为什么我认为现阶段HIDS处于攻防不对等的地位?（ids、nta、绕过）

本文链接：https://blog.csdn.net/u012206617/article/details/122057133

本文探讨了HIDS在网络安全中的重要性，指出当前HIDS技术存在的不足，如易被绕过、不支持容器等，并详细列举了多种绕过HIDS的攻击手段。同时，文章强调内核态HIDS在性能、监控和防御能力上的优势，以及其在应对现代攻击中的潜力。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

HIDS(Host-based Intrusion Detection System)作为网络安全的最后一条战线,我们现阶段是否处于攻防不对等的地位?现在主流的HIDS的建设思路和方式是否又存在各种不可忽视的缺陷?

1.为何是最后一条战线

我们面对各种不同的针对生产环境的威胁,攻击者最终诉求大多是维持一个可长期访问的/有一定权限的通道,便于从内部寻找弱点,得到想要的诸如核心系统,数据库,git/svn/邮件系统的权限,从而实现自己的目的.

那么在这么常规的攻击路径中,HIDS作为主机层的一双眼,往往是离真相最近的那一双,NIDS存在镜像流量可能不全/HTTPS/加密/规则绕过等问题,而据我的经验,稍微高级的入侵者往往并不会采用扫描/暴力破解等动作;WAF作为入口的看门大爷往往没有能力管理从内出去的安全问题;各种架构问题总会导致各处的日志收集不全/或者没有关键上下文难以甄别异常等等.

那么HIDS的作用就异常重要了,即:其他安全防线失效的情况下,HIDS是最后一道防线.如果这里也没有办法发现如:后门,webshell等行为,那么企业可能会长期处于被入侵但是自己丝毫不知情的糟糕地步.