防火墙和 WAF 守在边界，但攻击者一旦绕过（或本来就在内网），就需要**入侵检测/防御系统（IDS/IPS）**来发现”网络里正在发生的攻击”。IDS 像警报器，IPS 像会自动关门的保安。这篇讲清。
本文仅作原理与运维要点科普，所有部署请在自有或已授权网络中进行。
IDS 与 IPS 的核心区别
- IDS（入侵检测系统）：旁路部署，镜像一份流量来分析，只检测、只告警，不阻断。它发现攻击后通知人去处理。
- IPS（入侵防御系统）：串接部署，流量必须过它，检测到攻击可实时阻断。它是 IDS 的”能动手”版本。
一句话记忆：IDS 喊”有坏人！“，IPS 直接把坏人拦在门外。
部署方式
旁路（IDS）： 交换机端口镜像 → IDS 分析（不影响业务）
串接（IPS）： 外网 ── IPS ── 内网 （流量必经，可阻断）IDS 旁路的好处是故障不影响网络；IPS 串接的好处是能拦，但必须高可用——它宕机或误拦，链路就断。所以 IPS 常做双机热备，并谨慎配置阻断策略。
检测技术：怎么”认出”攻击
IDS/IPS 主要靠三类技术：
- 特征检测（Signature）：匹配已知攻击的特征串（如某漏洞利用的固定字节、某扫描器的特定请求）。优点：准、误报低；缺点：拦不住**未知（0day）**攻击。
- 异常检测（Anomaly）：建立”正常流量基线”，偏离基线的（如某主机突然向外大量发包）报警。优点：能发现未知；缺点：误报高，需调阈值。
- 协议分析：深度解析协议（TCP/IP、HTTP、DNS）状态，识别协议滥用和畸形包。比单纯特征更准，能减少绕过。
现代设备通常特征 + 协议分析结合，异常检测作为补充。
告警研判：别被告警淹没
IDS/IPS 最大的痛点是告警海量。新手容易两种极端：要么全忽略（真攻击也漏），要么全信（误报折腾死人）。正确做法是分层研判：
- 先看高危告警：如”成功利用某 RCE 漏洞""已知恶意软件 C2 通信”，优先级最高。
- 关联上下文：单条告警可能是扫描，但”扫描 + 随后利用成功 + 外联”组合就是真实入侵。
- 结合资产：攻击打在一台废弃测试机上，和影响核心数据库，处置优先级完全不同。
- 借助威胁情报：告警里的 IP/域名若命中情报库（已知恶意），可信度大增。
经验：把 IDS 告警接入 SIEM 做关联，再用 SOAR 自动封禁高频恶意 IP，能大幅降噪。纯靠人盯 IDS 控制台不现实。
误报治理
- 误报来源：业务正常行为撞上特征（如内部工具产生的类攻击流量）、特征库过宽。
- 治理：把确认误报的业务特征加白名单；按业务微调规则；对已知无害的扫描源（如内部漏扫）设例外。
- 平衡：规则太严误报多、太松漏报多，需结合业务持续调。
运维注意事项
- 规则库更新：IDS/IPS 靠特征库，必须定期更新，否则拦不住新攻击。
- 传感器覆盖：旁路镜像要覆盖关键链路（边界、核心区、DMZ），别留盲区。
- 时间戳同步：所有设备 NTP 对时，否则告警和防火墙/WAF 日志对不上时间线（溯源灾难）。
- 高可用：IPS 串接必须双机热备 + 故障 bypass（故障时自动放行，保业务不中断）。
- 日志外发：告警进 SIEM，用于关联与取证。
常见误区
- 以为 IDS 能拦：IDS 旁路只告警，真要拦得靠 IPS 或联动防火墙。
- IPS 全量阻断不设例外：误拦关键业务，被业务方投诉甚至关掉设备。
- 不看告警等于没装：IDS 控制台没人盯，真实入侵的告警淹没在噪声里。
- 设备不对时：各设备时间不一致，事件关联不出时间线，溯源失败。
进阶：IDS/IPS 与威胁情报联动
把外部威胁情报（恶意 IP/域名/C2 库）喂给 IPS，能让它直接拦截已知坏流量；同时把内部发现的 IOC 上报情报平台，形成”情报→防护→再产出情报”的闭环。这是现代 SOC 的基础能力。
自测题
- IDS 和 IPS 在部署与能力上的根本区别是什么？
- 为什么 IPS 串接必须做高可用和故障 bypass？
- 面对海量 IDS 告警，应该怎么分层研判而不是全信或全忽略？
- 特征检测的优缺点各是什么？为什么拦不住 0day？
实战要点与深度解析
IDS/IPS 运维里最容易被误解的，是**“拦截率高 = 好”**。很多管理员拿”今天拦了几千条”当政绩，但如果不看拦截的是什么，可能全是误报（把正常业务当攻击），而真正危险的利用反而因为特征库旧而漏了。衡量 IDS/IPS 该看”真实检出率”和”误报率”两个指标的平衡，以及”高危告警的响应时效”。一个数字好看没意义，两个指标都健康才有意义。
再谈一个部署现实：旁路 IDS 的”看不见加密流量”问题。现代流量大量是 HTTPS，IDS 旁路镜像看到的都是加密后的密文，无法解析里面的攻击特征。解决要么做 SSL 解密（解密后镜像给 IDS），要么在解密点之后、应用层之前部署检测，要么上能看明文的 EDR/应用层防护补位。很多单位 IDS 告警越来越少，不是因为攻击少了，而是因为流量加密了它看不到了——这是”告警下降”的假象，要警惕。
关于 IPS 串接的”故障模式”设计。IPS 串在链路上，它一旦宕机或误拦，链路就断。所以生产 IPS 必须：双机热备（一台挂另一台顶）、故障 bypass（自身故障时自动放行而非阻断，保业务不中断）、规则变更灰度（先观察模式验证再切拦截）。这三项是 IPS 能上生产的底线，缺一项都可能把自己人坑了。
还有一个进阶视角：IDS/IPS 与威胁情报的实时联动。传统特征库更新有周期（天级），面对快速武器化的新漏洞往往慢半拍。把威胁情报（实时更新的恶意 IP/域名/漏洞利用特征）喂给 IPS，能让它在特征库更新前就拦住已知坏流量。这是现代 IPS “快” 的关键——不是只靠自己的库，而是借外部的”实时眼睛”。
最后提醒：告警不是终点，处置才是。IDS 发现一次成功的漏洞利用，如果只是记了条日志，等于没发现。真正的闭环是：告警 → 研判（真阳性？）→ 处置（封 IP/隔离主机/修漏洞）→ 复盘（为什么能被利用、怎么防下次）。把 IDS 接入 SIEM + SOAR，让”发现到处置”自动跑起来，才发挥它该有的价值。
进阶速记与误区辨析
IDS 与 IPS 这块有几组容易让人误判的情况，专门辨析。
第一组，拦截多等于好。很多人拿每天拦了多少条当政绩，但如果不看拦的是什么，可能全是误报，而真正危险的利用反而因为特征库旧而漏了。衡量要看真实检出率和误报率的平衡，以及一个高危告警的响应时效。
第二组，旁路看得见与加密看不见。现代流量大量是加密的，旁路镜像看到的都是密文，无法解析里面的攻击特征。解决要么做解密后镜像，要么在解密点之后部署检测，要么靠主机层和应用层防护补位。告警变少不一定是攻击少了，可能是它看不到了。
第三组，串接与故障模式。IPS 串在链路上，一旦宕机或者误拦链路就断，所以必须双机热备、故障自动放行、规则变更先观察再拦截，这三项是它能上生产的底线。
第四组，发现与处置。发现一次成功的利用如果只是记了条日志，等于没发现。真正的闭环是告警、研判、处置、复盘串起来，并借助自动化把发现到处置跑起来。
速记收尾：拦截多不等于好、加密要看不见、串接要保业务、发现要连处置。四句话对应入侵检测防御四个关键认知。
这一篇你该记住的
- IDS 旁路只检不拦（警报器）；IPS 串接可实时阻断（自动门）。
- 部署：IDS 端口镜像不影响业务；IPS 串接需双机热备 + 故障 bypass。
- 检测技术：特征（准但拦不住 0day）、异常（能发现未知但误报高）、协议分析（深度解析）。
- 告警研判：先高危、做关联、看资产重要性、借威胁情报；接入 SIEM/SOAR 降噪。
- 运维：规则库更新、传感器覆盖无盲区、NTP 对时、日志外发。
- 进阶与威胁情报联动，形成情报—防护闭环。
下一篇我们看 SIEM 与日志审计：把各处眼睛看到的集中起来分析。