入侵检测系统和入侵防御系统

	编者按

	从2003年Gartner公司副总裁Richard Stiennon发表名为《入侵检测已寿终正寝，入侵防御将万古长青》的报告开始选择入侵防御还是入侵检测的话题在安全业界掀起不小的波动。至今，关于这个话题的讨论仍未结束。Techtarget中国为此举办了IDS和IPS的选择的技术沙龙活动。而本专题将从介绍入侵防御和入侵检测的相关知识和采用建议的角度，与大家共同探讨在面对如IDS和IPS产品时，应该如何做出正确的选择。

了解入侵检测系统和入侵防御系统

入侵检测系统（IDS）

入侵检测系统（IDS）是任何安全基本架构的关键组件。这些硬件和/或硬件设备监控网络中的恶意行为，并向管理员报告进一步的调查。市场上有很多入侵检测系统，从为高带宽设计的专门的硬件（费用是上千美元）一直到免费的基于软件的IDS Snort。

入侵防御系统（IPS）

入侵防御是一种抢先的网络安全方法，可以用于识别潜在威胁并快速做出回应。和入侵检测系统（IDS）类似，入侵防御系统（IPS）监测网络流量。但是，因为攻击可能在攻击者获得访问后非常迅速地发生，入侵防御系统也有能力立即采取措施，根据的是网络管理员建立的一套规则。

IDS和IPS在企业中的采用建议

入侵检测系统（IDS）

入侵测试能够提供有关你的安全防御状态的有价值的信息。要让入侵测试具有可信性，这种测试通常必须由一个独立的外部公司实施。由于入侵测试成本很高，我经常建议成熟的安全计划考虑这个问题。如果你目前正在建立一个安全基础设施并且缺少一些主要的产品，你可以把投资首先用于入侵测试。

入侵防御系统（IPS）

采用入侵防御系统是个很棘手的问题。这些设备正在迅速成为很多公司安全架构的主要部分。第一次采用会是很恐怖的经历。你不仅是在网络路径中创建潜在的瓶颈和失败点，也是在增加设备，而这个设备可以有意地中断网络流量。这就足够任何网络工程师头疼的了。

入侵检测系统和入侵防御系统中的技术问题

入侵检测系统（IDS）

在购买入侵检测系统的过程中，一个决策的关键点通常是入侵检测系统采用签名还是异常检测引擎。最初厂商了解两种方法的优点并且把这两种方法都集成到入侵检测系统中。理解签名和异常检测这两种方法的优点和弱点揭示了它们是如何相互补充的。

入侵防御系统（IPS）

当人们谈及安全和入侵防御时，会冒出许多术语，并且含义不明确时，很容易会混淆。本部分除了将首先定义入侵防御中常用的几个术语外，还将探讨入侵防御西同种假阳性的限制等

入侵检测系统和入侵防御系统的热点关注

如何选择合适的IDS和/或IPS产品

在威胁管理仍然备受关注的同时，而且对于没有资金的安全专家来说全面理解入侵检测工具的功能从而做出正确的购买决定更重要。入侵检测系统和入侵防御系统是特别容易混淆的，因为这些产品很相似，厂商通常也是一样的，甚至他们的缩写也很难分开。

入侵检测工具Snort

最好的入侵检测系统是Snort工具。它拥有大量的用户，而且有商业公司Sourcefire的支持，使Snort成为受到欢迎的入侵检测系统工具。这个工具本身是免费的。它所需要的是一些在上面运行的硬件以及安装、配置和维护的时间。本部分的目的是揭示Snort的神秘性。

无线网络中IDS和IPS

这一部分可以帮助理解在无线网络中，无线入侵检测/防御系统（WIDS/WIPS）的价值，及时您所在的公司不支持无线局域网。此外，本专题还将介绍如何为公司环境选择合适的WIDS，以及如何防御无线拒绝服务攻击。