网络入侵检测能发现什么
你在家里用Wi-Fi看剧、点外卖，公司里同事忙着传文件、开视频会议，这些操作都在网络上跑着。可你有没有想过，会不会有人偷偷溜进来，翻你的数据、改你的设置？这时候，网络入侵检测系统（简称IDS）就像个警觉的保安，在暗处盯着每一个可疑动作。
异常登录行为
比如半夜三点，有人从国外IP尝试登录你的办公账号，连续输错密码十几次。这种暴力破解行为很容易被系统捕捉到。哪怕对方用了代理或跳板，频繁失败的尝试也会触发告警。
再比如，某个员工平时只在上午九点到下午六点登录系统，突然某天凌晨两点半从陌生设备接入，这种时间与设备的异常组合，IDS会立刻标记出来。
恶意流量特征
黑客攻击常伴随特定的数据包模式。像SQL注入攻击，会在URL里塞进类似 ' OR 1=1-- 这样的字符串。IDS通过比对已知攻击指纹，能快速识别这类请求。
还有像利用永恒之蓝漏洞的攻击，会发送特定结构的SMB协议数据包。一旦监测到这类特征流量，系统就能判断可能有勒索病毒正在传播。
<?xml version="1.0" encoding="UTF-8"?>
<alert>
<source_ip>192.168.3.105</source_ip>
<destination_port>445</destination_port>
<signature>ET EXPLOIT Microsoft SMBv1 EternalBlue</signature>
<severity>high</severity>
</alert>隐蔽的横向移动
有时候黑客已经潜入一台电脑，开始在内网“串门”。比如用PsExec工具远程控制其他主机，或者通过WMI查询整个局域网的设备信息。这些操作本身是合法的系统管理手段，但被滥用时就会暴露入侵痕迹。
IDS会分析内部主机之间的通信频率和协议使用情况。如果某台平时安静的电脑突然频繁连接几十台同事的机器，大概率是在扫描或试探，系统就会拉响警报。伪装的加密通信
现在很多恶意软件用HTTPS或TLS加密通信，看起来和正常流量差不多。但再狡猾也会露马脚——比如每天固定时间向同一个域名发几百字节的小包，像定时打卡一样规律。这种C&C（命令与控制）通信的行为模式，通过流量时序分析就能揪出来。
有些勒索病毒在动手前会先连通外网服务器验证网络可达性，这种“踩点”行为也会被记录下来。
隐藏的后门程序
入侵成功后，黑客常会留下后门方便下次进来。比如在服务器上开启一个监听8080端口的Netcat服务，伪装成正常应用。IDS通过端口扫描监控和进程关联分析，能发现这种非授权的服务启动。
更隐蔽的是DNS隧道，把数据藏在DNS查询请求里往外传。虽然内容加密了，但查询的域名长度异常（比如一长串随机字符），或者请求频率极高，都会引起系统怀疑。
资源滥用与挖矿行为
最近几年很常见的场景是，网站服务器莫名其妙变慢。查了一圈才发现，CPU一直跑满，原来是被人植入了挖矿程序。这类程序需要持续连接矿池服务器，产生大量出站连接。
入侵检测系统结合行为基线对比，能发现这种资源异常消耗。比如平时每天发100个HTTP请求的服务器，突然变成每分钟几千次，基本可以确定出了问题。