企业内网中的IDS部署案例
某中型互联网公司为了提升内部网络安全，决定在核心交换机旁部署基于网络的入侵检测系统（NIDS）。他们选择了开源的Snort作为检测引擎，部署在独立的监控服务器上，通过端口镜像（SPAN）方式获取进出数据中心的所有流量。
具体拓扑是：核心交换机将Web服务器区、数据库区和办公网段的双向流量镜像到监控口，该接口连接到IDS服务器的监听网卡。服务器操作系统为CentOS 7，Snort运行在后台，规则集启用了Emerging Threats的免费规则库，并定期自动更新。
Snort基础配置示例
config daq: afpacket
config daq-mode: passive
config interface: eth1
var HOME_NET 192.168.10.0/24
var EXTERNAL_NET !$HOME_NET
include $RULE_PATH/emerging-user_agents.rules
include $RULE_PATH/emerging-web_server.rules
include $RULE_PATH/emerging-sql_injection.rules上述配置中，eth1是监听网卡，HOME_NET定义了内部可信网络，规则文件重点覆盖了常见的Web攻击行为。一旦检测到SQL注入或异常User-Agent请求，Snort会记录日志并触发告警邮件通知安全人员。
云环境下的主机级IDS实践
另一家使用阿里云的电商平台，则采用主机级入侵检测策略。他们在每台ECS实例上部署了OSSEC，用于监控文件完整性、登录行为和系统日志。
例如，在订单处理服务器上，OSSEC被配置为监控/var/www/html目录的变更。某次凌晨，系统检测到未经授权的PHP文件被上传，立即发出告警。经排查，发现是某个旧插件存在漏洞被利用，但因及时告警，运维团队在几小时内完成隔离和修复，避免了数据泄露。
OSSEC监控规则片段
<syscheck>
<frequency>600</frequency>
<directories check_all="yes">/var/www/html</directories>
</syscheck>
<rules>
<rule id="100101" level="10">
<match>File added to the system.</match>
<options>no_email_alert</options>
</rule>
</rules>这套机制不依赖网络流量，而是从主机层面捕捉异常，适合分布式的云架构。告警信息统一发送到SIEM平台，便于集中分析。
小型办公室的轻量部署方案
一家仅有20人规模的设计工作室，预算有限但仍有基本安全需求。他们选择在路由器后接一台老旧笔记本，安装Security Onion系统，集成Snort、Suricata和Zeek（原Bro），形成轻量化的IDS节点。
设备接入方式简单：笔记本有两块网卡，一块连接内网交换机，另一块作为管理口提供Web访问。通过设置网桥模式，实现透明监听。虽然性能不如专用设备，但足以应对日常扫描、恶意下载等常见威胁。
有一次，系统检测到某员工电脑频繁连接境外IP，进一步查杀发现是捆绑软件携带的挖矿程序。正是这个部署实例，让小团队也具备了基本的威胁感知能力。