Cybersec Wednesday｜浅谈入侵防御系统：网络安全防线
为了应对网络入侵威胁，入侵防御系统（IPS）是一种经常用来检测、阻止和应对网络中异常活动和潜在威胁的工具。IPS 通常被视为入侵检测系统（IDS）的进化版，因为它不仅能够检测攻击，还能够主动阻止恶意流量，以减少损害。
IPS的运作方式是通过监视网络流量，根据预定的规则或基准来检测异常行为。规则可包括已知攻击的签名，异常行为模式的分析，以及机器学习等多种技术。而当 IPS 检测到异常行为时，它可以立即发出警报，并且可以采取自动或手动措施来阻止攻击。除了侦测和预防攻击，IPS 还具有应对威胁的能力，能生成警报、记录事件及通知安全团队等，并且可以根据预定策略自动执行应对措施，有助快速回应威胁，减少攻击造成的风险和损害。
在IPS之下亦有细分成多种不同类型，较为人所认识的包括网路入侵防御系统（NIPS）和主机入侵防御系统（HIPS）：
网路入侵防御系统（NIPS）以监视网络上所有设备的入站和出站流量，以侦测可能的入侵或异常活动。NIPS主要关注整个网络的流量，以检测网络层面的攻击，如端口扫描、网络扫描、DoS（拒绝服务）攻击等。它通常根据预定的规则或签名来进行攻击侦测。
主机入侵防御系统（HIPS）则运行在组织网路的每个主机或装置上，直接存取网际网路和企业内部网路，具有更广泛的覆盖范围。HIPS的功能包括监视主机的系统活动、文件变化、访问控制和用户行为，不仅可以检测网络层面的攻击，还可以检测主机层面的异常行为。它的作用在于可以识别源自主机本身的恶意流量，例如主机感染了恶意软体并试图传播到其他系统，同时亦可以监视应用程式层面的攻击，如应用程式漏洞利用。
IPS虽然可以作为独立工具使用，但它们通常被设计成与其他安全解决方案紧密整合，以形成综合的网络安全系统。 IPS警报通常会传送到组织的安全信息和事件管理系统（SIEM），可以与其他安全工具的警报和资讯组合，允许安全团队综合各种威胁情报，过滤错误的警报并追踪IPS活动，以确保威胁得以成功阻止。
IPS是从IDS演变而来的，并且具有许多相同的功能，通常位于防火墙之后，充当着防火墙后的第二道防线。有些防火墙更甚至内建了IPS功能，以提供更强大的安全保护。IPS通过主动监控、检测和阻止威胁，有助于保护组织的数据和资产免受各种网络攻击的危害。
网络安全在很多方面还需要注意，如有任何疑问欢迎加入我们的 Cybersec Infohub 计划，让行业里的网络安全专家为你解决，如果你怀疑自己或公司的电脑被骇或有可疑的行为，亦请尽快联络网络安全专家求助。
关于 Cybersec Wednesday
每逢星期三，HKIRC网络安全团队都会挑选一个网络安全主题，以文章、贴士或最佳实践的形式与大家分享。 请留意每周三的更新，定时掌握最新鲜的网络安全资讯。
其他文章：
