防火墙入侵检测

凌晨三点，防火某金融公司的墙入侵检安全运维老张被手机震醒。告警平台显示，防火防火墙拦截了一串来自境外IP的墙入侵检扫描流量，目标端口是防火3389。他眯着眼看了一眼，墙入侵检关掉通知，防火翻了个身继续睡——这种扫描每天有上万次，墙入侵检防火墙自己就能挡掉，防火不值得大惊小怪。墙入侵检真正让他心跳加速的防火，是墙入侵检三天后另一条告警：内网一台数据库服务器，在凌晨两点悄悄向外部地址发起了一条加密连接。防火防火墙没拦，墙入侵检因为它用的防火是443端口，看起来像普通HTTPS流量。

这就是入侵检测最尴尬的地方。防火墙是个守门员，它能拦住明显带着恶意的大块头流量，但对那些伪装成正常通信的小动作，几乎无能为力。攻击者早就学会了把恶意代码塞进加密隧道里，或者用合法凭证登录你的系统，再慢慢横向移动。你盯着防火墙日志看一整天，看到的全是千篇一律的端口扫描和暴力破解尝试，真正的入侵反而藏在那些“正常”的流量里。

我见过太多企业把防火墙规则配得密不透风，却依然被攻破。原因很简单：防火墙是静态的，它只知道“允许”或“拒绝”，但不知道“这个行为是否合理”。比如，一个财务人员的工作时间明明是朝九晚五，他的账号却在周日凌晨三点从异地登录，并开始批量下载客户数据——防火墙会放行，因为规则里写着“允许该IP访问数据库”。可这合理吗？显然不合理。入侵检测系统（IDS）存在的意义，就是捕捉这种“不合理”。

但IDS也不是万能的。传统的特征检测，靠比对已知攻击的签名来报警，就像拿着通缉令抓人，遇到新面孔就抓瞎。现在的攻击者随便改几个字节，就能绕过签名库。更麻烦的是误报——系统把正常行为当成攻击，一天弹出几千条告警，运维人员疲于奔命，最后干脆把告警静音。我认识一个安全工程师，他管的那套IDS每周产生两万条告警，真正需要处理的不到十条。他苦笑着说：“这玩意儿不是帮我省事，是给我添乱。”

真正有效的做法，是把防火墙和入侵检测当成一个整体来用，而不是两个割裂的盒子。防火墙负责粗粒度过滤，把明显可疑的流量挡在门外；IDS负责细粒度分析，盯着防火墙放行的那部分流量，寻找异常行为模式。比如，用户代理字符串突然变了，访问频率和平时不一样，或者内部主机开始主动连接外部陌生IP——这些信号单独看都不致命，但组合在一起，往往就是入侵的前兆。

我有个客户，他们的安全团队把防火墙日志和IDS告警做了关联分析，发现攻击者通过钓鱼邮件拿到了一台员工电脑的权限，然后用这台电脑作为跳板，在内网里扫描其他主机。防火墙没拦住这些内网流量，因为规则默认信任内部通信。但IDS检测到这台电脑在非工作时间频繁发起SMB连接，而且目标IP的分布范围极广——这不符合正常办公行为。系统自动触发响应，切断了这台电脑的网络访问权限。事后复盘，如果不是这个关联检测，攻击者很可能在几周内就摸到核心数据库。

说到底，防火墙和入侵检测不是替代关系，而是互补关系。防火墙是门卫，IDS是监控摄像头。门卫能拦住带着刀的人，但拦不住那些看起来像访客、实则来踩点的小偷。摄像头能记录下小偷的一举一动，但没法阻止他进入大楼。只有两者配合，门卫看到摄像头里有人行为异常，提前警觉，才能真正防住入侵。技术再先进，也逃不开这个朴素的逻辑。