什麼是 IDS？
入侵偵測系統是一種被動監控解決方案，用於偵測對組織的網路安全威脅。 如果偵測到潛在的入侵，IDS 會產生警示，通知安全人員調查事件並採取補救措施。
IDS 解決方案可以通過幾種方式分類。 其中之一是其部署位置。IDS可以部署在特定主機上，使其能夠監控該主機的網路流量、運行進程、日誌等，也可以部署在網路層面，使其能夠識別對整個網路的威脅。基於主機的入侵偵測系統 (HIDS) 和基於網路的 IDS (NIDS) 之間的選擇是可見性深度與系統接收的廣度和上下文之間的權衡。
IDS 解決方案也可以根據識別潛在威脅的方式進行分類。 以簽名為基礎的 IDS 會使用已知安全威脅的簽名庫來識別它們。 基於異常的 IDS 會建立受保護系統的「正常」行為模型，並報告任何偏差。 混合系統使用兩種方法來識別潛在的威脅。
什麼是 IPS？
入侵防禦系統 (IPS)是一種主動保護系統。與 IDS 一樣，它嘗試根據受保護主機或網路的監視功能來識別潛在威脅，並且可以使用簽名、異常或混合檢測方法。與 IDS 不同，IPS 會採取行動來封鎖或修復已識別的威脅。 雖然 IPS 可能會發出警報，但它還有助於防止入侵發生。
為什麼 IDS 和 IPS 對網絡安全至關重要
最後，入侵防禦系統與入侵偵測系統的比較歸結為偵測到此類入侵時它們採取的行動。IDS 旨在僅提供有關潛在事件的警示，這使安全操作中心 (SOC) 分析師能夠調查事件並判斷是否需要進一步行動。 另一方面，IPS 會自行採取行動來阻止嘗試入侵或以其他方式修復事件。
雖然他們的回應可能有所不同，但它們用於類似的目的，可能使它們似乎是多餘的。 儘管如此，它們都有各自的優點和部署場景，其中一種比另一種更適合：
- 入侵偵測系統：IDS 旨在偵測潛在事件、產生警示，並且不做任何措施防止事件發生。 雖然這看起來不如 IPS，但對於具有高可用性要求的系統（例如工業控制系統 (ICS) 和其他關鍵基礎設施）來說，它可能是一個很好的解決方案。對於這些系統，最重要的是系統繼續運行，阻止可疑（和潛在惡意）流量可能會影響其操作。 通知人類操作員有關問題，使他們能夠評估情況並對如何做出明智的決定。
- 入侵防禦系統：另一方面，IPS 旨在採取行動阻止任何它認為對受保護系統構成威脅的事物。隨著惡意軟體攻擊變得更快、更複雜，這是一項有用的功能，因為它限制了攻擊可能造成的潛在損害。IPS 非常適合任何入侵可能造成重大損害的環境，例如包含敏感 d 的數據庫
IDS 和 IPS 都有其優點和缺點。 為潛在使用案例選擇系統時，重要的是考慮系統可用性和可用性以及保護需求之間的差距。 IDS 會讓攻擊者對目標系統造成損害的視窗，而 IPS 的假陽性偵測可能會對系統可用性造成負面影響。
IDS 與 IPS：判決
針對特定使用案例，IDS 軟件和 IPS 軟件之間的選擇是很重要的。 但是，需要考慮的一個更重要的因素是給定的 IDS/IPS 解決方案的有效性。 IDS 或 IPS 可能會遭受假陽性或假陰性偵測，例如阻擋合法流量或允許透過真實威脅。 雖然這兩者之間通常會有一個平衡，但系統越複雜，組織會遇到的總錯誤率就越低。
Check Point 擁有多年開發 IDS/IPS 軟體的經驗，Check Point次世代防火牆 (NGFW)包含最新的威脅偵測技術。要了解有關 Check Point 如何幫助提高網路安全的更多信息，請聯繫我們以獲取更多資訊。然後，安排一次演示，以了解 Check Point先進網路威脅防護解決方案的實際應用效果。
反映意見