Scorecard制品签名链路拓扑监测与可视化 - 第2节

2.1 IDP 的定义与核心价值

入侵检测与防御系统（Intrusion Detection and Prevention System，IDP）是一种主动网络安全设备或软件，它实时监控网络流量与系统活动，自动识别恶意行为、攻击模式或策略违规，并在检测到威胁时执行阻断、告警或日志记录等响应动作。IDP 融合了传统入侵检测系统（IDS）的监控能力与入侵防御系统（IPS）的实时阻断能力，形成“检测‑防御”一体化闭环。

2.2 工作原理：从流量采集到防御动作

IDP 的工作流程可概括为四个连续阶段：流量采集 → 协议解析 → 签名匹配/行为分析 → 响应执行。下图展示了 IDP 内部的核心处理链路：

2.2.1 流量采集与协议解析

IDP 通过端口镜像（SPAN/RSPAN）、分光器（TAP）或网络分流器获取原始流量。采集到的数据包经过 TCP 流重组、IP 分片重组和应用层协议解码（HTTP、SMTP、DNS、SMB 等），还原出完整的会话上下文。协议解析的深度直接影响后续签名匹配的准确性。

2.2.2 签名匹配与行为分析

IDP 使用两种互补的检测技术：

• 基于签名的检测：将解析后的流量特征与签名库中的攻击模式进行精确匹配。匹配方式包括字符串匹配、正则表达式、字节序列比对等。优点是误报率低，缺点是无法检测未知攻击（零日漏洞）。
• 基于行为的检测：建立正常流量基线，通过统计模型、机器学习或协议异常分析识别偏离基线的行为。例如：DNS 隧道检测、DGA 域名识别、异常端口扫描等。优点是可发现未知威胁，缺点是可能产生较多误报。

2.2.3 响应执行

当 IDP 判定流量为攻击时，执行以下一种或多种响应动作：

2.3 核心组件：传感器、分析引擎与签名库

IDP 系统由三个核心组件构成，它们协同工作以实现高效的威胁检测与防御。下图展示了组件之间的逻辑关系：

2.3.1 传感器（Sensor）

传感器是 IDP 的“眼睛”和“耳朵”，负责从网络链路中捕获原始数据包。传感器通常部署在关键网络边界（如互联网出口、数据中心核心、分支机构上联链路）。主要功能包括：

• 流量捕获：通过硬件旁路（Bypass）或软件驱动实现线速抓包，支持 1Gbps ~ 100Gbps 吞吐。
• 数据预处理：完成数据包校验、去重、分片重组、TCP 流排序，并将标准化后的会话元数据传递给分析引擎。
• 负载均衡：在多核或多传感器场景下，将流量均匀分发到多个分析实例，避免单点瓶颈。

2.3.2 分析引擎（Analysis Engine）

分析引擎是 IDP 的“大脑”，承担最核心的检测逻辑。它接收传感器预处理后的数据，执行以下任务：

2.3.3 签名库（Signature Database）

签名库是 IDP 的“知识库”，存储已知攻击的特征模板。每条签名通常包含以下字段：

• 签名 ID：全局唯一标识，用于日志关联与溯源。
• 协议与方向：指定匹配的协议（如 HTTP、TCP）和流量方向（客户端→服务器）。
• 匹配条件：字符串、正则表达式、字节偏移、载荷长度、协议字段值等。
• 严重等级：Critical / High / Medium / Low，决定默认响应动作。
• 参考信息：CVE 编号、漏洞描述、修复建议。

2.4 组件协作与数据流

三个核心组件通过以下数据流协同工作：

1. 传感器从网络链路捕获原始数据包，完成预处理后发送给分析引擎。
2. 分析引擎调用协议解析器解码应用层数据，然后同时执行签名匹配和行为分析。
3. 匹配过程中，分析引擎实时查询签名库获取攻击特征；行为分析则依赖本地基线模型。
4. 分析引擎根据匹配结果和策略配置，生成响应动作（阻断/告警/记录），并将事件日志发送至管理平面。
5. 管理平面负责签名库更新、策略下发、日志聚合与可视化展示。