Cybersec Wednesday｜浅谈入侵检测系统：网络安全的守护者
网络入侵是一个常见的威胁，有可能导致潜在的灾难性后果，因此入侵检测系统（IDS）作为一种关键的网络安全措施，就发挥著举足轻重的作用。IDS主要目的在于检测和回应网络中的异常活动和潜在威胁，透过不断监视网络流量，按照预定的规则或事先设定的基准来进行运作。当 IDS 侦测到任何不正常的行为，无论是源自内部或外部都会立即触发警报，通知组织的安全团队或系统管理员，以进行调查和应对。
常见的IDS有多种不同的类型，包括相对应的网路入侵检测系统（NIDS）和主机入侵检测系统（HIDS）；还有基于签章的入侵检测系统（SIDS）和基于异常的入侵检测系统（AIDS）。
网路入侵检测系统（NIDS）部以监视网络上所有设备的入站和出站流量，旨在追踪潜在的入侵迹象；而主机入侵检测系统（HIDS）则运行在组织网路的每个主机或装置上，直接存取网际网路和企业内部网路。HIDS 具有独特的优点，它能够侦测到源自组织内部的异常网路封包，或者那些NIDS无法追踪到的恶意流量。
至于基于签章的入侵检测系统（SIDS），则是监视整个网路上的资料包，然后与攻击签章资料库或已知的恶意威胁特征进行对比，类似于防毒软体所采用的方式；相对之下，基于异常的入侵检测系统（AIDS）则不断监视网路流量，并将其与预先设定的正常基准进行比较，以确保网路在频宽、协定、连接埠等多个方面的运作正常。这种方法通常利用机器学习技术建立基准，同时搭配安全策略。透过这种方式，AIDS克服了SIDS的局限性，在检测新威胁方面表现出色。
此外，入侵检测系统亦具有检测异常活动、生成警报及记录等功能。生成警报包括有关事件的详细信息，例如攻击类型、源 IP 地址、目标 IP 地址和时间戳记，以电子邮件、短信或集成到安全信息和事件管理（SIEM）系统中通知安全运营团队或系统管理员，以便他们能够迅速采取措施应对威胁。当然，这些信息可以用于事后分析、合规性检查和安全性评估。
IDS作为安全防线的一部分，有助于保护组织免受各种潜在风险和攻击的影响。通过即时检测异常行为，IDS 帮助组织在威胁变得更加复杂和隐匿时保持警觉，并迅速响应，以最大程度地减少潜在的损害，可以称得上是网络安全的守护者。
网络安全在很多方面还需要注意，如有任何疑问欢迎加入我们的 Cybersec Infohub 计划，让行业里的网络安全专家为你解决，如果你怀疑自己或公司的电脑被骇或有可疑的行为，亦请尽快联络网络安全专家求助。
关于 Cybersec Wednesday
每逢星期三，HKIRC网络安全团队都会挑选一个网络安全主题，以文章、贴士或最佳实践的形式与大家分享。 请留意每周三的更新，定时掌握最新鲜的网络安全资讯。
