服务器入侵防御系统

```html

去年秋天，服务一家做跨境电商的器入侵防客户被拖进了一场持续三天的拉锯战。攻击者没用什么零日漏洞，御系就是服务拿泄露的VPN账号登进了内网，然后像逛超市一样，器入侵防从一台旧测试服务器跳到支付数据库。御系安全团队半夜被叫醒时，服务对方已经建了三个隐藏账号。器入侵防这件事让我重新翻了一遍自己维护的御系入侵防御系统日志——真正拦住攻击的，往往不是服务那些花哨的AI告警，而是器入侵防最笨的规则：某个IP在非工作时间连续试了47次SSH密码。

服务器入侵防御系统（IPS）跟防火墙不是御系一回事。防火墙看门，服务IPS看行为。器入侵防防火墙问“你从哪来”，御系IPS问“你进来后干了什么”。部署在服务器上的IPS通常分两种：基于主机的HIDS，盯着系统调用、文件完整性、进程链；基于网络的NIDS，嗅探流量里的攻击特征。多数人把两者混着用，但真正管用的配置是——把HIDS当哨兵，NIDS当巡逻队。

我见过最离谱的误报来自一个开源HIDS。它把运维人员每天凌晨三点的备份脚本标成“可疑的批量文件加密行为”，连续发了两个月告警。后来我们调了阈值，把“加密”动作限定在特定目录之外。这件事教会我一个道理：IPS的规则库需要跟业务节奏对齐。电商大促期间，订单服务会频繁写临时文件，这时候如果IPS还按平时标准抓“异常文件创建”，运维电话会被打爆。

真正有效的防御动作分三层。第一层是阻断，比如检测到某个IP在60秒内触发5次SQL注入特征，直接封禁一小时。第二层是诱捕，在服务器上放几个假的管理端口，正常流量永远不会碰它们，一旦有人连接，立刻标记为高优先级事件。第三层是取证，IPS不能只报警，得把攻击前后的进程树、网络连接、内存片段都存下来。我经历过一次挖矿攻击，攻击者用无文件技术把恶意代码注入到合法进程里，传统杀软查不出来，最后是靠IPS记录的进程内存快照才找到入口。

有个细节容易被忽略：服务器IPS的性能开销。一台跑着MySQL和Redis的机器，如果HIDS每秒钟扫描三次文件系统，磁盘IO会直接飙红。我的做法是把扫描频率降到每分钟一次，但把关键目录（/etc、/bin、/usr/local/bin）的监控改成inotify实时触发。这样既不影响业务，又能抓住第一时间的篡改。

再说一个真实案例。某游戏公司的登录服务器被打了三天，攻击者用慢速HTTP攻击耗尽了连接池。IPS的规则库里其实有这条特征，但默认阈值是“每秒100个请求”，而攻击者只用了每秒30个，持续了六个小时。后来我们把阈值改成“基于时间窗口的累计异常”，比如十分钟内同一IP的请求数超过该IP历史均值的五倍就告警。这比固定阈值灵活得多。

最后说个反直觉的观点：IPS不是越灵敏越好。我维护过一套规则，把任何尝试连接22端口但没完成三次握手的流量都标为“端口扫描”。结果内网的健康检查脚本每五分钟扫一次，日志里全是噪音。真正该关注的是“扫描之后发生了什么”——如果扫描完紧接着尝试弱密码登录，那才是攻击。所以我现在配置IPS时，会把多个低危事件关联成高危事件，而不是单条规则就报警。

服务器入侵防御这件事，没有一劳永逸的银弹。攻击者在变，业务在变，你的IPS规则也得跟着变。每周花二十分钟看一遍告警Top 10，比买任何商业方案都管用。