入侵检测与网络审计产品是孪生兄弟吗？
入侵检测系统(IDS)是网络安全监控的重要工具，是网络“街道”上的巡警，时刻关注着网络的异常行为；网络审计是用户行为的记录，是网络“大楼”内的录像机，记录各种行为的过程，作为将来审核“你”的证据。
我们常见的楼宇监控，在保安值班室内有一个大电视墙，工作人员实时在看的，属于IDS类型，监控系统需要人的实时参与，发现异常，及时报警、处理。公共场合内银行的ATM机前有录像系统，属于审计类型的产品，当需要查看是谁在什么时间进行的操作时，调出时的记录，进行取证。
从表面上看，两个产品都采用了网络的“摄像”，对网络信息抓取并分析，其实两个产品技术出自“同源”---系统的日志分析，好象一对孪生的兄弟；“龙生九子，各有不同”，后天环境的不同，两个产品功能属性大不相同。
一、“遗传”特性
IDS需要对入侵行为及时检测并做出判断；审计需要对用户行为全程记录，两者好象“风牛马不相及”，要说相似，是因为他俩共同的“祖先”，从对主机日志的分析技术发展起来的，随着安全目标的不同，一个注重事件的“关联分析”，一个注重事件的事后重现，虽然后来两者差距越来越大，但其技术与产品还有很多相似点，下面我们总结了几点：
1) 产品设计架构
IDS与审计产品都是安全分析类产品，采用“并联”在网络上的方式，不影响业务的性能。在产品的设计架构上基本相同，分为控制中心、数据库、控制台、数据收集引擎几个部分，采用分布式的部署方式。
本栏目更多精彩内容：http://www.bianceng.cnhttp://www.bianceng.cn/Network/Security/
2) 信息获取
n 从网络上信息收集方式
典型的方式就是网络链路的端口镜像(若是光链路也可以用分光设备)，就是把正常网络的通讯信号(数据)复制一份给镜像设备。图中蓝线是IDS的信息收集，红线是审计的信息收集。多对一的镜像也可以根据产品的部署情况采用单独的数据收集引擎，根据流量采用一对一镜像，或多对一镜像。
n 从主机上信息收集方式
在主机上收集信息一般要安装Agent软件，也可以通过Syslog、SNMP等通讯协议从主机中获取。主机IDS技术的早期也是对系统的日志进行分析，后来发展到对主机的进程、状态进行监控；主机的系统操作日志、安全日志，数据库上的操作日志，也同样是审计系统的数据来源。