入侵检测系统

主要功能

• 攻击行为识别
• 旁路部署
• 实时告警
• 事件查询

典型应用场景

• 核心交换区域的流量监测
• 生产控制区边界的异常发现
• 等级保护测评中的检测要求

工作方式

通过交换机镜像口获取网络流量副本，以旁路方式分析通信内容，不串接在业务链路上，因此设备本身故障不会中断业务。识别到扫描、异常连接或攻击特征后产生告警，供运维人员研判处置。

与防火墙的分工

防火墙按策略决定放行或拦截，属于事前控制；入侵检测负责发现已经进入网络的异常行为，属于事中发现。两者定位互补，等级保护相关要求中通常都需要配置。

选型说明

主要看需要监测的网络带宽和并发连接规模，以及是否需要与安全管理平台对接告警。建议在方案阶段提供网络拓扑与镜像口条件。

典型部署

• 以旁路方式接入核心交换区域或需要监测的网段，通过交换机镜像口获取流量副本，不串接在业务链路上。