Gartner 指出傳統 IDS 難滿足客戶需求，增加管理複雜度且無法提供額外安全層。IPS (入侵防禦系統) 為必然演進方向，兩者核心差異在於：

特性	IDS	IPS
核心職責	網路監控、審計追蹤、告知安全程度	存取控制、即時阻擋攻擊
運作模式	被動監視 (鏡像端口)	線上串聯 (In-line)
回應機制	TCP Reset、請求防火牆修改規則 (延遲高、易失效)	策略驅動自動丟棄封包/中斷連線

IPS 運作原理

傳感器部署於作用資料路徑，即時檢測惡意碼、比對策略、在封包轉發前阻截。關鍵在於「自動回應」與「線上運作」雙重保障。

檢測引擎與誤判風險

• IDS/IPS 核心價值在檢測引擎
• IPS 最大隱患：主動性誤判阻斷合法流量，影響業務與客戶信任
• 多重檢測法 (狀態特徵、協議異常、後門偵測、Snort 規則引擎等) 降低誤判
• 通訊關聯分析：整合防火牆日誌、IDS 數據、應用日誌、弱點評估，推斷真實威脅。Cisco CTR 技術宣稱可消除 95% 誤報

廠商動向

• ISS RealSecure 整合網路/主機型 IPS，異常協議分析即時阻擋
• NetScreen (OneSecure) 採 ASIC 硬體加速，IPD 100 (200Mbps) / IPD 500 (500Mbps)
• IntruVert (IntruShield) 提供混合 IDS/IPS 方案

選型建議

• IPS 適合阻擋大範圍、非針對性攻擊；針對性攻擊 (APT) 可能失效
• 金融業恐誤判災難性後果，傾向部署 IDS 配合加密儲存
• 評估風險與優勢：重阻擋 vs 重防誤判
• 高安需求機構可採混合 IDS/IPS 方案

市場前景

Infonetics 預測 IDS/IPS 市場 2006 年達 16 億美元。Gartner 視 IPS 為下一代 IDS，甚至可能演變為下一代防火牆。傳統 IDS 仍保有價值 (純監控需求、人工介入習慣)。