一、IDS 和 IPS 差在【拦不拦】

这两个缩写只差一个字母，功能也紧挨着，但设计取舍完全不同：

为什么这个区别值得较真：因为它决定了【一次错误判断的代价】。

• IDS 判错了：多一条告警——代价是人的时间。
• IPS 判错了：一条正常的业务连接被掐断——代价是业务。

所以同一套检测能力，装在旁路还是串联，是完全不同的两件事。 一句话：IDS 是摄像头，IPS 是保安。摄像头不改变现场，保安会动手。

二、动手 Demo：误报与漏报的取舍

看到什么算成功：

==================================================================================================
【Demo 7】缓冲地带的入口：入侵检测系统 / 入侵防御系统
==================================================================================================
  DMZ 里摆着必须对外的服务，那里就是攻击者最先伸手的地方。
  所以要在那个入口装一双眼睛——有时还要装一双手。

  【一】IDS 和 IPS 差一个字，差在【拦还是不拦】

  对比项            IDS 入侵检测                  IPS 入侵防御
  ----------------------------------------------------------------------------------------
  装在哪            旁路：只是复制一份流量看      串联：流量必须从它这里过
  发现之后          报警，人再决定怎么办          直接阻断这条连接
  对速度            几乎没有影响                  有影响：处理不过来就成瓶颈
  最大风险          报警太多，没人看              误拦一次，业务当场断

  一句话：IDS 是摄像头，IPS 是保安。摄像头不改变现场，保安会动手。

  【二】躲不开的两个数字：误报与漏报

  假设：一天 10 万条连接，其中真的有 100 条是攻击。

  灵敏度      报出多少告警        漏掉的真攻击        误报            值班的人什么感受
  ------------------------------------------------------------------------------------------------
  调宽松      500 条              20 条               480 条          轻松，但漏了最狠的那 20 条
  调严格      8000 条             5 条                7995 条         一条都看不完，等于没装

  这就是安全运营的日常：把阈值调保守，误报涨；调激进，漏报涨。
  真正的解法不是找一个完美阈值，而是让告警带上上下文——
  【这条连接是从哪来的、去过哪、这台机器平时会不会做这件事】。

  【三】蜜罐：故意摆一个假服务器

    · 放在 DMZ 里，看起来像一个真服务器，但没有业务价值
    · 正常用户永远不会访问它 —— 会去碰它的，就是攻击者
    · 因此它的误报率几乎为 0，是所有设备里【信噪比最高】的告警来源
    · 它还能拖时间：攻击者在那儿折腾的时候，真系统在做别的事

  【四】2026 的变化

    单体 IDS/IPS 正在被两样东西吸收：一是 NGFW（把 IPS 做进防火墙），
    二是【网络检测与响应 NDR】——把全网流量存下来做回溯分析。
    判断的重点也从【匹配已知攻击特征】转向【行为是否偏离基线】。

读结果：

• 第二张表要看的不是数字，是它背后的结构性矛盾。总连接数是 10 万、真攻击只有 100 条——也就是说，环境里 99.9% 的流量是正常的。在这样一个极度不平衡的比例下，任何一种判断方法都不可能同时做到【一个都不漏】和【一个都不误报】：因为它面对的是【从 10 万条正常流量里挑出 100 条异常的】，而这 100 条里的大部分【看上去和正常的没有区别】。
• 所以那一句结论是全节的要点：真正的解法不是找一个完美阈值——因为这个阈值数学上不存在——而是让告警带上上下文（这条连接从哪来、去过哪、这台机器平时会不会做这件事）。加了上下文之后，100 条可疑就会收敛到几条【真的值得看】的——它靠的不是把阈值调准，而是用更多信息把可疑的范围缩小。
• 第三段（蜜罐）是上面那个困境的一个漂亮的绕开方式：既然从正常里挑异常这么难，那就【造一个不可能是正常的对象】。 一台没有业务价值的假服务器，正常用户永远不会碰它——于是碰它的就是攻击者，误报率几乎为 0。这是本节最值得带走的一个思路：与其把判断做准，不如把目标换成【不需要判断的】。

三、为什么【有人看】比【检测得准】更重要

这一节最容易被忽略、但现实中决定成败的一句话：IDS 最大的风险不是【检测不准】，是【报警太多，没人看】。

原因和 Demo 第二张表直接相关——在 10 万比 100 的比例下，宽松档位会报出 500 条，严格档位会报出 8000 条。 一个值班的人一天能认真看的告警，通常是几十条。

所以现实里最常见的失败不是【没装设备】，而是【装了设备，但告警躺在控制台里没人处理】。这也是为什么这一节的落点其实是运营：

这就和本课第五章 大量服务器的管理 里的监控是同一个道理：监控的价值不在【能看见】，而在【看见了有人管】。

四、2026：被吸收，而不是被取代

Demo 第四段写了两个变化，值得说清楚它们的意思：

• 单体 IDS/IPS 正在被 NGFW 吸收。原因很实际：既然那段流量必须经过防火墙，那顺手在里面把检测也做了，省一台串联的设备（也就省一个瓶颈、一个故障点）。
• NDR（网络检测与响应）在做另一件事：把全网流量存下来，事后回溯。 这一点对 IDS 是根本性的补充——IDS 是【当场报警】，而 NDR 是【事后能查】。而现实中的入侵往往在几天甚至几周后才发现，那时候【当场】的那条告警早就淹没在几千条里了，只能靠回溯。

两者合起来的趋势很清楚：判断的重点从【匹配已知攻击的特征】转向【行为是否偏离基线】 ——因为特征库永远滞后（新攻击没有特征），而【这台服务器的正常行为】是可以被学出来的。

30 秒实验

想一个你自己遇到过的【误报】场景（邮箱把正常邮件扔进垃圾箱、软件杀了一个正常文件、门禁卡刷不开都行），做一件事：

回忆一下，你当时是怎么处理的？

做完你会发现一个规律：几乎所有人第一次遇到误报之后的反应，都是【关掉这个提醒】或者【不再相信它】。把这件事放大到企业里就是本节的核心风险——告警的可靠性一旦掉下来，人就会开始忽略它；而一旦开始忽略，装了多少设备都等于没装。 这就是为什么【误报率】在安全产品的选型里，和【检出率】一样重要。

常见误区

1. 错误：装了 IPS 就不需要 IDS 了，反正 IPS 更强。——纠正：它们不是【强弱关系】，是【代价不同的两种选择】。IPS 会真拦，所以判错的代价是业务中断；IDS 只报警，判错的代价是多一条告警。所以常见做法是分级：有把握的就串上去拦（IPS），把握不足的先旁路观察（IDS），观察一段时间、确认误报可以接受了再上线拦。一上来就用 IPS 全拦，很容易把正常业务掐断——而这类事故在真实环境里并不少见。

2. 错误：只要把灵敏度调高，就能不漏掉攻击。——纠正：调高灵敏度换来的是【成倍的告警量】，而值班的人力是有限的（Demo 第二张表里严档位是 8000 条）。漏报和误报在数学上是一对无法同时压到零的量——因为判断依据不完美（正常流量里也有看起来像攻击的）。所以正确的方向不是【调灵敏度】，而是【补齐上下文、做告警分群、把判断的范围收窄】——也就是 Demo 里那三个问题：从哪来、去过哪、这台机器平时会不会做这件事。

3. 错误：蜜罐是玩具，真实环境用不上。——纠正：蜜罐恰恰是信噪比最高的一种手段。原因不是它技术多先进，而是它换了一个思路：不去【从正常里挑异常】（难且必错），而是【造一个正常用户不会碰的对象】。所以它的告警几乎不需要判断——碰了就是有人在做不该做的事。 同类的手段还有【诱饵文件】（放一个假的密码文件，被读取就报警），思路完全一样。

4. 错误：日志留得多就是好的，反正现在存储很便宜。——纠正：日志的价值不在【量】，在【能不能回答一个具体问题】。真出事的时候要回答的是：这台机器三天前谁登过、从哪登的、之后连了哪些地址。 如果日志只能提供【有条可疑连接】而回答不了这一串，那留再多也没用。所以 NDR 和日志设计的关键是【留哪些字段、留多久、能不能按主机和时间串起来】——这也是为什么本节第四段把【回溯分析】和【当场报警】分开讲。

• ☐ 下一节（6-8 病毒的预防与软件的更新：反病毒服务器、系统漏洞）

相关笔记

• 防火墙之后的缓冲地带 —— 上一篇：DMZ 那块空地上放什么
• 病毒的预防与软件的更新 —— 下一篇：跑到机器里之后怎么防
• 大量服务器的管理 —— 监控的价值在【有人管】
• ☁️ 云计算 · 索引 —— 全课路线图