一旦網絡入侵活動發生且不能阻止，企業應該希望能夠第一時間得到告警。在進行傳統、內部安全思維轉變時，行之有效的現代安全解決方案應該是怎樣的形態?

安全檢測

我國從被動防御轉變到主動防御，單純的“預防”已經遠遠不夠，主動出擊，進行檢測工作是后續安全工作的重中之重。

下圖包含入侵檢測體系中的五大關鍵組成部分。在考量解決方案投資時，應從技術角度確保其涵蓋全部要求：

在上述核心功能之外，以下七項要求亦必須得到滿足。

1.  實現SecOps

盡管SecOps一再被提及，但這種思維要具體落實卻并非易事。SecOps還需要被真正引入開發、運營與安全保障體系。因此在選擇入侵檢測平臺時，應將安全性與DevOps相結合，從而節約時間、提升效率以改善整體安全狀況。

2. 支持復雜環境

出于種種考量，云環境往往只能作為企業的運行平臺選項之一。云、多云(Multi-Cloud，即企業將多個應用部署在多個云平臺上)、混合云(Hybrid Cloud，包含私有云、公有云)、內部與容器環境的雜糅才是趨勢所在。為了保護這類復雜環境，需要保證安全性、合規性的始終可見性。因此在選擇入侵檢測方案時，應確保其能夠在復雜環境中提供必要的可見性保障。

3. 多種檢測模式

當前，各種網絡連接方式錯綜復雜，已沒有明顯的網絡監控邊界，這就需要結合多種檢測模式以發現所有可能出現的威脅因素，具體包括檢測主機上的行為、云配置審查、安全漏洞、文件完整性以及威脅情報等等。正因為如此，我們的入侵檢測方案必須有能夠實現這些目標。

4. 發現所有攻擊

除了檢測模式之外，理想的入侵檢測平臺還需要有能力發現多種攻擊手段與攻擊點，包括發現內部與外部威脅，并從初始檢測到發展再到載體轉換全程實現攻擊檢測。

5. 異常行為警報

異常行為是發現威脅的最好方式，且往往能夠搶在威脅造成實際危害之前將其扼制。強大的入侵檢測方案應該能夠為環境設定正常標準并隨時間推移進行調整，從而持續實時檢測異常行為。這就便于調查異常行為，并判斷其屬于正常狀況抑或代表著不斷演變的威脅活動。

6. 提供統一數據

安全事件響應能力高度依賴于實際數據收集能力。如果使用多點解決方案，必然面臨碎片化數據點問題，而這會增加平均解析時間(簡稱MTTR)。企業的目標在于保持低MTTR，因此必然要求能夠統一數據，從而通過入侵檢測解決方案提供面向基礎設施與其中所有活動的全面觀察視角。

7. 保持合規性

最后，PCI DSS、HIPAA以及SOC 2等主要合規性標準亦應得到充分滿足。某些平臺因為無法提供必要的控制、監控與可審計性而無法真正支持上述合規性框架，選擇入侵檢測平臺時需仔細甄別。

總結來講，以上七條要求的最終目標都是為了隨時間推移降低安全風險。企業具備的可見能力越強，警報越迅速，持續監控手段越充分，整體風險自然也就越合理。因此，現代入侵檢測平臺有助于隨時間推移降低風險