2、利用 Wazuh 和 Suricata 进行入侵检测

利用 Wazuh 和 Suricata 进行入侵检测

在当今数字化时代，各类组织都越发重视保护其数字环境。随着技术的发展和数字系统重要性的提升，网络威胁也在迅速升级。组织需要采取主动的网络安全措施，部署既能预防又能检测威胁或入侵的机制和可见性控制。

1. 什么是入侵检测系统（IDS）

IDS 通过监控网络流量、系统日志和其他相关信息，来识别和分析与已知威胁或异常行为相关的模式和特征。其主要目标是检测潜在威胁或违规行为，并向安全管理员发出警报。当 IDS 识别出可疑行为或模式时，会生成警报，通知安全团队采取适当行动。

1.1 IDS 的类型

主要有两种类型的 IDS：网络入侵检测系统（NIDS）和基于主机的入侵检测系统（HIDS）。它们的区别如下表所示：
| 类型 | 监控范围 | 位置 | 检测重点 | 常用工具 |
| ---- | ---- | ---- | ---- | ---- |
| NIDS | 在网络层面工作，监控不同设备之间的数据传输，查找可能表明入侵的异常行为或事件 | 在网络基础设施的一个或多个中心位置运行，监控和分析通过这些点的流量 | 检测网络攻击和异常，如端口扫描、DoS 攻击、入侵尝试等 | Suricata、Snort |
| HIDS | 直接安装在主机上，监控日志文件、系统调用、文件完整性和其他特定于主机的文件，以查找异常活动 | 在单个主机或设备上本地运行，关注该机器特有的操作 | 监控主机活动，检测未经授权的访问、文件系统更改、关键系统文件修改和可疑进程或行为 | Wazuh、OSSEC |

2. 什么是 Suricata

Surica