《深入探究入侵检测系统的两类划分及其特点》
一、引言
图片来源于网络，如有侵权联系删除
在当今数字化时代，网络安全面临着前所未有的挑战，入侵检测系统（IDS）作为网络安全防护的重要组成部分，对于及时发现和防范网络入侵行为具有关键意义，入侵检测系统根据其检测方法和数据来源等因素，主要可以分为两类：基于主机的入侵检测系统（HIDS）和基于网络的入侵检测系统（NIDS）。
二、基于主机的入侵检测系统（HIDS）
1、工作原理
- HIDS主要关注单个主机的活动，它通过在主机系统上安装代理软件来实现检测功能，这些代理软件会对主机系统的各种资源进行监控，例如系统文件、系统调用、进程活动、注册表（在Windows系统中）等，当一个恶意软件试图修改系统关键文件时，HIDS能够检测到该文件的访问权限被异常更改，因为它一直在监控文件的属性和访问记录。
- 它还可以监控主机上运行的进程，对于每个进程的启动、终止以及进程之间的交互，HIDS都能进行详细的分析，如果一个进程突然开始大量消耗系统资源，并且与正常的进程行为模式不符，HIDS就会将其标记为可疑行为。
2、优势
针对性强：HIDS专门针对特定主机的安全状况进行检测，能够深入到主机内部的细粒度活动，对于保护重要的服务器，如数据库服务器、邮件服务器等非常有效，在保护数据库服务器时，HIDS可以监测到对数据库文件的非法访问尝试，无论是来自本地用户还是通过网络连接到服务器的远程用户。
适应复杂环境：在复杂的企业网络环境中，不同主机可能运行着不同的操作系统和应用程序，HIDS可以根据每个主机的具体配置进行定制化的检测策略设置，在一个既有Windows服务器又有Linux服务器的企业网络中，HIDS可以分别为两种类型的主机设置合适的检测规则，以适应各自系统的特性。
能够检测内部威胁：由于它是在主机内部进行检测，对于来自主机内部的恶意行为，如内部员工的非法操作或者已经入侵到主机内部的恶意软件的后续活动，HIDS能够很好地进行监测，内部员工试图通过非法手段获取公司机密数据，HIDS可以通过监控文件访问和用户操作记录来发现这种违规行为。
图片来源于网络，如有侵权联系删除
3、局限性
资源占用：安装在主机上的HIDS代理软件会消耗一定的主机资源，包括CPU、内存等，在主机资源有限的情况下，可能会对主机的性能产生一定的影响，在一些老旧的服务器上，如果安装了功能复杂的HIDS，可能会导致服务器响应速度变慢。
扩展性差：当需要保护的主机数量众多时，逐一在每个主机上安装和配置HIDS是一项繁琐的工作，管理成本较高，不同主机上的HIDS可能需要分别进行升级和维护，难以实现统一的管理。
三、基于网络的入侵检测系统（NIDS）
1、工作原理
- NIDS通过在网络中的关键节点（如路由器、防火墙附近等）部署传感器来捕获网络流量，这些传感器会对经过的网络数据包进行分析，检测其中是否存在恶意的网络活动，它可以识别出网络中的异常流量模式，如大量的端口扫描行为，端口扫描是攻击者在入侵前常用的手段，他们通过扫描目标主机的开放端口来寻找可利用的漏洞，NIDS能够检测到这种频繁的端口扫描尝试，并发出警报。
- NIDS还可以对网络协议进行分析，它熟悉各种网络协议（如TCP/IP协议族）的正常工作方式，当网络流量中出现违反协议规范的数据包时，NIDS能够判断这可能是一种入侵行为，一个恶意攻击者可能会构造畸形的TCP数据包来试图攻击目标主机，NIDS通过分析数据包的头部和内容，发现不符合TCP协议规范的地方，从而检测到入侵。
2、优势
视野广泛：NIDS可以监控整个网络段的流量，能够及时发现网络中的大规模攻击行为，在一个企业网络中，如果有外部攻击者试图发动分布式拒绝服务（DDoS）攻击，NIDS可以通过监测网络流量的异常增加和流量来源的分布情况，快速识别出这种攻击，并采取相应的措施，如通知防火墙进行流量阻断。
图片来源于网络，如有侵权联系删除
易于部署和管理：与HIDS相比，NIDS只需要在网络中的关键位置部署传感器，不需要在每个主机上进行安装，对于大型网络来说，这大大降低了部署和管理的成本，在一个包含数百台主机的校园网络中，只需要在网络的核心交换机和边界路由器附近部署少量的NIDS传感器，就可以对整个网络的流量进行监测。
不依赖主机系统：NIDS独立于主机系统工作，不会受到主机系统漏洞或故障的影响，即使主机系统被入侵并且恶意软件试图隐藏自己的活动，NIDS仍然可以通过对网络流量的分析检测到异常，当一个被入侵的主机试图与外部的恶意控制服务器进行通信时，NIDS可以检测到这种异常的网络连接，而不管主机系统内部的恶意软件如何伪装自己的进程。
3、局限性
无法检测加密流量内部的攻击：随着网络加密技术的广泛应用，如SSL/TLS加密，NIDS在遇到加密的网络流量时，只能看到加密后的数据包，无法对其内部的内容进行分析，如果攻击者利用加密通道进行恶意活动，NIDS很难检测到，攻击者在加密的VPN通道内发动攻击，NIDS只能看到加密的VPN流量，无法确定其中是否存在入侵行为。
误报率可能较高：由于网络环境复杂多变，网络中的正常流量也可能会出现一些看似异常的情况，在网络进行大规模的软件升级或者网络拓扑结构调整时，可能会产生大量的异常流量，NIDS可能会将这些正常的流量波动误判为入侵行为。
四、结论
基于主机的入侵检测系统和基于网络的入侵检测系统各有优劣，在实际的网络安全防护体系中，往往需要将两者结合使用，通过HIDS对关键主机进行深度保护，通过NIDS对整个网络的流量进行宏观监测，可以构建一个更加完善、全面的网络安全防护体系，以应对日益复杂的网络安全威胁。
评论列表