核心 IDS 類型比較
| 類型 | 全稱 | 監測對象 | 典型部署 |
|---|
| NIDS | Network Intrusion Detection System | 網路封包流量 | 鏡像埠、Hub、網路分流器 |
| HIDS | Host-based IDS | 系統呼叫、檔案完整性、日誌 | 關鍵主機 Agent |
| SIV | System Integrity Verifiers | 關鍵檔案/登錄異動 | Tripwire 等工具定期掃描 |
| LFM | Log File Monitors | 服務日誌關鍵字 | Syslog 伺服器、Swatch |
| Honeypots | 蜜罐/誘餌系統 | 攻擊者互動行為 | 隔離網段模擬脆弱服務 |
入侵者分類與手法
內部 vs 外部威脅
統計顯示 80% 入侵源自內部：濫用權限、社交工程竊取帳號、實體接觸設備。外部攻擊者則經偵察、掃描、漏洞利用三階段滲透。
三大入侵途徑
- 實體入侵： 直接操作主機、竊取硬碟離線分析
- 本地提權： 利用未修補漏洞從低權限帳號昇級
- 遠端滲透： 掃描開放服務 → 漏洞利用 → 植入後門
常見系統脆弱點成因
軟體缺陷
- 緩衝區溢位：輸入長度未驗證
- 非預期組合利用：跨層注入（如 Perl 呼叫 shell 傳遞
/etc/passwd）
- 輸入未驗證：缺乏白名單過濾
- 競爭條件：多執行緒檔案操作未加鎖
配置疏失
- 預設配置過於寬鬆
- 管理帳號空密碼或弱密碼
- 測試埠口未關閉
- 過度信任關係（單點突破導致橫向移動）
認證體系弱點
- 弱密碼、字典攻擊、暴力破解
- 明文協定（Telnet、FTP、HTTP Basic）被竊聽
- 重放攻擊繞過加密驗證
- 密碼檔案（
/etc/shadow、SAM）被竊取離線破解
網路協定固有缺陷
TCP/IP 早期設計未考慮惡意環境：IP 欺騙、SYN Flood、ICMP 重導向、Smurf 攻擊等。IPSec 為後續補強方案。
實務部署建議
- 分層防禦： 網界 NIDS + 關鍵主機 HIDS + 檔案完整性監控
- 日誌集中化： 統一收集 Syslog、Windows Event Log，配置關鍵字告警
- 蜜罐佈署： 內網關鍵區段部署低互動蜜罐，早期發現側向移動
- 定期演練： 紅隊演練驗證偵測規則有效性，調整誤報/漏報閾值