网络安全技术与实训-第6章-第1节-IDS与IPS的区别
第6章 安全防范与入侵检测
第 1 章讲过 PDR 模型，其中“检测（D）”这一环靠什么落地？答案就是入侵检测与入侵防御系统。两者名字只差一个词，但行为差异很大——理解这个差异，比记住缩写重要得多。
一、一组类比讲清区别
| 对比项 | IDS · 入侵检测 | IPS · 入侵防御 |
|---|---|---|
| 类比 | 监控摄像头 | 门口安检门 |
| 行为 | 看到可疑行为报警，但不拦 | 发现危险当场拦截丢弃 |
| 部署方式 | 旁路：从交换机镜像口拿一份流量副本分析，设备故障不影响业务 | 串联：接在必经之路上，流量必须经过它 |
| 主要风险 | 只报警不处理，需要有人跟进；漏报会错过攻击 | 误报就是事故：错拦正常业务造成中断；设备故障可能导致整条链路不通 |
| 代表工具 | Snort（开源 NIDS 的鼻祖） | Suricata 的 IPS 模式、各类硬件 IPS 设备 |
二、部署位置决定了一切
为什么 IDS 用旁路、IPS 必须串联？因为它们的职责不同：
- IDS 只是“看”，它拿到的是一份流量的复制品。看错了最多是误报警，不影响业务。所以它的告警可以很“敏感”，宁可多报一些。
- IPS 要“动手”，它站在数据的必经之路上。一旦判断失误拦错了包，正常业务立刻就断。所以 IPS 的规则必须比 IDS 保守得多，还得考虑性能——所有流量都要经过它处理，它是链路上的一环，也是潜在的瓶颈和单点故障。
这也是为什么很多单位先用 IDS 跑一段时间，观察误报情况，确认规则稳定之后，再考虑上 IPS。
三、装了 IDS 还要不要 IPS？
这不是“二选一”的问题，而是职责分工的问题：
- IDS 负责“发现”：新型攻击、复杂行为、需要人工研判的可疑事件。它的价值在于给人提供线索。
- IPS 负责“止血”：已知特征的自动化攻击（大量扫描、明显的漏洞利用尝试）。它的价值在于不给攻击者留下时间窗口。
- 现实中两者常常配合使用：IPS 拦掉海量的自动化攻击，IDS 把值得分析的事件交给人。
还有一点必须记住：IDS/IPS 不能替代防火墙，也不能替代打补丁。 防火墙管的是“谁能进来”（IP/端口层），补丁修的是“进来后能不能得手”（漏洞层），IDS/IPS 管的是“有没有人正在试图进来或已经进来”。三者是纵深防御的不同层次。
一句话记忆：IDS 是摄像头（只报警），IPS 是安检门（能拦截）。一个报警，一个动手——部署方式的差别（旁路 vs 串联）就来自这个差别。
四、配套实训
本章对应 实训 8 · Snort 入侵检测规则与告警：你会亲手写一条检测规则、触发一次匹配流量、看到告警日志被生成出来。这个实训的价值在于——亲手体会到“检测”是如何工作的，以及为什么它只能报警而不能自动阻止。
做完之后建议再想一个问题：如果要把这个 Snort 规则改成“直接拦截该 IP 的后续流量”，需要改哪些配置？会对正常业务带来什么风险？想清楚这两个问题，你就理解了 IDS 和 IPS 之间的全部差别。