波仔
🛡️ 第二章 针对网络的攻击
📄 一句话概括

检测与防御一字之差，代价完全不同——检测误报的后果是"多看一眼"，防御误报的后果是"把正常业务掐了"；所以一条规则上生产，先只检测、再谈阻断。

📝 本节和前面几节的关系

上一节（通信的监视与分析）解决的是"能不能看见"。这一节把"看见"往下推一步——变成报警（检测）和阻断（防御）。

它和 非法访问的基本防御对策 的关系需要说清楚：防火墙管"谁可以过"，这一节管"过去的东西是不是恶意的"。 前者看信封，后者要打开看内容——而内容在 2026 年基本都被加密了，这正是这一节最大的难点。

一、两个系统，两个位置

教材把这两个放在一起讲，因为它们的区别非常干脆：

入侵检测系统 入侵防御系统
站在哪 旁路（复制一份流量给它看） 串接（流量必须穿过它）
能做什么 报警 报警 ＋ 直接掐断
误报的后果 多看一眼 正常业务被切断
故障的后果 它坏了，网络照常 它坏了，网络可能断

这两行对照就能解释一个很实际的现象：为什么很多单位只有检测，没有防御。 因为"能直接掐断"这件事本身就是风险——掐错一次的代价，可能比漏掉一次的代价更高。

旁路部署还有个附带好处：检测设备被攻击的风险更低（它不在数据通路上）。串接部署要把这一点补回来——所以企业级串接设备会用故障直通（自己坏了就自动放行，不要让网络跟着它一起死）。

二、三种检测方法，各有各的账

方法 怎么判断 强项 弱项
特征比对 已知攻击长什么样，就照着找 准、快、误报低 新攻击认不出来
异常检测 先学会"正常"，偏离就报警 能发现没见过的东西 学习期误报极高
行为分析 看"一连串动作"像不像攻击 能发现"用合法账号干坏事" 需要长期的基线和调优

三条里，第一条是地基，第二条和第三条是补丁——补的正是"攻击者已经学会不留下已知特征"这个洞。

异常检测那条"学习期误报极高"必须记住：系统刚上线时它还不知道什么是正常，所以会把大量正常业务报成异常。这不是产品坏了，这是方法的固有代价。 因此正确做法是给它一个学习期，并且这期间只观察不阻断。

三、最容易踩的坑：误报

这一节最该留下印象的一句话在教材里没说透，但对实际工作最重要：

防御系统最头疼的问题不是"漏报"，而是"误报"。

原因很直白：一条把高并发的正常交易判定为攻击、然后直接掐断的规则，造成的损失可能远高于它本来要防的那个漏洞。

而误报还有一个更隐蔽的后果——告警疲劳：

所以"报得多"不是优点，"报得准"才是。 评价一个检测系统的核心指标应该是：在正常业务上产生多少噪音，而不是"库里有多少条规则"。

四、动手 Demo：四万条告警，最后剩下多少要人看

# 某中型企业，1,200 台终端，一天产生 40,000 条告警
buckets = [
    ("重复计数（同一事件被多台设备各报一遍）", 18000, "去重"),
    ("已知误报（正常业务流量命中了过宽的规则）", 12000, "调规则"),
    ("单点弱信号（只命中一条、没有关联证据）", 8800, "压低优先级，转观察"),
    ("真正需要人工研判", 1200, "派人"),
]

实跑输出：

  某中型企业，1,200 台终端，一天产生的告警总量：40000 条

  分类                                            条数        占比      处置
  ------------------------------------------------------------------------------------
  重复计数（同一事件被多台设备各报一遍）                           18000     45.0%    去重
  已知误报（正常业务流量命中了过宽的规则）                          12000     30.0%    调规则
  单点弱信号（只命中一条、没有关联证据）                           8800      22.0%    压低优先级，转观察
  真正需要人工研判                                      1200      3.0%     派人

  真正要人看的只占 3.0%（1200 条）——这就是引入行为分析后的效果。

  ① 检测系统的价值不在【报得多】，而在【报得准】。
     报告里 97% 是噪音时，剩下那 3% 会被一起忽略——这叫告警疲劳。
  ② 检测 与 防御，一字之差，代价完全不同：
     · 检测（旁路）：误报的后果 = 多看一眼，代价低；
     · 防御（串接）：误报的后果 = 把正常业务掐了，代价可能高于漏洞本身。
     所以一条规则上生产，先【只检测不阻断】跑 7~14 天，再改成阻断。
  ③ 串接还有一条物理风险：设备自己坏了就等于网络断了。
     所以企业级串接设备要用故障直通网卡（坏了自动放行）。
  ④ 位置决定看得见什么：
     边界上的设备看南北向（外到内），内网里的设备看东西向（内到内）。
     只在边界布防，攻击者一进门就没人看得见他了。

读这个输出：注意 45% 是重复计数——这跟检测能力无关，纯粹是多个设备各报一遍同一件事。也就是说，光靠"去重"和"调规则"这两件事（都不需要新买设备），就能把噪音砍掉七成五。剩下 3% 才是真正要人看的。这提示了一个务实的顺序：先把噪音降下来，再谈引入更高级的分析能力——否则再好的分析也只是往噪音里再加一层。

五、怎么落地

  1. 先定位置，再定设备。 边界上放什么、内网里放什么、主机上放什么，位置决定看得见什么。只在边界布防，等于内网全是盲区。
  2. 规则先"只检测"。 新规则先跑一段（常见的建议是 7~14 天）只报警不阻断，看清它在你的环境里会不会误伤，再改成阻断。
  3. 按资产调规则，不要一套通吃。 同一条规则在网页服务器那一区很有价值，在语音网关那一区纯属噪音——把规则集的适用范围收窄，噪音自然下降。
  4. 把"谁在看"安排好。 报出来的告警要有人接、有处置流程、有回执。没人负责的告警等于没报。

六、⚠️ 2026 现状

30 秒实验

在你的电脑上体验一次"特征比对"和"行为分析"的区别：

  1. 想一个"已知的坏东西"——比如某个常见的恶意软件家族名。特征比对就是"看见这个名字就报警"，它需要有人先见过它。
  2. 再想一个"行为"——比如"某个程序在半夜把 10 GB 数据传到一个从没连过的国外地址"。行为分析不需要认识这个程序，它只看"这件事像不像正常"。
  3. 问自己一句：如果攻击者换了个没见过的程序、慢慢传（每天传一点点），上面哪一种能发现？——答案是行为分析有机会，特征比对完全不行。

这一节要带走的一句是：检测系统的天敌不是漏报，是噪音——因为人一旦开始忽略告警，后面的所有投入都白费了。

常见误区

  1. 错误：检测和防御差不多，装上哪个都行。——纠正：位置不同，风险完全不同。 检测是旁路，它最多误报，不会误伤业务；防御是串接，它误报就直接切断业务，而且它自己故障还可能让整个网络断。所以"上防御"需要一个前置条件：你的规则已经调到足够准了，否则宁可先只检测。

  2. 错误：规则越多越全，防护越强。——纠正：规则多不等于保护强，反而常常等于噪音大。 一条规则在某个区段有价值，换个区段就是纯噪音；规则越全，误报越多，人就越可能跳过真正的那一条。有效的做法是按资产和区段裁剪规则集，而不是一味求全。

  3. 错误：异常检测能发现未知攻击，所以直接用它。——纠正：异常检测确实能发现特征库里没有的东西，但它有一个固有代价：学习期的误报极高。系统刚上线时还不知道"正常"长什么样，会把大量正常业务报成异常。所以正确用法是先给它一段学习期（这期间只观察不阻断），并在之后持续调优——指望它开箱即用是不现实的。

  4. 错误：只在边界布防就够了。——纠正：边界设备天生看不到内部机器之间的通信。 而攻击者一旦进门，最重要的动作（横向移动、读取共享、找更有价值的系统）全都发生在内部。所以还需要内网里的检测去覆盖东西向流量。只在边界布防，等于给攻击者留了一段没人看的走廊。

自测三问（点开对答案） 1. 为什么"检测"和"防御"在部署方式上必须区别对待？ —— 因为**它们对误报的容忍度完全不同**。检测站在旁路，误报的后果是**多看一眼**（代价小）；防御串在数据通路上，误报的后果是**把正常业务切断**（代价可能高于漏洞本身），而且**设备自身故障还可能让网络中断**。所以新规则的标准流程是**先在检测模式跑一段时间（常见 7~14 天），确认不会误伤之后再改成阻断**。**顺序颠倒就是用生产业务做试验。** 2. 为什么"告警疲劳"比"漏报"更值得优先解决？ —— 因为**它会让人丧失发现的意愿**。当每天几千上万条告警里绝大部分是噪音时，人会**习惯性跳过**——结果是**连真正的那一条也被跳过**。也就是说，噪音不只浪费了时间，它**直接摧毁了检测系统的有效性**。所以降噪（去重、调规则、按资产裁剪）不是"优化项"，而是**让安全运营能继续下去的前置条件**。 3. 为什么"只在边界部署检测"是无效的？ —— 因为**边界设备只能看到"进出"这条线**，看不到**内部机器之间的通信（东西向流量）**。而攻击者一旦进入内网，绝大部分动作——横向移动、扫描其他机器、读取共享文件、寻找高价值目标——**都发生在内部**。所以只守边界，等于**给了攻击者一进门就没人看见的自由**。正确的做法是**在内网关键位置也部署检测，覆盖东西向流量**。

相关笔记