|
|
|
对于入侵检测系统来说，其类型不同、应用环境不同，部署方案也就会有所差别。对于基于主机的入侵检测系统来说，一般用于保护关键主机或服务器，因此只要将它部署到这些关键主机或服务器中即可。但是对于基于网络的入侵检测系统来说，因各种网络环境千差万别，根据网络环境的不同其部署方案也会有所不同。
|
|
|
|
|
|
在共享介质的环境下，传感器能够监听到整个冲突域内的流量，所以只需要把传感器的监听端口接到Hub上即可，如下图所示。
|
|
|
|
|
|
|
|
|
|
在交换环境下，每个交换机的端口都是一个独立的冲突域，因此传感器不能直接监听到交换机其他端口的流量。通常可以采用以下几种方法解决此问题。
|
|
|
|
（1）在交换机和路由器之间接入一个集线器，从而把一个交换环境转换为共享环境。这样做的优点是简单易行、成本低廉。如果客户对网络的传输速度和可靠性要求不高，建议采用这种方法，如下图所示。
|
|
|
|
|
|
|
|
（2）如果交换机支持端口镜像功能，建议采用以下方法：在不改变原有网络拓扑结构的基础上完成传感器的部署。其优点是配置简单、灵活，使用方便，不需中断网络。这是比较常用的一种方式，如下图所示。
|
|
|
|
|
|
|
|
（3）如果交换机不支持端口镜像功能，或者出于性能的考虑不便启用该功能，可以采用TAP（分支器）。它的优点是能够支持全双工100Mb/s或者全双工1000Mb/s的网络流量。
|
|
|
