基于主机的入侵检测系统(HIDS)

基于主机的入侵检测系统(HIDS)以代理形式运行在操作系统内部,监控文件完整性、注册表变化、进程创建、系统调用、认证事件和日志等本地构件,用以发现可能从未出现在网络上的入侵。经典产品包括 OSSEC、Wazuh、Tripwire 和 AIDE;现代 EDR、XDR 在 HIDS 基础上扩展了丰富的遥测、行为分析和响应能力。HIDS 能看到 NIDS 看不到的内容:主机本地操作、加密的本地活动以及攻陷后的行为。其局限包括代理管理负担、繁忙服务器上的性能开销,以及主机被完全攻陷时被篡改的风险——因此将日志安全外发存储非常关键。