分享五大免费企业网络入侵检测（IDS）工具

snort

snort是最好的入侵检测系统（ids）工具。它所需要的是一些在上面运行的硬件以及安装、配置和维护的时间。snort可以在任何操作系统上运行，包括windows和linux。

snort 一直都是网络入侵检测（ids）和入侵防御工具（ips）的领导者，并且，随着开源社区的持续发展，为其母公司sourcefire（多年 来，sourcefire提供有供应商支持和即时更新的功能齐全的商业版本snort，同时仍然免费提供功能有限的免费版本snort）持续不断的支 持，snort很可能会继续保持其领导地位。

虽然snort“称霸”这个市场，但也有其他供应商提供类似的免费工具。很多这些入侵检测系统（ids）供应商（即使不是大多数）结合snort或其他开源软件的引擎来创建强大的免费入侵检测服务。

security onion

security onion是用于网络监控和入侵检测的基于ubuntu的linux发行版。该镜像可以作为传感器分布在网络中，以监控多个vlan和子网，这很适用于 vmware和虚拟环境。该配置只能用作ids，目前不能当作ips运行。然而，你可以选择把它作为网络和主机入侵检测部署，以及利用squil、bro ids和ossec等服务来执行该服务的ids功能。该工具的wiki信息和文档信息很丰富，漏洞和错误也有记录和审查。虽然security onion很强大，但它仍然需要不断发展，当然这需要时间。

ossec

ossec是一个开源主机入侵检测系统（hids），它的功能不只是入侵检测。与大多数开源ids产品一样，有多种附加模块可以结合该 ids的核心功能。除了网络入侵检测外，ossec客户端能够执行文件完整性监控和rootkit检测，并有实时报警，这些功能都是集中管理，并能根据企 业的需求创建不同政策。ossec客户端在大多数操作系统上本地运行，包括linux各版本、mac osx和windows。它还通过趋势科技的全球支持团队提供商业支持，这是一个非常成熟的产品。

openwips-ng

openwips-ng是一个免费的无线ids / ips，它依赖于服务器、传感器和接口。它可以在普通硬件上运行。其创建者是aircrack-ng的开发者，该系统使用aircrack-ng内置的很 多功能和服务来进行扫描、检测和入侵防御。openwips-ng是模块化的，允许管理员下载插件来增加功能。其文件并不像某些系统一样详细，但它允许公司在预算紧张的情况下执行wips。

suricata

在所有目前可用的ids/ips系统中，suricata最能够与snort相抗衡。该系统有一个类似snort的架构，依赖于像 snort等的签名，甚至可以使用vrt snort规则和snort本身使用的相同的emerging threat规则集。suricata比snort更新，它将有机会赶超snort。如果snort不是你企业的选择，这个免费的工具最适合运行在你的企 业网络中。

bro ids

bro ids类似于security onion，它使用更多ids规则来确定攻击来源。bro ids使用工具组合，曾经它使用基于snort的签名转换成bro签名，不过现在不再是如此，现在用户能够为bro ids编写自定义签名。该系统有很多详细文档信息，并已有超过15年的历史。

在大部分ids/ips市场（包括免费软件和开源ids/ips），snort无疑是最具影响力的工具。本文中介绍的系统执行ids/ips都有些不同，但都是实用的免费的具，节省开支的企业可以使用这些工具来更好地保护其网络。