3.2 IDS/IPS 与 EDR：从报警到处置

3.2 IDS/IPS 与 EDR：从报警到处置

本节摘要：IDS（入侵检测系统）旁路监听并报警，IPS（入侵防御系统）串联阻断，EDR（端点检测与响应）在主机内部观察进程行为并支持远程处置。三者的演进主线是检测点不断前移：从网络线路到主机内核，从"看见"到"看见并动手"。本节拆解三者的检测逻辑、规则样例与各自的盲区。承接 3.1 节的边界视角，本节的器械回答的是防火墙答不了的问题——门内已经有人了怎么办。

门锁不管屋里的动静

防火墙的全部判断依据是"该不该放这条连接进来"，它对放进来之后的流量内容、对主机上发生的行为没有感知。第 2 章的攻击展品恰好大量利用这个盲区：钓鱼邮件把木马从合法的邮件通道送进来，注入载荷坐在放行的 HTTPS 流量里，失陷主机主动向外连 C2 服务器——这些都是"合法连接"，边界无事发生。

检测类器械因此应运而生，且分化成两个观察点：站在网络线路上看的 IDS/IPS，和站在每台主机内部看的 EDR。两套视角互为补充——网络视角看不到加密内容和主机内部，主机视角看不到跨主机的流量关系。

验明正身：IDS 与 IPS 的一字之差

IDS（Intrusion Detection System）与 IPS（Intrusion Prevention System）的检测引擎几乎一样，差别在部署位置与处置权力：IDS 旁挂在镜像流量上，只能看只能喊；IPS 串在流量路径上，看得见也拦得下。这个差别比听起来大——

IDS 的优势是零风险引入：旁路部署不会增加任何业务时延，规则误报的代价只是一封告警邮件。代价是"事后知道"：报警到达时，攻击流量已经过去了。IPS 反过来：能实时掐断，但每一份误报都是一次真实的服务中断，所以上 IPS 的团队必须先有能力消化误报，否则等于雇了一个随时乱拔网线的保安。

看一条经典的 Snort 风格检测规则，感受检测语言的精度：

alert tcp $EXTERNAL_NET any -> $HOME_NET 8080  (msg:"疑似 struts2 命令执行探测";
 flow:to_server,established; content:"%{"; content:"#ctx";
 pcre:"/(ognl|java\.lang\.Runtime)/i"; sid:9000123; rev:2;)
# 含义: 外网到 8080 端口的请求中, 同时出现 OGNL 表达式特征
#       与运行时调用特征 → 报警(IPS 模式下直接丢弃该连接)
​

规则语言表达的是"特征"：已知攻击的指纹。特征检测的优点是误报率可控、可解释；缺点也显然——只认识见过的指纹。于是出现了另一条检测路线：行为与异常检测。它不背指纹，而是给正常状态建基线（这台服务器平时每小时出站 50 兆、只连三个已知地址），偏离基线的就起疑（今夜出站两 GB、新连了一个陌生国家的地址）。特征检测抓惯犯，异常检测抓新面孔，两者在现代产品里通常是混编的。

验明正身：EDR 把哨兵派进每台主机

**EDR（Endpoint Detection and Response）**的观察点再进一步——直接装在操作系统内核旁边，看进程的出生与死亡、看谁注入了谁、看哪个office进程突然开始执行脚本、看凭据存储被谁读取。这些动作在网络侧完全不可见，却恰恰是 2.4 节 APT 横移阶段的必经动作。

EDR 的"R"（响应）同样重要：发现失陷主机后，可以在控制台一键把它隔离——断网但保持管理通道，让分析师远程取证。处置从"冲到机房拔网线"变成"三十秒内化学隔离"，这在勒索软件横行的年代是按分钟计价的差异。

三件器械的分工与盲区，一张图收拢：

工程实践要点

告警运营比购买决策重要。 检测器械的真实产出不是"报警"，是"可信的报警"。没有专职人员跟进的 IDS 上线三个月后就会沦为没人看的噪音发生器——这就是 3.3 节 SIEM 与安全运营存在的理由：把告警汇聚、分诊、闭环。买器械前先问自己"谁来处理它产生的告警"，答案空缺就先补人。

检测规则要跟着业务调。 通用的规则包开箱即用，但每个业务的"正常"不一样：开发团队天天传大文件，媒体团队天天连图床。前两周的告警要当成"教学样本"逐条标注——真威胁、误报、可忽略——据此关掉噪音规则、收紧高价值规则。规则调优是持续过程，不是上线动作。

⚠️ 常见坑：把 EDR 当杀毒软件。传统杀毒做的是文件查杀（比对已知恶意文件），EDR 做的是行为分析（看进程在干什么）。拿 EDR 的病毒扫描引擎当主要功能，等于买了显微镜只用来照镜子。

💡 关键直觉：IDS 与 IPS 的选择本质是组织成熟度的选择——告警都没人看的团队上 IPS，等于把没人处理的噪音升级成服务中断。检测能力先在旁路模式里练熟，再考虑串联。

鉴定结论

• IDS 旁路报警、IPS 串联阻断、EDR 深入主机，三者的差异是观察点与处置权的差异；
• 特征检测与行为检测混编是现代检测的标配：前者抓已知，后者抓未知；
• 检测器械的价值上限取决于告警运营能力，而不是检测引擎的先进程度；
• 告警一多就需要枢纽——下一节鉴定日志的汇聚中枢 SIEM，以及另类的情报来源：蜜罐。

附卷：一条告警的解剖报告

拿一条真实形态的告警走一遍分诊，看检测器械的产出如何变成动作：

告警原文: 主机 10.0.4.21 检测到 powershell 进程发起出站连接
          目标: cdn-stat.example.xyz:443  置信: 中
分诊第一步 定资产: 10.0.4.21 是市场部一台笔记本, 属办公域, 非特权资产
分诊第二步 看上下文: 该主机近三十天首次连此域名; 域名注册时间九天前
分诊第三步 看进程血缘: office 文档打开后拉起 powershell —— 高危组合
分诊第四步 定级: 命中"文档拉解释器加新域名外联"场景, 定为 P2 可疑
分诊第五步 处置: 隔离主机, 回溯该域名近七天全网命中, 通知用户部门
​

五步走完，告警从"一行字"变成了"有定级、有动作、有回溯"的处置单。注意第二步和第三步的信息都不是告警自带的——它们来自资产清单（1.3 节）与 EDR 的进程记录。分诊的质量取决于上下文的丰富程度，这就是为什么告警运营强依赖资产数据与日志汇聚（3.3 节）。

误报的常见来源也值得列成清单，分诊时按图索骥可以省下大量时间：安全扫描器自己的探测动作（扫源 IP 建白名单）、运维批量脚本被误判为异常执行（变更窗口登记）、营销群发导致的"突增"类误判（业务日历对照）。把这三类来源的前馈规则建好，告警噪音通常能降一半——这比招更多人看告警便宜得多。

附卷二：检测规则的生命周期管理

检测规则和代码一样有生命周期，放任不管会从资产变成负债：

出生: 规则上线必带"试用期"标签, 两周内统计命中率与误报率
调优: 误报来源归类(扫描器/运维脚本/业务高峰), 逐类加排除条件
转正: 试用期数据达标, 移入正式规则集并指定属主
退役: 连续两季度零命中且威胁面已消失的规则, 降级为低频审计模式
复盘: 每次真实事件后回问 —— 哪条规则本应早响? 缺的规则当场补
​

生命周期最容易被忽略的是"退役"：规则库只增不减，几年后 hundred 条规则里一半早已不匹配现网环境，噪音与遗漏同时发生。季度规则盘点时用两个问题过每条规则——"它针对的威胁还在吗""它的判定条件还符合现网吗"。规则有属主、有试用期、有退役机制，检测体系才是一个活的有机体，而不是一份不断变长的遗物清单。