Suricata-IDS与IPS

Thank Zhihao Tao for your hard work. The document spent countless nights and weekends, using his hard work to make it convenient for everyone.
If you have any questions, please send a email to zhihao.tao@outlook.com

1. 简述

Suricata引擎能够进行实时入侵检测(IDS)、入侵预防(IPS)、网络安全监控(NSM)。Suricata使用强大而广泛的规则和签名语言来检查网络流量。

• 官网地址
• 代码链接
• 用户手册（英文）
• 用户手册（中文）

2. 入侵检测系统(IDS)

依照一定的安全策略，对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或者攻击结果，以保证网络系统资源的机密性、完整性和可用性。

IDS入侵检测系统是一个旁路监听系统，没有也不需要跨接在任何链路上，无须网络流量流经它便可以工作。因此，对IDS的部署的唯一要求是：IDS应当挂接在所有所关注的流量都必须流经的链路上。

IDS在网络中的位置一般选择为：尽可能靠近攻击源、尽可能靠近受保护资源。这些位置通常是：

• 服务器邻接的交换机（或旁路其流量）；
• Internet接入路由器之后的第一台交换机（或旁路其流量）；
• 重点保护网段的局域网交换机（或旁路其流量）。

3. 入侵防御系统(IPS)

IPS可以深度感知并检测流经的数据流量，对恶意报文进行丢弃以阻断攻击，对滥用报文进行限流以保护网络带宽资源。

对于部署在数据转发路径上的IPS，可以根据预先设定的安全策略，对流经的每个报文进行深度检测（协议分析跟踪、特征匹配、流量统计分析、事件关联分析等），如果一旦发现隐藏于其中网络攻击，可以根据该攻击的威胁级别立即采取抵御措施，这些措施包括（按照处理力度）：

1. 向管理中心告警；
2. 丢弃该报文；
3. 切断此次应用会话；
4. 切断此次TCP连接。

4. IPS与IDS的区别、选择

• IPS位于防火墙和网络的设备之间。如果检测到攻击，IPS会在这种攻击扩散到网络的其它地方之前阻止这个恶意的通信。
• IDS只是起到报警的作用。

IPS检测攻击的方法也与IDS不同：

• IPS系统都依靠对数据包的检测。IPS将检查入网的数据包，确定这种数据包的真正用途，然后决定是否允许这种数据包进入你的网络。
• IDS对数据流进行检测。