入侵檢查

入侵檢查（Intrusion Detection），亦稱入侵檢測，是計算機與網路安全領域的一項核心技術。它通過持續監控並分析網路流量、系統日誌等信息，自動識別潛在的惡意活動或違反安全策略的行為，如外部攻擊與內部誤用。其系統主要分為基於網路（NIDS）和基於主機（HIDS）兩大類，分別監控網路流量和主機內部活動。檢測技術主要包括基於特徵（誤用）的檢測和基於異常的檢測，前者匹配已知攻擊模式，後者識別偏離正常行為模型的異常。該概念於20世紀80年代被提出，隨著網路攻擊的複雜化，相關係統與技術得到持續發展和廣泛套用。

基本介紹

• 中文名：入侵檢查
• 外文名：intrusion detection
• 別名：入侵檢測

發展歷程

入侵檢測技術（IDS）的發展始於20世紀80年代，其概念最早由James P. Anderson於1980年提出。1985年，Dorothy Denning提出了第一個實時入侵檢測專家系統模型（IDES），成為該領域的重要里程碑。

1990年，L.T. Heberlein等人開發了NSM（Network Security Monitor），標誌著基於網路的入侵檢測系統（NIDS）正式誕生，自此形成了基於主機（HIDS）和基於網路（NIDS）的兩大技術陣營。此後，入侵檢測技術在兩大陣營的基礎上持續演進，衍生出基於異常和基於誤用（特徵）等多種檢測技術。

在中國，入侵檢測系統行業的發展可追溯至2000年前後的萌芽與引進期，隨後經歷了本土化成長期（“十二五”至“十三五”），目前已進入智慧型化與協同化發展期（“十四五”至今）。

運營模式

入侵檢測系統通常採用旁路部署方式接入網路，通過TAP或SPAN連線埠分析網路流量副本，不影響信息傳送者和接收者之間的實時通信路徑。根據網路規模的不同，入侵檢測系統有三種部署場景：小型網路、中型網路和大型網路。

入侵檢測系統的配置方法主要包括定義檢測規則、設定閾值以及配置回響策略。回響策略包括發出警報、阻斷攻擊源等措施。

入侵檢測系統可與防火牆、入侵防禦系統(IPS)、安全信息和事件管理(SIEM)系統等安全組件協同工作，共同構建更完善的網路安全防護體系。主機入侵檢測系統與網路入侵檢測系統互補，共同構建縱深防禦體系。

在雲計算環境中，基於雲的入侵檢測系統對於保護雲工作負載至關重要。主機入侵檢測是滿足雲環境責任共擔模型下用戶安全責任的核心工具，提供對雲主機內部安全事件的可見性和保護。

影響與趨勢

入侵檢測系統（IDS）作為網路安全主動防禦體系的核心環節，對於安全生態系統非常重要，已成為保衛網路安全不可或缺的安全設備之一。

中國IDS行業經歷了萌芽與引進期、本土化成長期到智慧型化與協同化發展期的演進，“十五五”時期將是該行業從“合規必備”走向“能力核心”的關鍵五年。

政策法規、威脅態勢升級、技術變革以及數位化場景拓展共同構成了市場的主要增長動力。

人工智慧（AI）與機器學習成為檢測的核心引擎，能夠實現對海量網路流量和日誌數據的深度學習和關聯分析，提升對未知威脅的檢測能力，並實現檢測、研判、回響的自動化閉環。

單一產品競爭力減弱，能夠與擴展檢測與回響（XDR）、安全中台等集成的平台型IDS，以及託管檢測與回響（MDR）等服務模式更受青睞。

威脅情報的質量、實時性和集成度，成為衡量IDS效能的關鍵指標。

IDS能力與DevOps流程結合，實現安全檢測在開發階段的“左移”。

檢測場景從傳統企業網路不斷向雲計算環境、工業網際網路/工控系統、物聯網/車聯網等新興領域延伸。

新興技術如人工智慧、大數據分析、機器學習等，正為入侵檢測技術帶來前所未有的發展機遇，能夠實現對網路流量和系統活動的智慧型分析、對海量數據的快速處理，並自動從數據中學習和提取特徵。