01 · 入侵检测与响应概论
1.1 概念边界与功能定位
入侵检测（Intrusion Detection）是对网络、主机、应用与身份行为进行持续监测，识别违背安全策略或具有恶意特征的活动，并生成告警的安全能力；入侵响应（Intrusion Response）则是在确认安全事件后，按既定预案与流程实施遏制、根除、恢复与复盘的系列行动。NIST SP 800-94《入侵检测与防护系统指南》（Scarfone与Mell合著，2007年2月发布）将IDPS技术分为网络型、无线型、网络行为分析（NBA）与主机型四类并给出部署运维建议——需要特别说明的是，该出版物的修订版草案（SP 800-94r1）曾于2012年公开征求意见，但NIST于2022年7月宣布将其撤回并暂缓IDS/IPS新指南的编制，因此SP 800-94（2007）至今仍是NIST在该主题上的现行正式版本，本专题多处分类学依据均出自该文献。NIST SP 800-61r3《事件响应建议》（2025年4月发布）则将响应活动映射至CSF 2.0框架，使"发现"与"处置"成为同一风险管理体系的两翼。
随着威胁形态从"单点入侵"演变为"多阶段、低慢速、跨边界"的APT与勒索运营，入侵检测与响应已从独立的"盒子产品"演变为横跨NDR（网络检测与响应）、EDR（端点检测与响应）、XDR（扩展检测与响应）、SIEM（安全信息与事件管理）、SOAR（安全编排自动化与响应）、MDR（托管检测与响应）的体系化学科。本课题将其作为一个整体研究对象：以检测方法论为经，以响应流程为纬，以真实威胁数据为据。
| 能力 | 监测对象 | 核心输出 | 典型代表 |
|---|---|---|---|
| NIDS/IPS | 网络流量 | 基于特征与协议的检测告警/在线阻断 | Snort、Suricata、Zeek（分析型） |
| HIDS/EDR | 主机进程、文件、注册表、内存 | 端点遥测、行为检测、隔离响应 | Sysmon、Velociraptor、CrowdStrike |
| NDR | 全流量/NetFlow/元数据 | 东西向异常、C2通信、横向移动检测 | Zeek+RITA、商业NDR产品 |
| SIEM | 全源日志汇聚 | 关联分析、合规报表、检索取证 | Splunk ES、QRadar、Elastic Security |
| SOAR | 告警与情报 | 剧本化编排、自动富化与处置 | Cortex XSOAR、Splunk SOAR |
| XDR | 端+网+云+身份 | 跨域关联检测与统一响应 | Microsoft 365 Defender等 |
本专题仅作学术性概念梳理，具体产品名称为公开文献中的示例，不构成选型建议。
1.2 技术演进：从特征码到行为智能
入侵检测学科诞生于1980年代。1980年美国空军委托James P. Anderson撰写《计算机安全威胁监测与审计》报告，首次系统提出"威胁监测"思想，被公认为IDS概念源头；1987年Dorothy Denning发表《一个入侵检测模型》（IEEE Transactions on Software Engineering），提出以用户与系统行为 profile 偏离度检测异常，奠定了异常检测的理论基石。1998年Martin Roesch发布Snort，开启了开源网络入侵检测时代；2000年代IPS将检测引擎串接至链路实现在线阻断；2007年NIST SP 800-94系统归纳了四类IDPS技术；2013年后，以CrowdStrike为代表的EDR将战场前移至端点行为；2020年前后，Gartner先后推广SOAR与XDR概念，检测与响应走向跨域融合与自动化。
| 时期 | 标志性节点 | 检测思想 |
|---|---|---|
| 1980–1987 | Anderson报告；Denning模型 | 审计日志分析、统计异常检测的理论奠基 |
| 1995–2005 | Snort（1998）；商业IDS/IPS兴起 | 特征匹配与协议分析工程化；误报管理成为核心课题 |
| 2005–2015 | NIST SP 800-94（2007）；Kill Chain模型（2011）；Pyramid of Pain（2013） | 从"检测攻击"转向"检测对手"，TTP级检测兴起 |
| 2015–2023 | EDR/NDR成熟；ATT&CK框架普及；SOAR概念 | 行为检测、威胁狩猎、剧本化响应 |
| 2023至今 | XDR整合；AI辅助检测与响应 | 跨域关联、低误报运营、检测工程学科化 |
对迪妙网络空间安全学院而言，这一演进史本身就是绝佳的教学叙事：从"签名对抗签名"的猫鼠游戏，到"以对手战术为中心"的体系化防御——它向学员直观展示了"为什么只装杀毒软件不够""为什么日志和流程与产品同样重要"。
合规与伦理声明：本专题仅基于公开来源开展学术性梳理，涉及的检测规避与攻击技术细节仅用于防御研究、检测规则开发与安全教育，严禁用于任何未授权测试。
02 · 检测压力与威胁态势
检测与响应体系的设计，必须以真实威胁数据为锚。以下指标综合自Mandiant《M-Trends 2026》（2026年3月发布，基于其2025年全球入侵调查）与Google威胁情报组（GTIG）追踪数据。
来源：Mandiant M-Trends 2026；GTIG威胁情报追踪。完整引用见第4页参考文献。
2.1 驻留时间十五年趋势：检测能力的历史坐标
Mandiant自2011年起持续追踪"中位驻留时间"。2011年全球中位数高达416天——意味着攻击者平均潜伏超过一年才被发现；此后随EDR、威胁狩猎普及一路压缩至2023年的10天；但2024—2025年连续回升至14天，主因是网络间谍行动与朝鲜IT工作者内部渗透两类"长驻留专业户"（中位驻留122天，部分入侵潜伏超过一年未被发现）。这一曲线雄辩地说明：检测技术的进步是真实的，但对手也在系统性规避检测——检测与响应必须作为持续演进的学科，而非一次性的采购。
2.2 初始入侵向量分布：检测资源应投向何处
M-Trends 2026确认，漏洞利用（32%）连续第六年成为最主要初始入侵向量；语音钓鱼以约11%跃居第二，传统邮件钓鱼占比则持续下滑至个位数；其余向量包括窃取凭证、供应链与合作伙伴入侵、内部威胁（朝鲜IT工作者虚假求职是重要构成）等。对检测体系的直接启示是：
- 边缘设备是最大盲区——防火墙、VPN网关、邮件网关通常无EDR覆盖，必须依赖网络侧遥测（Zeek/Suricata/全流量）与设备自身日志；
- 身份成为新边界——窃取凭证与语音钓鱼合计占比可观，身份行为检测（如异常登录地理、不可能行程、MFA疲劳模式、帮助台重置流程滥用）应成为标配；
- 22秒的交接时间意味着"检测即响应"——另有独立数据源（CrowdStrike 2026全球威胁报告）显示电子犯罪从初始访问到首次横向移动的"逃逸时间"中位数已压缩至29分钟级别，自动化响应（SOAR）不再是锦上添花，而是缩短遏制时间的前提。
云环境的向量结构显著不同：在云相关入侵中，语音钓鱼以23%成为第一大初始向量，其后依次为第三方（供应商）入侵约17%、窃取凭证约16%、邮件钓鱼约15%、内部威胁约14%。这一结构对云上业务比重大的组织意味着：检测建设的优先级应从"网络边界"部分转向"SaaS身份与第三方供应链"——长寿命OAuth令牌与会话Cookie的窃取、SaaS供应商失陷后的下游横向渗透，正在成为云时代检测的主战场。
2.3 自主检出 vs 外部通报：响应被动性的量化
2025年，52%的事件由组织内部自主检出（较2024年的43%改善），但其余近半数仍依赖外部通报（执法机构、监管机构、合作伙伴、勒索方——M-Trends特别指出约14%的情形下受害者是靠勒索信才得知失陷）。更关键的是时间差：自主检出场景的中位驻留约9天，而外部通报场景高达25天——接近三倍的差距。这意味着外部通报本质上是一种"以信任损失为代价的检测手段"，其代价包括监管处罚、声誉损害与更高的处置成本（IBM《2025年数据泄露成本报告》显示全球平均单次泄露成本约445万美元，且发现与遏制耗时越长、成本越高）。
教研提示：这些图表可直接转化为企业培训话术——"为什么漏洞管理优先级高于一切"（32%入口、其中相当比例是零日）、"为什么告警不能只靠外包通报"（9天 vs 25天）、"为什么EDR没装的设备是定时炸弹"（边缘设备盲区）。数据驱动的安全教育比口号更有说服力。
03 · 检测技术体系
3.1 五类检测范式及其对抗性局限
NIST SP 800-94（2007）将IDPS检测方法归纳为若干范式。实践中可归纳为五类，各有其能力与盲区，成熟体系必须组合使用：
| 范式 | 原理 | 优势 | 局限与对抗手法 |
|---|---|---|---|
| 特征/签名检测 | 匹配已知攻击载荷字节序列、漏洞利用模式或恶意代码特征 | 精确、低误报、可解释 | 对0day、变种、加密载荷失效；对手易通过编码、分片、多态变形绕过 |
| 异常检测 | 建立基线（统计/机器学习），检测显著偏离 | 可发现未知攻击与内网横向移动 | 误报率高；低慢速攻击可"学习进"基线；业务季节性波动干扰大 |
| 有状态协议分析 | 对照协议标准状态机，识别异常会话序列与指令组合 | 发现协议滥用、隧道与C2心跳 | 加密流量使载荷不可见；依赖协议解析质量；资源开销大 |
| 行为/TTP检测 | 基于ATT&CK战术技术映射，检测"执行链"而非单点指标 | 抗载荷变形、贴合对手实操、驱动狩猎 | 需要高质量遥测与持续工程投入；单规则仍可能被针对性规避 |
| 欺骗式检测 | 部署蜜罐/蜜网/金丝雀凭证等高价值诱饵，任何触碰即为高置信告警 | 近乎零误报、不受加密与变形影响、可观察对手行为 | 覆盖依赖诱饵部署密度；对手可识别并回避低仿真诱饵；需隔离防跳板 |
欺骗式检测的代表性公开工具有Thinkst Canarytokens（金丝雀令牌）与OpenCanary（开源蜜罐框架）；MITRE Engage（主动防御知识库，前身为MITRE Shield）系统整理了欺骗与对手交战的方法论。在"42%"的外部通报率（见2.3节）背景下，诱饵的高置信特性使其成为压缩MTTD的性价比之选。
David Bianco 2013年提出的"痛苦金字塔"（Pyramid of Pain）精辟刻画了对抗强度与检测层次的反比关系：检测哈希值（对手改起来无感）处于塔底，检测TTP（对手改变战术需重构整个攻击作业）处于塔尖。检测价值与对手改变成本正相关——这正是从"IOC黑名单思维"走向"TTP行为检测"的方法论依据。
图示：Pyramid of Pain（David Bianco, 2013）。塔尖检测TTP让对手付出最高代价，是行为检测的理论基石。
3.2 部署架构：旁路检测与在线阻断的权衡
入侵检测（IDS）旁路部署，通过SPAN端口或网络分流器获取流量副本，不影响业务、无单点风险，但只能"看见"而不能"阻止"；入侵防御（IPS）串接部署，可实时丢弃恶意报文，但引入延迟与可用性风险，且加密流量占比持续提升使其可见性下降。现代实践普遍采用"网络检测以旁路为主、关键链路选择性串接、端点侧由EDR承担阻断"的混合架构，辅以TLS可见性（企业CA解密或JA3/JA4指纹等元数据分析）弥补加密盲区。
架构设计的三条学院派原则：其一，遥测先于检测——没有高质量原始数据，再先进的分析引擎也只是"巧妇难为无米之炊"；其二，假设失陷（Assume Breach）——架构设计应假定攻击者已在网内，因此检测重点覆盖横向移动、权限提升与数据外传；其三，响应能力与检测能力同步建设——告警无人处置、剧本无法执行，比没有告警更糟糕，因为它制造了虚假的安全感。
3.3 加密普及与云化迁移：检测的三大新盲区
TLS 1.3加密普及、DoH/DoT加密DNS、QUIC协议与业务全面云化，正在系统性地改变检测的可见性格局。本课题将其归纳为三大盲区及对策：
| 盲区 | 成因 | 主流对策 |
|---|---|---|
| 加密流量内容 | TLS 1.3、证书透明度与ECH使载荷与SNI不可见 | JA3/JA4 TLS指纹、流级元数据行为分析、企业CA选择性解密、NDR统计特征 |
| 云端控制面 | IaaS/PaaS的管理活动发生在云商侧，传统网络镜像不可得 | CloudTrail/云审计日志接入SIEM、CSPM/CNAPP、K8s审计日志、CI/CD流水线遥测 |
| 身份与SaaS会话 | 攻击者直接持有合法令牌与会话Cookie，"登录即有效" | UEBA身份行为基线、令牌异常使用检测、SaaS安全态势管理（SSPM）、条件访问策略 |
这一节与第2页"云与身份检测工程"互为表里：当对手的入口从"打洞"变为"登录"，检测的重心就必须从"网络包"迁移到"身份行为"——这正是M-Trends 2026云入侵向量结构（语音钓鱼23%居首）给出的最直白启示。