一台连着外网的入侵服务器，凌晨三点突然向境外IP传了2GB数据。检测技术运维第二天看到流量图才发现。入侵防火墙没拦——因为流量走的检测技术是合法端口。这就是入侵入侵检测系统（IDS）要解决的问题：防火墙只认规则，IDS认行为。检测技术
IDS的入侵核心逻辑不复杂。它把网络流量或主机日志当成一条条“事件”，检测技术拿这些事件跟已知攻击特征做比对，入侵或者跟正常行为的检测技术基线做偏差计算。前者叫特征检测，入侵后者叫异常检测。检测技术两条路各有各的入侵麻烦。
特征检测像病毒库杀毒。检测技术Snort是入侵最典型的开源实现，一条规则长这样：alert tcp any any -> $HOME_NET 22 (msg:"SSH暴力破解"; flow:to_server; threshold:type both, track by_src, count 5, seconds 60;)。意思是60秒内同一源IP对22端口发起5次以上连接就报警。写得精准，误报低。问题是新攻击出来之前，规则库里没有，IDS就是瞎子。2017年WannaCry爆发头几个小时，大部分IDS没反应，因为特征还没写出来。
异常检测走的是另一条路。它先学正常——比如某台Web服务器平时每秒处理200个请求，CPU占用40%，出站流量稳定在10Mbps。一旦这些指标偏离到某个阈值，就触发告警。听起来聪明，实际用起来头疼。阈值设紧了，运维改个配置就报警；设松了，真攻击来了没反应。我见过一个团队用机器学习做异常检测，训练了三个月，上线第一周把财务系统月底批量转账判成了“异常外联”。
部署位置决定IDS能看见什么。网络型IDS（NIDS）接在交换机镜像口上，能看到整个网段的流量，但加密流量就没辙了。主机型IDS（HIDS）装在服务器上，能监控文件完整性、进程调用、注册表变更，可它只管自己那一亩三分地。真实环境里两者配合用——NIDS发现异常外联，HIDS确认是哪个进程干的。
检测之外还有响应。IDS本身只报警不阻断，这是它和IPS（入侵防御系统）的关键区别。IDS像监控摄像头，IPS像带自动锁的门。很多公司先上IDS观察一段时间，摸清正常流量基线，再把确认有效的规则转成IPS策略。直接上IPS容易把业务掐断——我就见过把Oracle数据库心跳包当攻击拦掉的案例。
误报是IDS最大的敌人。一个中型企业NIDS每天产生几千条告警不稀奇，其中90%以上是误报。运维看多了就麻木，真攻击混在里面也点“忽略”。所以调优比部署重要得多。好的做法是按资产重要性分级：核心数据库的告警优先处理，办公网扫描行为降级。再配合威胁情报——如果告警源IP在情报库里标记为恶意，优先级直接拉满。
绕开IDS的手段也在进化。攻击者用DNS隧道传数据，把C2流量伪装成正常HTTPS，或者干脆用合法云服务做跳板。IDS厂商在跟，但永远慢半步。我的判断是：IDS不是万能药，它是一层可见性。没有它你两眼一抹黑，有了它你至少知道有人在敲门——至于门结不结实，那是另一个问题。
```