主机入侵检测系统必须同时从进程行为和网络流量双路入手，才能有效覆盖恶意软件执行、横向移动、C2通信等完整攻击链，避免单一检测视角导致的漏报风险。
攻击者日益擅长绕过单维度检测，勒索软件利用白名单工具执行，进程行为看似正常，但随后的网络连接可能暴露其意图；无文件恶意代码完全在内存运行，进程行为可能捕捉到异常加载，但网络流可能无异常，单靠任何一种，都容易漏报，双路检测的价值在于覆盖攻击链的不同阶段进程行为侧重“执行”，网络流侧重“通信”,两者协同才能形成从端点到网络的完整闭环。
为什么主机入侵检测需要双路分析？
进程行为分析和网络流分析是主机入侵检测的两大支柱,它们各自解决不同层面的威胁。
- 进程行为分析：关注主机内部的异常活动，如可疑进程创建、DLL注入、注册表自启动项修改、计划任务建立等，对于恶意软件执行、持久化、提权等操作,进程行为是直接证据。
- 网络流分析：关注主机与外部的通信特征，如异常出站连接、横向扫描、C2心跳、DNS隧道、数据外泄等，对于远程控制、横向移动、数据窃取等行为,网络流是关键线索。
单一视角的局限非常明显，只靠进程行为，可能漏掉基于网络隧道的隐蔽通信；只靠网络流，可能漏掉无网络连接的恶意软件（如仅执行擦除操作的病毒），从MITRE ATT&CK框架来看，大量攻击技术需要同时监控端点和网络才能有效检测，行业共识认为，双路结合能将检测覆盖率提升较大比例,是主机入侵检测的基线要求。
具体场景举例：WannaCry利用SMB漏洞传播，进程行为可看到svchost执行高危操作，网络流可看到大量SMB扫描；而PowerShell无文件攻击，进程行为可见PowerShell执行可疑脚本，网络流可见HTTPS到C2，两者互补,缺一不可。
进程行为分析：检测恶意软件执行的核心
进程行为分析是主机入侵检测的端点基础,直接监控恶意代码在主机上的运行痕迹。
关键监控点：
- 进程创建与父进程关系（如Word启动PowerShell）
- 模块加载与DLL注入（如非系统路径加载DLL）
- 注册表自动启动项修改（如Run、RunOnce等键值）
- 计划任务创建（如定时执行恶意载荷）
- 内存操作（如代码注入、进程镂空）
实操步骤（Windows环境）：
- 部署Sysmon，配置采集事件ID 1（进程创建）、7（模块加载）、11（文件创建）、13（注册表修改）等。
- 将事件日志转发至SIEM或EDR平台。
- 建立异常进程链规则：如Office应用启动cmd.exe或PowerShell，或svchost.exe启动非标准子进程。
- 关联上下文：查看父进程来源（如邮件附件）、命令行参数（如encoded命令）。
常见漏报场景： 白利用工具（LOLBAS）执行时，进程行为看起来正常，如certutil下载文件、mshta执行脚本，此时需结合网络流（如查看certutil引起的出站连接）或文件哈希进行判断，进程行为分析无法单独覆盖所有攻击面,必须与网络流配合。
进程行为分析 vs 网络流分析：哪个更关键？
这是一个常见疑问，但两者并非对立关系,而是互为补充。
| 维度 | 检测能力 | 主要局限 |
|---|---|---|
| 进程行为分析 | 恶意代码执行、持久化、横向移动（如PsExec） | 难以检测基于网络的攻击，如C2隧道、扫描 |
| 网络流分析 | C2通信、数据外泄、横向扫描 | 难以检测无网络连接的恶意软件，或加密混淆流量 |
实际选择建议： 对于勒索软件等端点破坏型威胁，进程行为可能更早告警；对于APT等长期潜伏型威胁，网络流可能先发现异常心跳，最佳实践是两者并重，根据环境调整检测规则权重，多数情况下,双路检测的覆盖范围远大于单一维度。
网络流分析：发现横向移动和C2通信
网络流分析聚焦主机通信行为，是捕捉攻击者远程控制、横向扩散、数据窃取的关键手段。
关键监控指标：
- 异常出站连接：不常见端口、高频率心跳、连接多个陌生IP
- 横向流量：SMB、RDP、WinRM等协议的内部扫描或连接
- DNS查询：DGA域名、高频率失败查询、隧道特征
- 流量大小：数据外泄时的异常大流量出站
- TLS证书：自签名证书、与已知恶意证书关联
实操步骤（主机层面）：
- 启用主机防火墙日志,记录允许和拒绝的出站连接。
- 使用工具如TCPView或ntop实时查看连接状态。
- 在EDR中配置网络连接事件采集（如Sysmon事件ID 3显示网络连接）。
- 建立基线：统计正常业务通信模式,偏离时触发告警。
案例： 横向移动攻击中，攻击者通过PsExec或WMI在内部主机间传播，网络流可见大量SMB连接建立，且源来自非域控服务器，此时结合进程行为（如services.exe创建脱壳进程）可快速定位受害主机。
双路结合：主机入侵检测部署实践
将进程和网络数据统一分析，是提升检测效率的关键，推荐使用EDR或SIEM平台,实现多源数据关联。
部署架构：
- 数据采集层：每台主机部署Agent，监控进程事件（Sysmon）和网络事件（防火墙日志或网络流采集）。
- 数据汇聚层：通过Syslog或API发送至中心服务器（如Wazuh、ELK、Splunk）。
- 关联分析层：编写规则，如“进程创建cmd.exe后，10秒内发起出站连接，则告警”。
- 响应层：自动隔离主机、阻断IP或结束进程。
规则示例：
<rule id="100001" level="12">
<if_sid>5000001</if_sid> <!-- 进程创建事件 -->
<field name="process_name">cmd.exe</field>
<field name="parent_process_name">winword.exe</field>
<if_sid>5000002</if_sid> <!-- 网络连接事件 -->
<field name="dst_ip">!10.0.0.0/8</field>
<description>可疑进程创建后立即出站连接</description>
</rule>工具推荐： Wazuh支持进程和网络双路监控，集成Sysmon和Suricata，适合中小企业验证，商业方案如奇安信天擎、深信服EDR,提供更丰富的规则和自动化响应。
中小企业主机入侵检测方案：双路分析如何落地？
中小企业预算有限，但同样面临威胁，双路检测并非高不可攀,可通过以下方案实现：
- 开源组合：Wazuh Manager + Sysmon（进程）+ Suricata（网络流），部署在关键服务器上,成本仅为硬件和运维时间。
- 云服务：国内云厂商如酷番云主机安全、简米云安骑士，默认提供进程和网络检测能力，按节点收费,适合无专职安全人员的企业。
- 轻量级方案：仅监控对外暴露的服务器，使用netstat和tasklist结合脚本定期检查,但需人力介入。
成本控制： 开源方案软件免费，但需投入人力配置和维护；商业云服务年费适中，国内主流产品每年每节点几百至数千元，根据功能差异，选择时先评估自身技术能力,再决定是自建还是采购。
国内主机入侵检测工具怎么选？
国内主机入侵检测市场成熟，主流产品普遍支持双路检测,且针对本土网络环境优化。
选型要点：
- 检测覆盖度：是否支持进程行为分析（父子进程、API调用、内存扫描）和网络流分析（连接日志、DNS、协议识别）。
- 性能影响：Agent对CPU和内存的占用是否在可控范围内,避免影响运行业务。
- 易用性：告警是否清晰，规则是否开箱即用,是否支持自动响应。
- 价格：按节点、功能模块或年费收费，不同厂商差异较大,建议先试用再购买。
常见产品对比：
- 奇安信天擎：深度进程行为检测，网络流分析集成威胁情报,价格中等。
- 深信服EDR：双路检测成熟，沙箱联动,性价比尚可。
- 360主机安全：免费版涵盖基础功能，付费版解锁高级分析,适合中小企业起步。
- 亚信安全：企业级功能全面，价格偏高,适合大型机构。
建议： 中小企业可以先从云服务免费版或开源方案入手，验证双路检测效果后再按需扩展，国内地域环境特殊,选择时留意产品的本地化威胁情报库和合规支持。
主机入侵检测双路分析并非可选项，而是应对现代威胁的必选项，进程行为与网络流如同主机安全的“左右手”，缺一不可，无论采用商业工具还是开源方案，都应确保同时覆盖这两个维度，才能有效降低漏报风险,提升整体安全防御能力。
Q&A：主机入侵检测双路分析常见问题
主机入侵检测必须要同时监控进程和网络吗？
是的，单一路径容易漏报，进程行为侧重执行，网络流侧重通信，只有双路结合才能覆盖攻击链的多个阶段，降低漏报风险，从行业实践来看,多数安全运营团队已将双路检测列为标配。
中小企业如何低预算实现双路检测？
可以采用开源方案，如Wazuh结合Sysmon和Suricata，实现进程和网络数据采集与分析，部署在关键服务器上，逐步扩展，成本主要是时间投入，但软件免费,云服务商的免费版也是有效起点。
进程行为分析和网络流分析哪个更优先？
没有绝对优先级，取决于具体场景，对于勒索软件，进程行为可能更早告警；对于APT攻击，网络流可能先发现异常，建议同时部署，并根据威胁情报调整检测规则权重,无需在两者之间取舍。