入侵偵測研究始於1980年Anderson的威脅模型，1987年Denning提出抽象模型，1988年Morris蠕蟲事件加速IDS發展。二十年來，攻擊手法日益複雜，傳統IDS面臨高誤報、適應性差、大型網路管理難、缺乏主動防禦、缺乏統一評測標準、高速網路效能瓶頸等六大缺陷。下一代IDS需融入智能關聯、告警泛濫抑制、告警融合、可信防禦模型四大關鍵技術。

一、當前IDS六大缺陷

1. 高誤報率：良性流量被誤判，或用戶不關心的事件觸發告警。
2. 適應能力低：千篇一律，難以動態適應異構網路環境。
3. 大型網路管理難：跨區域部署百餘傳感器，需解決架構擴展、告警處理、特徵庫同步更新。
4. 缺乏防禦功能：被動偵測無法主動阻斷攻擊。
5. 無統一評測標準：廠商間難以互操作，升級維護困難。
6. 處理速度瓶頸：千兆/萬兆網路下即時偵測效能不足。

二、下一代IDS四大關鍵技術

1. 智能關聯——降低誤報核心

融合主機層級資訊（作業系統、服務、漏洞狀態）與網路偵測。分為：

• 主動關聯：掃描確認主機漏洞。
• 被動關聯（指紋識別）：分析TCP/IP封包標頭（Window Size、TTL、DF旗標、總長度）識別目標作業系統。例：TTL=64推測Linux/UNIX，TTL=128推測Windows；配合Window Size可進一步區分Linux與OpenBSD。

工作流程：指紋引擎提取SYN標頭特徵 → 查詢特徵庫識別OS → 更新主機資訊表 → 偵測到惡意封包前先比對主機是否存在對應漏洞 → 無漏洞則抑制告警（但記錄供事後追究）。

2. 告警泛濫抑制——解決告警風暴

蠕蟲自我複製導致短時間內海量重複告警（NFR稱「告警飽和」）。下一代IDS在傳感器內建規則引擎（告警類型、來源/目的IP、時間窗），預處理告警：如30秒內同一主機同類攻擊僅告警一次，其餘記錄供統計分析，讓管理員專注高價值事件。

3. 告警融合——從低級別事件發現高級威脅

將多傳感器產生的相關低級告警（如短時間內同源IP掃描強度遞增）融合為高級別元告警。管理員定義元告警相關規則（時間窗、事件數、類型、IP、端口、順序），自動識別攻擊前兆（如滲透偵察），實現早期預警。

4. 可信防禦模型——邁向IPS

2004年起傳統IDS廠商陸續整合防禦功能（IPS）。可信防禦模型核心在於「精準偵測是有效防禦的前提」。下一代IDS融入此模型，可解決第一代IPS的誤報導致合法流量阻斷、自身造成DoS、應用層防禦不足等問題，實現從被動偵測到主動阻斷的質變。

展望

智能關聯與指紋識別奠基準確偵測，告警抑制與融合解決運營痛點，可信防禦模型推動IDS向IPS演進。未來IDS將更智能、自適應、主動防禦，成為網路安全核心基礎設施。