问 AI 助教考点精讲
- IDS（Intrusion Detection System，入侵检测系统）监测网络/主机流量，发现入侵时告警但不阻断，通常旁路部署，靠特征库（误用检测）或异常行为（异常检测）识别攻击；IPS（Intrusion Prevention System，入侵防御系统）在检测的基础上主动阻断恶意流量，通常串联部署在流量路径上，能实时拦截但可能误阻断正常流量。蜜罐（Honeypot）是故意设置的诱饵系统，吸引攻击者攻击，用于观察攻击手法、延缓攻击并取证，本身不承载真实业务；蜜网（Honeynet）是多个蜜罐组成的网络。SIEM（安全信息与事件管理）集中收集各设备日志，做关联分析、实时告警与合规留存，是安全运营中心（SOC）的核心平台。
记忆技巧
记「IDS 只喊不拦、IPS 边喊边拦」——Detection 是「检测」、Prevention 是「防御」。
记分工：蜜罐是「故意留的假目标」、SIEM 是「日志总汇 + 关联分析」。
记部署：IDS 旁路（不阻断）、IPS 串联（实时拦截但可能误阻断）。
记分工：蜜罐是「故意留的假目标」、SIEM 是「日志总汇 + 关联分析」。
记部署：IDS 旁路（不阻断）、IPS 串联（实时拦截但可能误阻断）。
常见误区
- 把 IDS 当成能主动阻断——IDS 只检测告警，阻断是 IPS 的能力。
- 把蜜罐当成业务系统——蜜罐是诱饵，不应承载真实业务数据。
- 误以为 SIEM 能替代 IDS/IPS——SIEM 是日志分析平台，本身不产生检测规则，需与检测设备配合。
真题思路
- 【示例】 【示例】常考「IDS 与 IPS 的部署方式与能力差异」或「蜜罐的作用」，IDS 与 IPS 的「告警 vs 阻断」是核心区分点。参考 Practice Tests 第 7 章（Domain 7）。
常见问题
Q：IPS 串联部署有什么风险？
A：可能误阻断正常流量，且自身故障可能影响业务链路。
Q：蜜罐会带来法律风险吗？
A：可能被攻击者滥用，需严格隔离并遵守相关法律，实践中需谨慎。
Q：IDS 能主动阻断吗？
A：不能，IDS 只检测告警，阻断是 IPS 的能力。
Q：蜜罐是业务系统吗？
A：不是，蜜罐是诱饵，不应承载真实业务数据。
Q：SIEM 能替代 IDS/IPS 吗？
A：不能，SIEM 是日志分析平台，本身不产生检测规则，需与检测设备配合。
相关知识
教材出处：Domain 7 · 安全运营 IDS、IPS、蜜罐与 SIEM