入侵检测系统（Intrusion Detection System，IDS）的核心使命并不复杂：在攻击尚未造成灾难性后果之前，发现试图入侵或已成功入侵的痕迹。它并不替代防火墙、终端防护或访问控制；相反，IDS 回答的是另一类问题——当边界已被绕过、账号已被窃取、或内网中出现"本不该出现"的活动时，谁能最早发出警报？在现代安全体系中，检测与防御常常被混为一谈。防御侧重事前的加固与隔离，例如最小权限、网络分段、打补丁；检测则侧重事中与事后的可见性，关注日志、进程、文件、网络流量中是否留下了可识别的攻击指纹或行为偏差。部分产品在检测之外还能做出反应——阻断连接、锁定账号、隔离主机——这类能力通常被称为入侵防御系统（Intrusion Prevention System，IPS）。IDS 提供"看见"，IPS 提供"动手"；二者可以叠加，但方法论基础都从同一处出发：如何判定一次活动是攻击。本章讨论的入侵检测方法，正是整本安全体系中"从加固走向感知"的关键转折点。此前章节更多聚焦于如何把系统配得更安全；此处开始，我们要回答：安全配置之后，怎样知道有人正在试图打破这些配置？围绕这一问题，业界长期形成了两种根本不同的思路——静态的模式识别，与动态的异常检测。理解二者的适用边界、误报代价与协同方式，比记住某款产品的菜单更有价值。一、两种根本不同的检测方法入侵检测并非只有一种"正确算法"。正如医学里既有按症状模板排查的标准化流程，也有通过纵向对照发现"与自身基线偏离"的做法，安全领域同样存在两条主线。模式识别（Pattern Recognition）属于静态方法。它假定：攻击者一旦使用已知手段，就会在系统上留下可建模、可匹配的痕