Cybersec Wednesday｜淺談入侵檢測系統：網絡安全的守護者
網絡入侵是一個常見的威脅，有可能導致潛在的災難性後果，因此入侵檢測系統（IDS）作為一種關鍵的網絡安全措施，就發揮著舉足輕重的作用。IDS主要目的在於檢測和回應網絡中的異常活動和潛在威脅，透過不斷監視網絡流量，按照預定的規則或事先設定的基準來進行運作。當 IDS 偵測到任何不正常的行為，無論是源自內部或外部都會立即觸發警報，通知組織的安全團隊或系統管理員，以進行調查和應對。
常見的IDS有多種不同的類型，包括相對應的網路入侵檢測系統（NIDS）和主機入侵檢測系統（HIDS）；還有基於簽章的入侵檢測系統（SIDS）和基於異常的入侵檢測系統（AIDS）。
網路入侵檢測系統（NIDS）部以監視網絡上所有設備的入站和出站流量，旨在追蹤潛在的入侵跡象；而主機入侵檢測系統（HIDS）則運行在組織網路的每個主機或裝置上，直接存取網際網路和企業內部網路。HIDS 具有獨特的優點，它能夠偵測到源自組織內部的異常網路封包，或者那些NIDS無法追蹤到的惡意流量。
至於基於簽章的入侵檢測系統（SIDS），則是監視整個網路上的資料包，然後與攻擊簽章資料庫或已知的惡意威脅特徵進行對比，類似於防毒軟體所採用的方式；相對之下，基於異常的入侵檢測系統（AIDS）則不斷監視網路流量，並將其與預先設定的正常基準進行比較，以確保網路在頻寬、協定、連接埠等多個方面的運作正常。這種方法通常利用機器學習技術建立基準，同時搭配安全策略。透過這種方式，AIDS克服了SIDS的局限性，在檢測新威脅方面表現出色。
此外，入侵檢測系統亦具有檢測異常活動、生成警報及記錄等功能。生成警報包括有關事件的詳細信息，例如攻擊類型、源 IP 地址、目標 IP 地址和時間戳記，以電子郵件、短信或集成到安全信息和事件管理（SIEM）系統中通知安全運營團隊或系統管理員，以便他們能夠迅速採取措施應對威脅。當然，這些信息可以用於事後分析、合規性檢查和安全性評估。
IDS作為安全防線的一部分，有助於保護組織免受各種潛在風險和攻擊的影響。通過即時檢測異常行為，IDS 幫助組織在威脅變得更加複雜和隱匿時保持警覺，並迅速響應，以最大程度地減少潛在的損害，可以稱得上是網絡安全的守護者。
網絡安全在很多方面還需要注意，如有任何疑問歡迎加入我們的 Cybersec Infohub 計劃，讓行業裏的網絡安全專家為你解決，如果你懷疑自己或公司的電腦被駭或有可疑的行為，亦請盡快聯絡網絡安全專家求助。
關於 Cybersec Wednesday
每逢星期三，HKIRC網絡安全團隊都會挑選一個網絡安全主題，以文章、貼士或最佳實踐的形式與大家分享。 請留意每週三的更新，定時掌握最新鮮的網絡安全資訊。
