第4章：入侵检测系统（IDS）原理
各位同学，今天我们来聊聊IDS。说实话，入侵检测系统这个概念，在安全圈里已经存在二十多年了。但直到今天，它依然是安全运维中最核心的防线之一。我个人习惯把IDS比作「大楼里的监控摄像头」——它不阻止坏人进来，但它能告诉你：有人进来了，他在干什么，他往哪个方向走了。
4.1 IDS的定义
入侵检测系统，英文叫Intrusion Detection System。它的任务很简单：监控网络流量或系统活动，发现恶意行为，然后报警。
你想想看，防火墙是门卫，负责拦人。但门卫总有看走眼的时候，或者坏人伪装成快递员混进来了。这时候就需要IDS——它像大厅里的保安，盯着每个人的一举一动。
核心定义：IDS是一种被动监控的安全设备。它不阻断流量，只做检测和告警。
我在项目中遇到过不少甲方，上来就问：「你们这个IDS能自动封IP吗？」嗯，这里要澄清一下——能自动封IP的那叫IPS（入侵防御系统）。IDS只管看，不管拦。这个区别很重要，后面课程会详细讲。
4.2 IDS的分类
IDS主要分两大类：基于主机的（HIDS）和基于网络的（NIDS）。说白了，一个盯着单台机器，一个盯着整条网线。
4.2.1 基于主机的IDS（HIDS）
HIDS安装在服务器或个人电脑上。它监控什么呢？
- 系统日志（Windows Event Log、Syslog）
- 文件完整性（比如/etc/passwd有没有被改过）
- 进程行为（谁启动了可疑进程）
- 注册表变化（Windows环境下）
我曾经帮一家金融公司排查过安全事件。他们的HIDS报警说某台数据库服务器的/etc/shadow文件被读取了。顺着这个线索，我们发现是运维人员误配了NFS权限。如果没有HIDS，这种「静默读取」根本发现不了。
实战建议：HIDS适合保护关键服务器，比如域控、数据库、核心应用服务器。普通办公机装HIDS性价比不高，日志量太大，容易把分析平台撑爆。
4.2.2 基于网络的IDS（NIDS）
NIDS部署在网络的关键节点上。它通过抓包分析，检测网络流量中的恶意行为。
它能看到什么？
- 端口扫描（比如有人对着你的网段扫22端口）
- 漏洞利用流量（比如SQL注入的HTTP请求）
- 恶意软件通信（比如C2心跳包）
- 协议异常（比如畸形包）
我记得有一次，客户的NIDS报警说检测到大量ICMP流量。一看，是某台服务器在对外ping一个陌生IP。频率很规律，每5秒一次。这就是典型的C2心跳特征。后来确认，那台机器确实被植入了挖矿木马。
注意：NIDS有个硬伤——它处理不了加密流量。现在HTTPS普及了，很多攻击流量都藏在TLS隧道里。NIDS只能看到「谁和谁在通信」，看不到「通信内容是什么」。这也是为什么现在越来越多人开始用加密流量分析（ETA）技术。
4.3 检测方法
IDS怎么判断一个行为是恶意的？主要有两种方法：签名检测和异常检测。
4.3.1 签名检测（Signature-based）
签名检测，说白了就是「比指纹」。安全厂商把已知的攻击行为提取成特征码，IDS拿流量或日志去比对。匹配上了，就报警。
举个例子，一个经典的SQL注入攻击签名可能是这样的：
alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS
(msg:"SQL Injection - 'OR 1=1' attempt";
content:"'OR 1=1"; nocase;
sid:1000001; rev:1;)这是Snort的规则写法。它检测HTTP请求里是否包含「'OR 1=1」这个字符串。如果匹配，就触发告警。
签名检测的优点很明显：准确率高，误报少。缺点也很致命：只能检测已知攻击。零日漏洞？变种攻击？签名没更新，它就瞎了。
关键点：签名库需要持续更新。我建议至少每天同步一次规则库。有些企业一个月才更新一次，那基本等于裸奔。
4.3.2 异常检测（Anomaly-based）
异常检测的思路不一样。它先学习「什么是正常的」，然后发现偏离正常的行为就报警。
比如，一台Web服务器平时每秒处理100个请求。突然有一天，它每秒处理10000个请求。这就不正常。可能是CC攻击，也可能是爬虫在扫数据。
异常检测的优点：能发现未知攻击。缺点：误报率高得吓人。
我曾经部署过一个基于机器学习的异常检测系统。上线第一天，它报警说「某台服务器流量异常」。我查了半天，发现是那台服务器在跑Windows更新……嗯，从那以后，我对异常检测的调优就格外谨慎了。
| 对比项 | 签名检测 | 异常检测 |
|---|---|---|
| 检测能力 | 已知攻击 | 已知+未知攻击 |
| 误报率 | 低 | 高 |
| 漏报率 | 高（对变种攻击） | 低 |
| 维护成本 | 需要更新签名库 | 需要训练基线模型 |
| 适用场景 | 边界防护、合规审计 | 内部威胁检测、APT发现 |
我的做法：实际项目中，我通常把两种方法结合起来用。签名检测做第一道筛子，过滤掉95%的已知攻击。异常检测做第二道防线，捕捉那些漏网之鱼。这叫「分层检测」，效果比单用任何一种都好。
4.4 部署模式
IDS怎么部署到网络里？主要有三种模式。
4.4.1 旁路部署（Passive Mode）
这是最常见的部署方式。IDS通过交换机端口镜像（SPAN）或网络分流器（TAP）获取流量副本。IDS本身不串在流量路径上。
优点：不影响网络性能，部署风险低。缺点：只能看，不能拦。
我建议所有初次部署IDS的团队都先用旁路模式。先跑一个月，看看告警质量怎么样，调调规则，再考虑要不要上IPS。
4.4.2 串联部署（Inline Mode）
IDS直接串在流量路径上。流量先经过IDS，再到目标服务器。这种模式下，IDS可以实时阻断恶意流量。
但注意：串联部署风险很高。如果IDS挂了，整个网络就断了。我曾经见过一个案例，某公司把IPS串联部署，结果设备固件升级失败，导致全网断网4小时……
避坑指南：如果一定要用串联模式，务必配置bypass功能。设备故障时自动切换到直通状态，保证业务不中断。
4.4.3 混合部署
大型网络里，通常不会只用一种模式。边界用串联IPS做实时阻断，内部用旁路IDS做深度分析。核心服务器区再部署HIDS做主机级监控。
这种模式成本高，但防护效果最好。我在金融行业看到的成熟方案，基本都是这种「三层防护」架构。
4.5 小结
这一章我们讲了IDS的核心原理。总结一下：
- IDS是被动检测设备，只管报警不管拦
- HIDS看主机，NIDS看网络
- 签名检测准但死板，异常检测灵活但爱误报
- 部署模式选旁路还是串联，取决于你的风险承受能力
下一章，我们会动手搭建一个Snort IDS环境。到时候你会看到，这些原理是怎么落到实处的。