IPS/IDS

• IPS——入侵防御系统（Intrusion prevention system）
  • 串行部署
  • 检测识别+主动防御
• IDS——入侵检测系统（intrusion detection system）
  • 旁路部署（尽可能的靠近攻击源、受保护资源）
  • 只具有检测功能
• 防火墙是被动防御，只是本地网络和外部网络直接的一道屏障，防火墙可以拦截低层攻击行为，但对应用层的深层攻击行为无能为力。而 IPS 是 IDS 加上防火墙的组合，是一部能够监视网络或网络设备的网络资料传输行为的计算机网络安全设备，能够即时的中断、调整或隔离一些不正常或是具有伤害性的网络资料传输行为。
• 入侵检测系统
  • 分类
    • 按照信息源进行分类
      • 基于主机的入侵检测技术
        • 监测系统、事件、windowsNT下的安全记录、unix环境下系统记录，当有文件被修改时，采用新记录条目比对攻击特征。
      • 基于网络的入侵检测技术
        • 以网络包作为数据的分析源，利用一个工作在混杂模式下的网卡实时监控分析通过网络的数据流进行模式匹配、统计分析等技术识别。
    • 按分析方法分类
      • 误用检测技术（基于知识检测）
        • 根据攻击签名来判断入侵的，根据对已知的攻击方法的了解，用特定的模式语言来表示这种攻击，使得攻击签名能够准确地表示入侵行为及其所有可能的变种，同时又不会把非入侵行为包含进来。