IDS应用难点之三
HIDS和NIDS，哪一个更好？
赛门铁克认为，NIDS只检查它直接连接网段的通信，不能检测在不同网段的网络包，在使用交换以太网的环境中就会出现监测范围的局限。HIDS系统则可以检测多种网络环境下的网络包。NIDS系统为了性能目标通常采用特征检测的方法，它可以检测出普通的一些攻击，而很难实现一些复杂的需要大量计算与分析时间的攻击检测。而这方面正是HIDS的强项。NIDS系统中的传感器协同工作能力较弱，同时系统处理加密的会话过程较困难，而对于HIDS则没有这一障碍。另一方面，由于HIDS系统在反应的时间上依赖于定期检测的时间间隔，反应较慢，而且其检测实时性也没有基于网络的IDS系统好。
鉴于此，赛门铁克建议，在实施NIDS系统的同时，在特定的敏感主机上增加代理是一个比较完善的策略。因为，HIDS与NIDS并行可以做到优势互补。网络部分提供早期警告，而基于主机的部分可提供攻击成功与否的情况分析与确认。
尽管HIDS准确度较高，但缺点是不同的系统需要不同的引擎。系统的升级时，需要升级引擎，安装和维护不方便，同时无法发现网络上的攻击事件。而基于网络的IDS安装调试简单，不需在系统上安装任何软件，需要的引擎数少，可最早发现网络上的攻击，隐蔽性也更好。NIDS的缺点是准确度较低，同时随着网络流量的增大，处理峰值流量的难度加大。
目前，市场上基于HIDS的产品较少，仅有赛门铁克的Intruder Alert。NIDS产品有许多，像东软、瑞星、东方龙马等公司都提供NIDS产品。此外，有些公司还推出了将HIDS和NIDS融合在一起的产品。目前金诺网安具有拥有自主知识产权的入侵检测系统——KIDS，它是一种综合的网络入侵检测系统，分别可以保护重要网段和关键的主机，真正可以为企业单位提供一种有效的安全防护系统。?
文章来源于领测软件测试网 https://www.ltesting.net/
