IDS与IPS

为什么要有入侵检测产品

数据包到防火墙解析到七层因没有相应的病毒和漏洞等特征库，只要符合安全域流向，病毒还是可以穿过防火墙，防火墙更倾向于访问控制和流量控制。
入侵检测产品，会将数据包与病毒库的特征码进行对比进行拦截，IDS或IPS更倾向于黑客攻击的深度防御。

IPS与IDS的部署方式

bypass旁路部署：通过交换机的SPAN（流量端口镜像），把流量引入IDS设备进行特征码对比，响应比较慢。交换机有管理口和监控口，管理口有IP地址用于管理，监控口也是引擎口用来抓取与分析流量，无IP地址。

inline在线式部署：响应快速，如果IPS设备出现问题会影响整个网络。

 其他方式：

1、基于主机的IDS、IPS

基于主机的IDS只能够监控一个系统，它运行在需要保护的主机中，它能够读取主机的日志并寻找异常。但需要注意的是，当攻击发生之后，基于主机的IDS才能够检测到异常。

基于网络的IPS能够检测到网段中的数据包，如果基于网络的IPS设计得当的话，它也许能够代替基于主机的IPS。基于主机的IDS其另一个缺点就是，网络中的每一台主机都需要部署一个基于主机的IDS系统。你可以设想一下，如果你的环境中有50