据的文件夹或文件的任何更改。此外，它还可以快速检测关键事件以确保数据完整性，并深入分析文件访问、数据值更改以及对 Linux 和 Windows 文件服务器的权限更改。
通过将数据与各种日志源关联，你将收到有关安全威胁的警报，例如数据盗窃、暴力攻击、可疑软件安装和 SQL 注入攻击。EventLog Analyzer 提供高速日志处理、综合日志管理、实时安全审计、即时威胁缓解和合规管理。
Security Onion
Security Onion 是一个开放且可访问的 Linux 发行版，用于企业安全监控、日志管理和威胁追踪。它提供了一个简单的设置向导，可以在几分钟内构建分布式传感器的强大功能。它包括 Kibana、Elasticsearch、Zeek、Wazuh、CyberChef、Stenographer、Logstash、Suricata、NetworkMiner 和其他工具。
无论是一个单独的网络设备还是数千个节点，Security Onion 都能满足所有需求。该平台及其开源和免费工具由网络安全社区编写。你可以访问 Security Onion 的界面来管理和查看警报。它还有一个搜索界面，可以方便快捷地调查事件。
Security Onion 从网络事件中捕获数据包，以便使用你喜欢的外部工具进行分析。此外，它还为你提供了一个案例管理界面，可以更快地响应并处理你的设置和硬件，以便你可以专注于搜索。
Suricata
Suricata 是独立的开源安全威胁检测引擎。它将入侵检测、入侵防御、网络安全监控和 PCAP 处理结合在一起，可以快速识别和阻止最复杂的攻击。
Suricata 优先考虑可用性、效率和安全性，以保护你的组织和网络免受新出现的威胁。它是一个强大的网络安全引擎，支持完整的 PCAP 捕获以便于分析。它可以在检查期间轻松检测流量中的异常，并使用 VRT 规则集和 Emerging Threats Suricata 规则集。你还可以将 Suricata 无缝嵌入你的网络或其他解决方案中。
Suricata 可以在单个实例中处理数千兆位的流量，并且它构建在一个现代、多线程、高度可扩展和干净的代码库中。你将通过 AF_PACKET 和 PF_RING 获得多家供应商对硬件加速的支持。
此外，它会自动检测任何端口上的 HTTP 等协议，并应用适当的日志记录和检测逻辑。因此，查找 CnC 渠道和恶意软件会很容易。它还为高级功能和分析提供 Lua 脚本，以检测规则集语法无法检测到的威胁。
你可以下载支持 Mac、UNIX、Windows Linux 和 FreeBSD 的最新版本的 Suricata。
FireEye
FireEye 提供卓越的威胁检测，并作为安全解决方案提供商获得了良好的声誉。它提供内置的动态威胁情报和入侵防御系统 (IPS)。它将代码分析、机器学习、仿真和启发式方法结合在一个解决方案中，并与一流的情报结合，提高了检测效率。
你将实时收到有价值的警报，以节省资源和时间。你可以从各种部署方案中进行选择，例如本地、内联和带外、私有、公共、混合云和虚拟产品。FireEye 可以检测到其他人可能会错过的威胁，例如零日漏洞。
FireEye XDR 通过查看高级和关键内容来简化调查、事件响应和威胁检测。它通过按需检测、SmartVision 和文件保护帮助保护你的网络基础设施。它还提供内容和文件分析功能，以便在必要时识别不需要的行为。
该解决方案可以通过网络取证和恶意软件分析即时响应事件。它提供无签名威胁检测、基于签名的 IPS 检测、实时、追溯、风险软件、多向量关联和实时内联阻止选项等功能。
Zscaler
通过 Zscaler Cloud IPS 保护你的网络免受威胁，并恢复你的可见性。借助 Cloud IPS，你可以将 IPS 威胁防护扩展到标准 IPS 无法触及的地方。它监视所有用户，无论位置或连接类型如何。
你可以获得组织所需的可视性和始终在线的威胁防护。它与沙盒、DLP、CASB 和防火墙等一系列技术协同工作，可以阻止各种攻击。你将获得全面的保护，免受不必要的威胁、僵尸网络和零日攻击。
你可以根据需要扩展检查能力，包括检查所有 SSL 流量并从其隐藏位置发现威胁。Zscaler 提供了许多好处，例如：
- 无限容量
- 更智能的威胁情报
- 更简单、更具成本效益的解决方案
- 上下文感知的完整集成
- 透明更新
你可以集中在一个地方接收所有警报和威胁数据。其库允许 SOC 人员和管理员深入挖掘 IPS 警报，以了解安装中的潜在威胁。
Google Cloud IDS
Google Cloud IDS 提供网络威胁检测以及网络安全。它检测基于网络的威胁，包括间谍软件、命令和控制攻击以及恶意软件。你将获得 360 度的流量可见性，以监控 VPC 间和内部的通信。
它提供了一种具有简单部署和高性能的托管和云原生安全解决方案。你还可以生成威胁关联和调查数据，检测规避技术，并利用应用程序和网络层的尝试，例如远程代码执行、混淆、碎片和缓冲区溢出。
要识别最新威胁，你可以利用持续更新、内置攻击目录以及来自分析引擎的大量攻击特征。Google Cloud IDS 会根据你的业务需求自动扩展，并提供关于部署和配置 Cloud IDS 的指导。
你将获得云原生托管解决方案、行业领先的安全广度、合规性、应用程序伪装检测，并提供高性能。如果你已经是 GCP 用户，那就更好了。
结论
使用 IDS 和 IPS 系统将通过自动执行安全任务，帮助提高组织的安全级别、合规性以及员工生产力。因此，请根据你的业务需求从上述列表中选择最佳的 IDS 和 IPS 解决方案。
你现在可以进一步了解 IDS 与 IPS 的对比。