网络入侵检测能发现什么
你家的路由器开着，电脑连着网，手机也在蹭Wi-Fi。看起来一切正常，但有没有人正悄悄连进你的内网？有没有一台陌生设备在扫描你的摄像头端口？这些事，光靠肉眼根本看不出来。这时候，网络入侵检测系统（IDS）就像个24小时值班的保安，盯着每一个进出的数据包。
它不只能发现明显的攻击行为，还能捕捉那些藏得很深的小动作。比如某天凌晨三点，有个IP反复尝试连接你家NAS的22端口——这是典型的暴力破解SSH登录。入侵检测会立刻记下这个行为，并发出警报。
异常流量模式一抓一个准
正常的网页浏览，流量是断断续续的。但如果某台设备突然开始持续往外传数据，每秒几MB不停，这很可能就是中了木马，在偷偷回传文件。入侵检测能识别这种“不像人类操作”的流量模式，标记为可疑。
再比如，你从来没用过FTP服务，但防火墙日志显示有人从外网访问了21端口。虽然没成功登录，但这属于端口扫描行为，说明有人在试探你网络的弱点。这类动作都会被记录下来。
特征匹配揪出已知攻击
很多攻击都有固定“指纹”。比如SQL注入常带单引号+or+1=1这类字符串，跨站脚本（XSS）喜欢用<script>标签。入侵检测系统内置了成千上万条规则，一旦发现数据包里有这些特征，马上就能识别出来。
举个例子，你在本地搭了个Web服务，做了端口映射让外网能访问。结果某人尝试访问：/index.php?id=1%27%20OR%201=1--。这条请求会被立即捕获，因为它的结构和已知注入攻击完全吻合。
<?xml version="1.0" encoding="UTF-8"?>
<alert>
<src_ip>192.168.3.100</src_ip>
<dst_port>80</dst_port>
<signature>SQL Injection Attempt</signature>
<timestamp>2024-04-05 02:18:33</timestamp>
</alert>上面这段日志就是典型的告警记录，告诉你哪个源IP、什么时候、触发了哪种规则。
端口映射后更需要盯紧
很多人为了远程访问家里的设备，会做端口映射。比如把公网IP的554端口转到内网摄像头，或者把3389映射给某台Windows主机。这等于在家墙上开了扇门，虽然方便自己，但也可能引来不速之客。
入侵检测能在这些映射端口上部署监控。只要有人尝试连接并发送异常数据，哪怕只是探测报文，也能被捕捉分析。时间久了还能看出规律：是不是每天同一时段都有扫描？是不是来自某个特定地区？这些信息对加强防护很有帮助。
别以为小家庭网络没人盯。自动化的扫描机器人满世界跑，专门搜开放的端口。你前脚做完映射，后脚就可能被扫到。有没有异常行为，得靠系统实时看着。”}