在过去几年里，网络攻击所带来的安全威胁大幅度上升，几乎每个月都会发生数起严重的数据泄露事件。IDS/IPS并不是一种新出现的技术，但是考虑到网络攻击技术的最新发展趋势，IDS和IPS的实现方式仍然是我们需要理解和考虑的关注点。但是，IDS和IPS到底有何区别？它们如何协同工作来提供更好的安全保护？
最主要的区别是它们的侧重点不同。前者是检测，后者是防御。IDS主要检测系统内部，运行在被监控的主机上，对主机的网络行为、系统日志、进程和内存等指标进行监控。相反IPS是作用在系统的防火墙和外网之间，针对流向内部的流量进行分析。结合自定义的策略和规则，对正在进行的恶意攻击进行阻断和拦截。
IDS属于被动检测，对系统内部可能存在的威胁进行监控和预警。IPS可以在网络攻击前做好防御，针对特定的攻击进行防护。
什么是IDS？
IDS按照数据源可以划分为两类：基于主机的入侵检测（HIDS）和基于网络的入侵检测（NIDS）。
HIDS通过实时监控主机的文件，内存，日志等多项系统关键指标，并对监控结果进行收集和分析。判断监控主机是否被入侵，实时向管理员反馈信息。主要的特点在于：
1.准确判断系统是否遭到入侵
2.实时监控特定系统活动
3.能够检查到基于网络系统隐藏的攻击
4.不要求额外的硬件设备，系统效率高
网络入侵检测系统(network intrusion detection system，NIDS)，是指对收集漏洞信息、造成拒绝访问及获取超出合法范围的系统控制权等危害计算机系统安全的行为，进行检测的软件与硬件的组合。网络入侵检测系统通常包括三个必要的功能组件：信息来源、分析引擎和响应组件。
信息来源：它负责收集被检测网络或系统的各种信息，并把这些信息作为资料提供给IDS分析引擎组件。
分析引擎：它利用统计或规则的方式找出可能的入侵行为，并将事件提供给下面的响应组件。
响应组件：它根据分析引擎的输出采取应有的行为，通常具有自动化机制，如主动通知系统管理员、中断入侵者的连接和搜集入侵信息等。
NIDS主要的特点在于：
1.拥有成本很低
2. 能够和基于主机的入侵检测形成互补
3.实时检测和响应
什么是入侵防御（IPS）？
入侵防御系统（IPS）是一种专门用于防止恶意软件、病毒、木马、蠕虫等攻击的网络安全技术。它通过深度数据包检查、行为分析、威胁情报等技术手段，对网络流量进行实时监控和检测，以发现并阻止各种类型的攻击。
IPS通常部署在网络的核心位置，如路由器、交换机等网络设备上，以便对所有进出的网络流量进行全面检测和防御。它能够识别并阻止各种类型的攻击，包括但不限于SQL注入、XSS攻击、远程命令注入、恶意文件上传等。
IPS还能够对攻击者的行为进行分析和追踪。一旦检测到攻击行为，IPS会立即采取措施将攻击源阻断，并通知管理员或自动响应。这些措施可以包括关闭端口、阻止IP地址访问、隔离网络等。此外，IPS还具备日志记录和报告功能，能够记录攻击者的行为和特征，为后续的调查和取证提供支持。
除了防御已知的攻击外，IPS还具备威胁情报收集和共享能力。它可以通过与安全厂商、情报机构等合作，获取最新的威胁情报和安全信息，从而更好地保护企业网络和系统。此外，IPS还可以与其他安全设备进行集成和联动，如防火墙、入侵检测系统（IDS）、安全事件信息管理（SIEM）等，以实现更全面的网络安全防护。
IPS和IDS的区别是什么？
一、含义不同
IDS入侵检测系统。IDS主要检测系统内部，运行在被监控的主机上，对主机的网络行为、系统日志、进程和内存等指标进行监控。IPS是检测在系统的防火墙和外网之间，针对流向内部的流量进行分析。监视网络或网络设备的网络资料传输行为的计算机网络安全设备，能够即时的中断、调整或隔离一些不正常或是具有伤害性的网络资料传输行为。
做一个形象的比喻：假如防火墙是一幢大楼的门锁，那么IDS就是这幢大楼里的监视系统。一旦小偷爬窗进入大楼，或内部人员有越界行为，实时监视系统会发现情况并发出警告。
IPS是位于防火墙和网络的设备之间。这样，如果检测到攻击，IPS会在遭到攻击前做好预防阻止攻击的发生。IDS属于被动检测，存在于网络之外起到预警的作用，而不是在网络前面起到防御的作用。
二、作用不同
IDS专业上讲就是依照一定的安全策略，对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或者攻击结果，以保证网络系统资源的机密性、完整性和可用性。
IPS入侵防御系统是电脑网络安全设施，是对防病毒软件和防火墙的补充。入侵防御系统是一部能够监视网络或网络设备的网络资料传输行为的计算机网络安全设备，能够即时的中断、调整或隔离一些不正常或是具有伤害性的网络资料传输行为。
三、部署位置不同
IDS通常采用旁路接入，在网络中的位置一般选择为：尽可能靠近攻击源、尽可能靠近受保护资源，这些位置通常是：服务器区域的交换机上；Internet接入路由器滞后的第一台交换机上；重点保护网段的局域网交换机上。
IPS通常采用Inline接入，在办公网络中，至少需要在以下区域部署：办公网与外部网络的连接部位（入口/出口）；重要服务器集群前端；办公网内部接入层。
四、工作机制不同
IDS主要针对已发生的攻击事件或异常行为进行处理，属于被动防护。以NIDS为例：NIDS以旁路方式，对所监测的网络数据进行获取、还原，根据签名进行模式匹配，或者进行一系列统计分析，根据结果对有问题的会话进行阻断，或者和防火墙产生联动。IDS的致命缺点在于阻断UDP会话不太灵，对加密的数据流束手无策。
IPS针对攻击事件或异常行为可提前感知及预防，属于主动防护。根据设置的过滤器，分析相对应的数据包，通过检查的数据包可以继续前进，包含恶意内容的数据包就会被丢弃，被怀疑的数据包需要接受进一步的检查。
目前无论是从业于信息安全行业的专业人士还是普通用户，都认为入侵检测系统和入侵防御系统是两类产品，并不存在入侵防御系统要替代入侵检测系统的可能。但由于入侵防御产品的出现，给用户带来新的困惑：到底什么情况下该选择入侵检测产品，什么时候该选择入侵防御产品呢?
从产品价值角度讲：入侵检测系统注重的是网络安全状况的监管。入侵防御系统关注的是对入侵行为的控制。与防火墙类产品、入侵检测产品可以实施的安全策略不同，入侵防御系统可以实施深层防御安全策略，即可以在应用层检测出攻击并予以阻断，这是防火墙所做不到的，当然也是入侵检测产品所做不到的。
从产品应用角度来讲：为了达到可以全面检测网络安全状况的目的，入侵检测系统需要部署在网络内部的中心点，需要能够观察到所有网络数据。如果信息系统中包含了多个逻辑隔离的子网，则需要在整个信息系统中实施分布部署，即每子网部署一个入侵检测分析引擎，并统一进行引擎的策略管理以及事件分析，以达到掌控整个信息系统安全状况的目的。
而为了实现对外部攻击的防御，入侵防御系统需要部署在网络的边界。这样所有来自外部的数据必须串行通过入侵防御系统，入侵防御系统即可实时分析网络数据，发现攻击行为立即予以阻断，保证来自外部的攻击数据不能通过网络边界进入网络。
德迅卫士采用自适应安全架构，有效解决传统专注防御手段的被动处境，为系统添加强大的实时监控和响应能力，帮助企业有效预测风险，精准感知威胁，提升响应效率，保障企业安全的最后一公里。主要的产品体系在于：
一、资产清点
可自动识别系统内部资产情况，并与风险和入侵事件自动关联，提供灵活高效的回溯能力。
①细粒度梳理关键资产
②业务应用自动识别
③良好的扩展能力
④与风险和入侵全面关联
二、风险发现
可主动、精准发现系统存在的安全风险，提供持续的风险监测和分析能力。
①持续安全监控和分析
②多种应用/系统风险
③强大的漏洞库匹配
④专业具体的修复建议
三、入侵检测
可实时发现入侵事件，提供快速防御和响应能力
①全方位攻击监控
②高实时入侵告警
③可视化深度分析
④多样化处理方式
四、合规基线
构建了由国内信息安全等级保护要求和CIS组成的基准要求，帮助用户快速进行企业内部风险自测，发现问题并及时修复。
①支持等保/CIS等多重标准
②自动识别需检查的基线
③一键任务化检测
④企业自定义基线检查
五、病毒查杀
结合多个病毒检测引擎，能够实时准确发现主机上的病毒进程，并提供多角度分析结果，以及相应的病毒处理能力。
①多引擎病毒检测
②实时监控告警
③主动病毒阻断
④沙箱验证修复
六、远程防护
远程防护用于对远程桌面登录进行防护，防止非法登录。支持多重防护规则，增强远程桌面安全。
①微信认证登录
②手机验证码登录
③二级密码登录
④区域所在地登录
通过本文的对比分析，我们清楚地认识到入侵检测系统（IDS）和入侵防御系统（IPS）在网络安全中的角色和价值。IDS主要关注监测和识别潜在的入侵行为，提供实时的警报和日志记录；而IPS则进一步采取主动措施，包括阻断恶意流量和执行自动化响应，以及修复漏洞和弱点。两者可以相互协同工作，形成一个强大的安全防线，提供全面的网络保护。根据组织或个人的需求，选择适合的IDS和IPS解决方案，并加强网络安全防护，以应对不断演变的威胁和攻击。只有通过有效的入侵检测和防御系统，我们才能更好地保护我们的数据、隐私和网络资源。
