# IDS 与 IPS

IDS 与 IPS 是常见的防护设备，IPS 相对 IDS 的不同点在于，IPS 通常具有阻断能力。

# 常见入侵点

• Web 入侵
• 高危服务入侵

# 监控实现

# 客户端监控

• 监控敏感配置文件

• 常用命令 ELF 文件完整性监控

  • ps
  • lsof
  • ...

• rootkit 监控

• 资源使用报警

  • 内存使用率
  • CPU 使用率
  • IO 使用率
  • 网络使用率

• 新出现进程监控

• 基于 inotify 的文件监控

# 网络检测

基于网络层面的攻击向量做检测，如 Snort 等。

# 日志分析

将主机系统安全日志 / 操作日志、网络设备流量日志、Web 应用访问日志、SQL 应用访问日志等日志集中到一个统一的后台，在后台中对各类日志进行综合的分析。

# 参考链接

• 企业安全建设之 HIDS
• 大型互联网企业入侵检测实战总结
• 同程入侵检测系统
• Web 日志安全分析系统实践
• Web 日志安全分析浅谈
• 网络层绕过 IDS/IPS 的一些探索