影响与风险
看不见异常就无法及时响应，但告警还需要人或流程处理。
安全运营
IDS
IDS 入侵检测系统
监测网络或主机行为并告警可疑活动，但通常不直接阻断。
一句话记忆IDS 是发现可疑活动后响铃的观察员。
监测网络或主机行为并告警可疑活动，但通常不直接阻断。
交互图解
从概念到风险，再到防护
切换三个步骤，观察角色、机制和结果的变化。
SCENE / 038安全运营
概念：监测系统发现疑似扫描，通知分析员核查来源和目标。
一个具体场景
把概念放进日常操作
监测系统发现疑似扫描，通知分析员核查来源和目标。
从这些线索开始
确认监测位置、规则命中、上下文和告警是否被及时分析。
可以采取的动作
覆盖关键流量或主机，调优规则并建立告警升级与调查流程。