IDS、IPS
和防火墙是三种不同的网络安全技术，它们在功能和实施方式上有一些明显的区别：
功能目标：
IDS：IDS（入侵检测系统）的主要功能是监测和检测网络中的异常活动和潜在入侵行为。它负责实时监视网络流量和数据包，并分析是否存在与已知攻击模式或异常行为相匹配的模式。一旦检测到可疑活动，IDS
会产生警报通知系统管理员或安全团队。
IPS：IPS（入侵防御系统）的主要功能不仅包括监测和检测潜在入侵行为，还主动采取措施来防御和阻止这些攻击。当
IPS 检测到可疑活动时，它会立即采取预先定义的阻止措施，例如阻止特定 IP
地址、端口或应用程序的访问，从而防止攻击进一步传播。
防火墙：防火墙是一种网络安全设备，它通过设定规则来控制网络流量的进出，以保护网络免受未经授权的访问和恶意活动。防火墙根据预定义的规则策略，过滤网络流量，只允许授权的数据包通过，阻止潜在的威胁和未经授权的连接。
工作方式
IDS 和 IPS：IDS 和 IPS
都是主动监测网络流量和数据包，进行实时的入侵检测和分析。IDS
主要是被动的，只负责检测和警报；而 IPS
是主动的，能够在检测到威胁后采取阻止措施。
防火墙 ...
IDS（入侵检测系统）和
IPS（入侵防御系统）虽然在名称上相似，但在功能和实施方式上存在着显著的区别。以下是它们的主要区别：
功能目标
IDS：IDS
的主要功能是监测和检测网络中的异常活动和潜在入侵行为。它负责实时监视网络流量和数据包，并分析是否存在与已知攻击模式或异常行为相匹配的模式。一旦检测到可疑活动，IDS
会产生警报通知系统管理员或安全团队，但它本身不会主动阻止攻击。
IPS：IPS
的主要功能是不仅监测和检测潜在入侵行为，还主动采取措施来防御和阻止这些攻击。当
IPS 检测到可疑活动时，它会立即采取预先定义的阻止措施，例如阻止特定 IP
地址、端口或应用程序的访问，从而防止攻击进一步传播。
响应方式
IDS：IDS
通常以被动模式工作，它只负责监测和检测，不对网络流量进行主动干预或阻止。
IPS：IPS
则以主动模式工作，它会根据预定策略主动对网络流量进行阻止或过滤，以应对已经检测到的安全威胁。
部署位置
IDS：IDS
通常部署在网络的关键节点，如网关、交换机等，以监测整个网络中的流量。
IPS：IPS
也可以部署在网络的关键节点，但更常见的是在特定的主机（服务器或个人 ...
IPS 是入侵防御系统（Intrusion Prevention
System）的缩写。它是计算机网络安全的一种安全措施，用于检测和阻止网络中的恶意活动和入侵行为。与
IDS（入侵检测系统）类似，IPS
旨在保护计算机网络免受安全威胁，但它不仅能检测潜在的攻击，还能主动采取措施防御或阻止这些攻击。
IPS 可以分为两种主要类型：
网络入侵防御系统（NIPS）：NIPS
位于网络的关键节点，例如网关或交换机上，监控网络流量并实时分析数据包，以识别潜在的攻击和恶意行为。一旦检测到可疑活动，NIPS
会采取预先定义的阻止措施，如阻止特定 IP
地址、端口或应用程序的访问，以防止攻击进一步传播。
主机入侵防御系统（HIPS）：HIPS
安装在主机（服务器或个人计算机）上，监控主机的操作和应用程序行为。它可以检测到针对单个主机的攻击，例如恶意软件感染或非法访问尝试。HIPS
通常比 NIPS
更具有精细化的防御能力，因为它可以根据主机上的具体配置和安全策略进行调整。
与 IDS 类似，IPS
也是网络安全的重要组成部分，它通过及时阻止潜在的攻击，帮助提高网络和主机的安全性。它常常与防火墙、I ...
IDS 是入侵检测系统（Intrusion Detection
System）的缩写。它是计算机网络安全的一种重要组成部分，用于监控和检测网络中的异常活动和潜在的入侵行为。IDS
旨在识别可能的攻击、恶意软件或其他安全威胁，并及时通知系统管理员或采取相应的措施来应对这些威胁。
IDS 可以分为两种主要类型：
网络入侵检测系统（NIDS）：NIDS
在网络流量中监测异常行为和攻击，通常位于网络的关键节点，例如网关或交换机上。它分析网络数据包和流量，尝试识别与已知攻击模式或异常行为相匹配的模式。NIDS
的优势是可以监控整个网络的活动，但也可能面临高流量的挑战。
主机入侵检测系统（HIDS）：HIDS
运行在主机（服务器或个人计算机）上，监控主机上的活动和系统日志。它可以检测到针对单个主机的攻击，例如恶意软件感染或非法访问尝试。HIDS
的优势在于能够提供更详细的主机级别信息，但可能无法监控整个网络。
IDS
的主要目标是通过实时监测和分析来识别潜在的安全威胁，并及早发现和响应潜在的攻击，从而增强网络和主机的安全性。它常常与防火墙、入侵防御系统（Intrusion
Preventio ...
什么是 CSRF 攻击？
跨站点请求伪造 (CSRF) 攻击允许攻击者伪造请求并将其作为登录用户提交到
Web 应用程序，CSRF 利用 HTML 元素通过请求发送环境凭据（如
cookie）这一事实，甚至是跨域的。 与 XSS 一样，要发起 CSRF
攻击，攻击者必须说服受害者单击或导航到链接。与 XSS
不同的是，CSRF
只允许攻击者向受害者的来源发出请求，并且不会让攻击者在该来源内执行代码。这并不意味着
CSRF 攻击的防御变得不那么重要。正如我们将在示例中看到的，CSRF 可能与 XSS
一样危险。
CSRF 的背景
Web 起源于查看静态文档的平台，很早就添加了交互性，在 POSTHTTP
中添加了动词，
在 HTML 中添加了元素。以 cookie 的形式添加了对存储状态的支持。 CSRF
攻击利用 Web 的以下属性：cookie 用于存储凭据，HTML 元素（与 JavaScript
不同）被允许发出跨域请求，HTML 元素随所有请求发送所有
cookie（以及凭据）。 CSRF
将所有这些放在一起。攻击者创建了一个恶意网站，其中包含向受害者的来源提交请求的
HTM ...
UEBA 是 User and Entity Behavior
Analytics（用户与实体行为分析）的缩写。它是一种信息安全技术和分析方法，旨在检测和识别用户和实体在计算机网络中的异常行为和潜在威胁。
UEBA
利用机器学习、统计分析和数据挖掘等技术，对网络用户、终端设备和其他实体（如服务器、数据库等）的行为进行监控和分析。它通过学习正常行为模式，可以发现异常活动、异常访问模式、数据泄露、未经授权的访问等潜在威胁。
UEBA
技术通常用于网络安全操作中，帮助组织提高网络安全防御能力和对威胁的识别和应对能力。通过对实体和用户行为的智能分析，UEBA
能够快速发现恶意活动和内部威胁，帮助企业及时采取相应措施，防止数据泄露和网络攻击等安全事件的发生。
UEBA 是 Gartner 于 2015 年首次提出的术语，是用户行为分析 (UBA)
的演变。UBA 仅跟踪最终用户行为模式，而 UEBA
还监控非用户实体，例如服务器、路由器和物联网 (IoT)
设备，以发现可能表明安全威胁或攻击的异常行为或可疑活动。
UEBA 与其他企业安全工具一起在安全运营中心 (SOC)中使用，UEBA
功能 ...
随着网络威胁形势的扩大，组织需要更好的方法来主动检测威胁并保护其关键业务资产和数据。这就是为什么他们需要安全、编排、自动化和修复
(SOAR)以及安全信息和事件管理 (SIEM)解决方案。
虽然这些网络安全工具具有一些共同和互补的功能，但它们具有不同的优势，因此不能互换使用。为了加强网络安全，组织应该了解这些差异。只有这样，他们才能有效地利用这些工具来加强防御。
本文旨在详细探讨这些差异。为了您的方便，我们提供了一份执行摘要，将这些内容浓缩到下表中。
执行摘要：主要差异
SIEM
SOAR
发出警报；人员必须采取行动
摄入警报并自动响应
需要手动警报分类
自动警报分类
必须手动调整分析引擎以区分恶意威胁和良性威胁
自动区分威胁并采取相应行动
归因于分析师的警报疲劳
编排和自动化功能可减少警报疲劳
基本数据关联能力并采取单一决策来触发警报（可能是误报）
根据剧本中的决策或请求用户输入后动态提取数据
仅限于从网络、端点、云和应用程序收集日志数据
还可以吸收人类输入来做出即时决策以阻止威胁
只能发出警报；安全人员仍必须分析每个警报并决定采取行动
自动响应威胁并采取适当的措施来保护组织
什么 ...
一般来说，SOC 团队的主要角色包括：
SOC 经理负责管理团队、监督所有安全操作并向组织的
CISO（首席信息安全官）报告
安全工程师，负责构建和管理组织的安全架构。这项工作大部分涉及评估、测试、推荐、实施和维护安全工具和技术。安全工程师还与开发或
DevOps/DevSecOps
团队合作，以确保组织的安全架构包含在应用程序开发周期中
安全分析师——也称为安全调查员或事件响应者——本质上是网络安全威胁或事件的第一响应者。分析师检测、调查威胁并对其进行分类（确定优先级）；然后，他们识别受影响的主机、端点和用户，并采取适当的措施来减轻和遏制影响、威胁或事件。（在某些组织中，调查员和事件响应员是不同的角色，分别归类为第
1 级和第 2 级分析师）
威胁猎手（也称为专家安全分析师）专门检测和遏制高级威胁——设法绕过自动防御的新威胁或威胁变体
SOC
团队可能包括其他专家，具体取决于组织的规模或其开展业务的行业。较大的公司可能包括一名事件响应总监，负责沟通和协调事件响应。一些
SOC
包括法医调查员，他们专门从网络安全事件中损坏或受损的设备中检索数据（线索）。
安全运营中心 (SOC)
安全运营中心 (SOC) – 有时称为信息安全运营中心或 ISOC – 是一个由 IT
安全专业人员组成的内部或外包团队，负责 24/7 监控组织的整个 IT
基础设施，以实时检测网络安全事件并尽快有效地解决这些问题。 SOC
还选择、运营和维护组织的网络安全技术，并持续分析威胁数据以找到改善组织安全状况的方法。
运营或外包 SOC
的主要好处是它可以统一和协调组织的安全工具、实践以及对安全事件的响应。这通常会改进预防措施和安全策略，更快地检测威胁，以及更快、更有效和更具成本效益地响应安全威胁。SOC
还可以提高客户信心，并简化和加强组织对行业、国家和全球隐私法规的合规性。
SOC
通常由一组专业的安全分析师、网络安全工程师和其他安全专家组成，他们配备先进的安全技术和工具来实时监视组织的网络和系统活动。SOC
负责执行以下主要任务：
监控：持续监控组织的网络和系统，识别异常活动和潜在的安全事件
检测：使用入侵检测系统（IDS）、入侵防御系统（IPS）、防病毒软件、安全日志分析等工具来发现潜在的威胁和攻击
分析：对收集到的安全事件进行深入分析，确定是否为真正的 ...
使用案例
编排有什么帮助（高级概述）
处理安全警报
网络钓鱼丰富和响应 -
摄取潜在的网络钓鱼电子邮件；触发剧本；自动执行和执行可重复的任务，例如对受影响的用户进行分类和吸引；提取并检查指标；识别误报；并为
SOC 做好大规模标准化响应准备。 端点恶意软件感染 -
从端点工具提取威胁源数据，丰富该数据，使用安全信息和事件管理 (SIEM)
解决方案交叉引用检索到的文件/哈希值，通知分析师，清理端点并更新端点工具数据库。
失败的用户登录 - 在预定次数的用户登录尝试失败后，通过触发
playbook、吸引用户、分析他们的回复、使密码过期和关闭 playbook
来评估失败的登录是真实的还是恶意的。 从异常位置登录 - 通过检查 VPN
和云访问安全代理 (CASB) 存在、交叉引用 IP、确认用户违规、发布阻止并关闭
playbook，识别潜在的恶意虚拟专用网络 (VPN) 访问尝试。
管理安全运营
安全套接字层 (SSL) 证书管理 - 检查端点以查看哪些 SSL
证书已过期或即将过期，通知用户，几天后重新检查状态，将问题上报给适当的人员并关闭
playbook。 端点诊断和启动 -
...