入侵检测系统（ IDS ）---- 网络摄像头，侧重于风险管理，存在于滞后性，只能够进行风险发现，不能及时制止。而且早期的IDS误报率较高。优点则是可以多点进行部署，比较灵活，在网络中可以进行并联部署，对网络的影响小。
入侵防御系统（ IPS ）
IDS --- 侧重于风险管理的设备
IPS --- 侧重于风险控制的设备
IPS要接入网络中，需要进行串联部署，在后期加入时，可能会影响网络部署，导致流量中断，所以一般来说会提前部署好连接位置。
IPS的优势：
- 实时的阻断攻击
- 深层防护 --- 深入到应用层（IPS和IDS的工作范围都是2~7层）
- 全方位的防护 --- IPS可以针对各种常见威胁做出及时的防御，提供全方位的防护（针对各种的行为）
- 内外兼防 --- 只要是通过设备的流量均可以进行检测，可以防止发自于内部的攻击
- 可以不断升级，精准防护
入侵检测的方法： 异常检测、误用检测
异常检测：
基于一个假定，即用户行为是可以预测的，遵循一致性模式的。例如：一个人每天一般上三次，这是一个假定性的正常规律，可能会有上下的微小浮动，不会被认为异常。但是如果他一天上了100次厕所，则标准偏离过大，则会被入侵检测认为异常。
误用检测：
误用检测其实就是创建了一个异常行为的特征库（常规手段）。 我们将一些入侵行为记录下来，总结成为特征，之后，检测流量和特征库进行对比，来发现威胁。
异常检测和误用检测的对比：
签名
针对网络上的入侵行为特征的描述，将这些特征通过HASH后和报文进行比对。
预定义签名
设备上自带的特征库，这个需要我们激活对应的License（许可证）后才能获取，需要付费。这个预定义签名库激活后，设备可以通过连接华为的安全中心进行升级。
自定义签名
自己定义威胁特征。自定义签名和预定义签名可以执行的动作 ：告警 --- 对命中签名的报文进行放行，但是会记录在日志中阻断 --- 对命中签名的报文进行拦截，并记录日志放行 --- 对命中签名的报文放行，不记录日志
这里以华为的防火墙USG6000V1为例：
注意：这里在进行更改时，一定要注意提交，否则配置不生效。修改的配置需要在提交后重启
模块后生效
总结：
1、在进行IPS模块检测之前，首先需要重组IP分片报文和TCP数据流，以此增加检测的精准性。
2、在此之后需要进行应用协议的识别。这样做主要为了针对特定的应用进行对应精细的解码，并深入报文提取特征。
3、最后，解析报文特征和签名（特征库里的特征）进行匹配。再根据命中与否做出对应预设的处理方案。
![[正则表达式]正则表达式语法与运用(Regular Expression, Regex)](https://img-blog.csdnimg.cn/img_convert/95632b6ab963c68d1a2f29057c7044b6.png)
