明御入侵检测系统IDS
来源：
7.公司产品/0.思维导图/明御入侵检测系统IDS.xmindtmp/xmind/明御入侵检测系统IDS-outline.json明御入侵检测系统V2.0R78产品白皮书-01.docx明御入侵检测系统V2.0R79招标参数-张宇卓-20260114.docx- 网络安全整体结构理解图
0. 产品介绍思路
接着 明御入侵防御系统IPS 往下讲，IPS 强调“串联阻断”，IDS 强调“旁路检测、告警、审计和取证”。客户如果暂时不想改变网络链路，或者更关心全流量可视、攻击发现、事后追溯和 PCAP 证据，就适合讲 IDS。
明御入侵检测系统在资料里也叫 NTA，本质是全流量安全分析与入侵检测产品。它通过镜像流量采集、协议解析、文件还原、威胁检测、情报碰撞、机器学习、加密流量检测、两高一弱检测和场景化分析，发现 Web 攻击、恶意代码、远控、漏洞利用、隧道通信、弱口令、C2、勒索、钓鱼等风险。它自身不以串联阻断为默认方式，但可以联动 WAF、防火墙、EDR，或者启用旁路阻断能力完成处置。
在等保 2.0 里，IDS 主要支撑关键网络节点的入侵防范、恶意代码检测、网络攻击行为分析、监测预警、安全审计和取证溯源。部署位置一般是互联网出口、核心/汇聚交换、DMZ、数据中心、服务器区、分支出口和云环境关键流量镜像点；部署方式以旁路镜像、探针/管理节点、分布式、多地部署、PCAP 回溯联动、日志外发和联动阻断为主。
1. 一句话总览
明御入侵检测系统 IDS 是旁路流量侧的全流量安全分析与入侵检测平台：通过采集镜像流量，对网络中的已知威胁、未知威胁、Web 攻击、恶意代码、远控、漏洞利用、隧道通信、两高一弱、加密流量和 APT 攻击链进行检测、告警、审计、取证和联动处置。
通俗记忆：
IDS = 旁路看全流量 + 发现入侵 + 告警分析 + PCAP取证 + 联动阻断它不是默认串联阻断设备。它更像网络里的“入侵观察哨”和“取证摄像头”，重点是把发生过什么、谁攻击谁、攻击是否成功、证据在哪里说清楚。
2. 产品是干什么用的
IDS 主要解决五类问题：
| 客户问题 | 产品做法 | 输出结果 |
|---|---|---|
| 网络流量复杂，攻击行为隐蔽 | 旁路采集全流量，做流量重组、协议识别、协议解析、文件还原 | 审计日志、告警日志、流量行为视图 |
| 新型攻击和未知威胁难发现 | 用特征库、深度检测规则、机器学习、威胁情报和云端分析检测流量 | Web 攻击、C2、远控、勒索、钓鱼、漏洞利用等告警 |
| 扫描发现不了实时风险 | 通过被动流量发现高危漏洞利用、高危端口暴露和弱口令 | 两高一弱发现清单和整改线索 |
| 事件发生后缺少证据 | 联动数据包存储回溯系统，按 IP、端口、时间检索并下载 PCAP | 取证材料、PCAP、威胁分析报表 |
| 告警太多不好研判 | 场景化分析、鹰隼 AI 引擎、安全事件聚合、MSS/智能体研判 | 攻击者/受害者视角、安全事件、处置建议 |
一句话定位：不改变业务链路，通过镜像流量把攻击检测、审计取证和联动响应能力补起来。
3. 在等保 2.0 里哪里体现
IDS 在等保 2.0 中主要体现于 入侵防范、恶意代码检测、网络攻击行为分析、监测预警、安全审计和取证溯源。
| 等保相关方向 | IDS 对应能力 | 怎么理解 |
|---|---|---|
| 入侵防范 | 在关键网络节点旁路采集流量，检测内外部攻击 | 发现 Web 攻击、漏洞利用、暴力破解、隧道通信、远控等 |
| 恶意代码检测 | 对流量和文件做情报检测、恶意代码检测、勒索和钓鱼分析 | 发现恶意文件、远控、木马回连和垃圾邮件风险 |
| 新型攻击行为分析 | 机器学习、深度检测、加密流量检测、APT 攻击链覆盖 | 支撑三级/四级常见的新型攻击分析要求 |
| 监测预警 | 告警、报表、MSS 联动、智能体研判、日志外送 | 为安全团队提供持续监测和预警能力 |
| 安全审计 | 审计日志、告警日志、双向流量审计、协议解析 | 记录网络中发生了什么 |
| 取证溯源 | PCAP 回溯、攻击者/受害者视角、场景化分析 | 为复盘、追责、整改提供证据 |
注意边界：
Important
IDS 核心是检测、预警、审计和取证，不是默认串联阻断设备。实时封堵通常要联动防火墙、WAF、EDR，或启用旁路阻断能力。
4. 产品功能有几个大的功能模块
按 XMind、白皮书和招标参数，可以记成 8 个大功能模块：
| 模块 | 作用 |
|---|---|
| 流量采集与协议解析 | 采集全流量，完成流量重组、协议识别、协议解析、文件还原和双向流量审计 |
| 全流量威胁检测 | 检测 Web 攻击、异常流量、威胁情报命中、恶意代码、远控、勒索、DDoS、扫描等 |
| 两高一弱检测 | 通过被动流量实时发现高危漏洞利用、高危端口暴露和弱口令利用 |
| 加密流量检测 | 支持证书私钥、Agent 获取密钥、Hook 技术和 AI 模型识别加密攻击、后门工具和隧道通信 |
| 自定义检测分析 | 发现邮件敏感信息传输、异常登录、违规连接、网络会话异常、周期类/特征类异常攻击 |
| 综合研判与安全事件分析 | 通过场景化分析、鹰隼 AI、攻击者/受害者视角、聚类和事件聚合降低告警噪声 |
| PCAP 回溯取证 | 联动数据包存储回溯系统，按 IP、端口、时间检索并下载 PCAP 证据 |
| 联动处置与外送 | 支持 MSS 联动、WAF/防火墙/EDR 联动、旁路阻断、Syslog/Kafka/短信/钉钉/邮件等外送 |
也可以简化成四层架构：
流量采集层 -> 威胁检测层 -> 分析取证层 -> 联动处置层5. 产品部署在哪里
结合网络结构图，IDS 应部署在 能拿到关键镜像流量的位置，通常不串联业务链路。
常见位置：
- 互联网出口 / 边界区：通过镜像流量发现外部攻击、扫描、DDoS、C2、勒索、钓鱼等。
- 核心交换 / 汇聚层：汇聚全网关键流量，适合做全流量分析和攻击链关联。
- DMZ 区域：检测公网 Web、邮件、API、代理、堡垒机等对外服务的攻击流量。
- 数据中心 / 服务器区：检测业务系统、数据库、中间件、服务器之间的攻击和横向移动。
- 办公区 / 终端区：发现弱口令、异常登录、挖矿、远控、违规外联和终端失陷行为。
- 分支出口：分支本地部署探测器，总部或管理节点集中分析。
- 云环境：通过云镜像流量、Agent 或流量转发方式采集云上关键流量。
记忆图：
关键镜像流量点
├─ 互联网出口：外部攻击、扫描、C2、钓鱼、勒索
├─ 核心/汇聚交换：全网流量总览和攻击链关联
├─ DMZ：公网Web、邮件、API、代理服务
├─ 数据中心/服务器区：业务系统攻击、横向移动、漏洞利用
├─ 办公区/终端区：弱口令、异常登录、挖矿、违规外联
├─ 分支出口：探测器采集，总部集中分析
└─ 云环境：镜像流量、Agent或转发方式采集6. 产品部署方式有哪些
| 部署方式 | 适用场景 | 记忆点 |
|---|---|---|
| 旁路镜像部署 | 最常见部署方式 | 从交换机镜像口采集流量，不串联业务链路 |
| 探测器 + 管理节点 | 多区域、多链路、多分支 | 管理节点统一管理下级探测器并接收检测流量 |
| 分布式部署 | 大型网络、多地部署 | 多节点、多地部署，灵活扩展 |
| PCAP 回溯联动 | 需要取证、审计、复盘 | 联动数据包存储回溯系统，检索下载原始数据包 |
| 旁路阻断 | 不串联但希望应急切断会话 | 对指定风险告警发送阻断包，切断后续会话 |
| 安全设备联动 | 需要从告警走向处置 | 联动 WAF、防火墙、EDR 做阻断或封堵 |
| MSS/智能体联动 | 客户缺少专家研判能力 | 7x24 专家研判或告警研判/解读智能体辅助分析 |
| 日志外送 | 接入 SOC/SIEM/监管平台 | Syslog、Kafka、短信、邮件、企业微信、钉钉等外发 |
核心部署口径：
IDS通常旁路部署；
流量来自交换机镜像口；
大规模场景用管理节点+探测器；
需要证据就联动PCAP回溯；
需要处置就联动WAF/防火墙/EDR或启用旁路阻断。7. 新人速记
明御入侵检测系统IDS
├─ 是什么：旁路流量侧的全流量安全分析与入侵检测平台
├─ 干什么：看全流量、识别协议、发现Web攻击/恶意代码/C2/弱口令/加密攻击
├─ 等保作用：入侵防范、恶意代码检测、新型攻击分析、监测预警、安全审计、取证溯源
├─ 功能模块：流量采集、威胁检测、两高一弱、加密流量、自定义分析、事件研判、PCAP回溯、联动处置
├─ 部署位置：互联网出口、核心/汇聚、DMZ、数据中心、办公区、分支、云
├─ 部署方式：旁路镜像、探测器+管理节点、分布式、PCAP回溯、旁路阻断、设备联动、MSS/智能体、日志外送
└─ 产品边界：重点是检测告警和取证，默认不串联；实时阻断要靠联动或旁路阻断8. 一句话复述
明御入侵检测系统 IDS 是部署在关键镜像流量点的全流量安全分析与入侵检测平台，通过协议解析、威胁检测、两高一弱、加密流量检测、场景化分析、PCAP 回溯和联动处置，帮助客户在不改变业务链路的情况下发现入侵、形成告警、留存证据，并支撑等保 2.0 的监测预警、入侵防范、恶意代码检测、安全审计和新型攻击行为分析要求。