入侵检测
攻击流量的“探测器”，实时发现并阻断入侵行为
概述
入侵检测系统（IDS）与入侵防御系统（IPS）通过对网络流量进行深度检测，识别漏洞利用、木马通信、暴力破解、扫描探测等攻击行为。IDS 以旁路方式部署，只检测告警不阻断；IPS 以串联方式部署，可实时阻断攻击流量。两者是等级保护中“入侵防范”要求的主要落实手段。
核心能力
特征检测
基于数万条攻击特征库识别已知漏洞利用与恶意流量，特征库需持续在线更新。
异常检测
基于流量基线建模识别 DDoS、扫描、异常外联等偏离正常行为的活动。
虚拟补丁
在业务系统无法及时打补丁时，通过 IPS 规则虚拟拦截漏洞利用，争取修复窗口期。
威胁情报联动
对接云端威胁情报，识别 C&C 外联、APT 攻击等高级威胁。
流量可视化
提供应用流量分布、TOP 攻击源、会话分析等可视化视图，辅助安全运营。
典型应用场景
互联网出口与 DMZ 区入侵检测/防御
数据中心东西向流量威胁检测
等级保护三级/四级入侵防范合规
工控网络异常流量监测（工控 IDS）
关键业务系统的虚拟补丁防护
代表国产厂商 （7 家 · 排序不分先后）
选型建议
启明星辰 天阗
国内老牌安全厂商，入侵检测产品线成熟，1996 年成立技术积累深厚
绿盟科技
威胁情报与攻防对抗能力突出，IDS/IPS 市占率位列前五
奇安信
政企市场龙头，天眼威胁检测系统覆盖 80% 中央部委，APT 防御能力强
天融信
硬件安全产品稳定性强，入侵防御与防火墙一体化协同
安恒信息 / 山石网科 / 迪普科技
安恒聚焦实战攻防，山石与迪普在数据中心与运营商市场有优势
实施与合规要点
IDS/IPS 部署要点：① 明确需求是检测（IDS 旁路）还是阻断（IPS 串联），IPS 需考虑链路可靠性与 Bypass 机制；② 性能指标关注吞吐量、并发连接数与新建连接速率，IPS 串联部署不应成为网络瓶颈；③ 特征库更新服务需在采购合同中明确年限与更新频率；④ 需评估误报率，避免 IPS 误阻断正常业务；⑤ 加密流量（HTTPS）检测需配套解密能力。
市场格局
入侵检测/防御为等保必备项，市场由启明星辰、绿盟、奇安信、天融信等头部厂商主导。2025 年网安百强前三为深信服、奇安信、启明星辰。
