Cybersec Wednesday｜淺談入侵防禦系統：網絡安全防線
為了應對網絡入侵威脅，入侵防禦系統（IPS）是一種經常用來檢測、阻止和應對網絡中異常活動和潛在威脅的工具。IPS 通常被視為入侵檢測系統（IDS）的進化版，因為它不僅能夠檢測攻擊，還能夠主動阻止惡意流量，以減少損害。
IPS的運作方式是通過監視網絡流量，根據預定的規則或基準來檢測異常行為。規則可包括已知攻擊的簽名，異常行為模式的分析，以及機器學習等多種技術。而當 IPS 檢測到異常行為時，它可以立即發出警報，並且可以採取自動或手動措施來阻止攻擊。除了偵測和預防攻擊，IPS 還具有應對威脅的能力，能生成警報、記錄事件及通知安全團隊等，並且可以根據預定策略自動執行應對措施，有助快速回應威脅，減少攻擊造成的風險和損害。
在IPS之下亦有細分成多種不同類型，較為人所認識的包括網路入侵防禦系統（NIPS）和主機入侵防禦系統（HIPS）：
網路入侵防禦系統（NIPS）以監視網絡上所有設備的入站和出站流量，以偵測可能的入侵或異常活動。NIPS主要關注整個網絡的流量，以檢測網絡層面的攻擊，如端口掃描、網絡掃描、DoS（拒絕服務）攻擊等。它通常根據預定的規則或簽名來進行攻擊偵測。
主機入侵防禦系統（HIPS）則運行在組織網路的每個主機或裝置上，直接存取網際網路和企業內部網路，具有更廣泛的覆蓋範圍。HIPS的功能包括監視主機的系統活動、文件變化、訪問控制和用戶行為，不僅可以檢測網絡層面的攻擊，還可以檢測主機層面的異常行為。它的作用在於可以識別源自主機本身的惡意流量，例如主機感染了惡意軟體並試圖傳播到其他系統，同時亦可以監視應用程式層面的攻擊，如應用程式漏洞利用。
IPS雖然可以作為獨立工具使用，但它們通常被設計成與其他安全解決方案緊密整合，以形成綜合的網絡安全系統。 IPS警報通常會傳送到組織的安全信息和事件管理系統（SIEM），可以與其他安全工具的警報和資訊組合，允許安全團隊綜合各種威脅情報，過濾錯誤的警報並追蹤IPS活動，以確保威脅得以成功阻止。
IPS是從IDS演變而來的，並且具有許多相同的功能，通常位於防火牆之後，充當着防火牆後的第二道防線。有些防火牆更甚至內建了IPS功能，以提供更強大的安全保護。IPS通過主動監控、檢測和阻止威脅，有助於保護組織的數據和資產免受各種網絡攻擊的危害。
網絡安全在很多方面還需要注意，如有任何疑問歡迎加入我們的 Cybersec Infohub 計劃，讓行業裏的網絡安全專家為你解決，如果你懷疑自己或公司的電腦被駭或有可疑的行為，亦請盡快聯絡網絡安全專家求助。
關於 Cybersec Wednesday
每逢星期三，HKIRC網絡安全團隊都會挑選一個網絡安全主題，以文章、貼士或最佳實踐的形式與大家分享。 請留意每週三的更新，定時掌握最新鮮的網絡安全資訊。
其他文章：
