入侵检测系统（2）

原创

寰宇秘阁
寰宇秘阁

寰宇密阁

2026年11月2日 14:00
安徽

去阅读

入侵检测系统（Intrusion Detection System，IDS）能否真正发挥作用，往往不取决于算法口号有多响，而取决于传感器放在哪里。同一套特征库与同一套异常模型，部署在终端上、部署在交换机旁、或部署在边界防火墙上，看到的攻击切片截然不同：有的能看到进程与文件被改写，有的只能看到包头与流元数据，有的甚至在 TLS 时代只能看到握手与证书，却再也看不到 HTTP 请求体。

从基础设施拓扑出发，IDS 通常被划分为两类：主机型入侵检测系统（Host-Based IDS，HIDS）在单台主机上采集并分析攻击迹象；网络型入侵检测系统（Network-Based IDS，NIDS）则在网络的关键汇聚点观察数据包与会话流。二者并非非此即彼的替代关系——真正成熟的监控体系，往往是把主机侧的落地痕迹与网络侧的横向流量拼成同一条攻击叙事。

一、传感器位置决定 IDS 类型

要把 IDS 说清楚，先把“传感器”说清楚。传感器是 IDS 的眼睛：它决定检测引擎吃什么数据、在什么延迟下报警、以及攻击者能否轻易伪造或抹掉这些证据。

HIDS 的传感器贴在主机上。它读取的是运行时已经落在本机的数据——事件日志、目录与文件、注册表项、当前网络连接等。检测既可在本机进程里实时跑，也可由客户端把数据或任务结果上报到远端集中服务再做研判。视角是“这台机器上发生了什么”。

NIDS 的传感器挂在网络路径上。它在网关、镜像口、TAP、关键交换机或内网分段边界处旁路或串接观察流量，看到的是跨主机的通信行为。视角是“机器之间在说什么、以什么方式说”。

这个区分之所以重要，是因为攻击者的行为天然跨越“主机”与“网络”两层：初始入侵可能借合法账号登录（主机日志看起来平平无奇），横向移动却会在网络上留下扫描、突发性 SSH、异常 TLS 证书链等痕迹；反过来，主机上恶意替换了 Explorer.exe，网络侧未必立刻看到明显 C2，但 HIDS 用威胁情报中的 hash 一对照就能定位。传感器位置不同，可见性互补，抗篡改能力也不同。