入侵防御渐成熟安全采购最关注ips

《入侵防御渐成熟安全采购最关注ips》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、入侵防御渐成熟安全采购最关注IPS～教育资源库　　IPS针对企业深层应用进行防御，不仅可以实现对内容攻击行为的精确匹配，而且IPS采用在线检测的模式可以极大地保证采取防御手段的时间。目前，IPS已经成为了国内用户现阶段安全采购的主要关注点。　　随着Inter应用的迅速普及，目前的应用系统发展与（统一威胁管理平台）的出现，IPS已经成为了国内用户现阶段安全采购的主要关注点。　　IPS的发展有其必然性，从2002年开始，大多数传统的防火墙对于企业网络的安全，已经无法实施100%的控制，对于夹杂在合法内容中的可疑流量分析、DoS攻击、蠕虫

2、病毒、间谍软件等威胁，几乎没有有效的反击措施。特别是大部分防火墙检查的层次主要集中在传输层以下，即使是优秀的防火墙也只能提供一小部分深度检测能力，对于大量出现的面向应用的攻击，根本无能为力。　　也正是如此，采用实时在线方式的IPS设备被逐步使用。IPS针对企业深层应用进行防御，不仅可以实现对内容攻击行为的精确匹配，而且IPS采用在线检测的模式可以极大地保证采取防御手段的时间。　　腾蒙公司的分析师表示，从2005年开始，一大批优秀的IPS厂家开始发展壮大，他们凭着对用户安全部署理念的理解，结合自身的优势，开发了众多的高端IPS产品。以

3、目前国内市场比较受欢迎的Radatch硬件引擎，提供了独特的内置安全交换和高速深度包检测，从而确保对所有网路流量进行双向扫描，以便防范应用级的攻击。另外，在3G吞吐的基础上，DefensePro还提供极高的密度，单台主机可以保护多达11个网段。　　为了确保这类高端IPS的带宽落到实处，这类产品一般要提供基于动态的流量控制。因为从传统意义上来说，增加更多的带宽可能只会提高对非关键应用的响应速度，而不能为最需要带宽的应用提供保证，特别是对于开展大量VoIP应用的企业，更加需要在安全的前提下对动态流量进行分配。为此，高端IPS产品普遍采用

4、动态的流量控制，从而确保关键任务、应用的连续性，即使在遭受攻击的情况下，也可以实现端到端的带宽管理和服务质量控制（QoS），从而保证了服务水平协议并且提高了应用性能。　　另外，IPS对高吞吐流量的整合功能，可以确保提供具有容错性和可扩展的入侵检测的功能。换句话说，在高吞吐的前提下，IDS检测器具有完全的可用性和得到彻底的优化，从而使得站点范围内的攻击防范成为可能。通过整合网络段的IDS服务，避免了为在每个网络段部署检测器而要投入的高昂成本，同时也确保了全站点的IDS性能不会受到任何某个检测器的性能限制。　　目前高端IPS产品大都是在

5、专用的高性能安全交换机的基础上构建的新一代安全设备。像StringMatchEngine安全加速器，就是由8个用来搜索字符串的ASIC组成。可见，其设计出发点还是为了实现高性能的数据包深入检查，以便支持256000个并行模式的搜索。腾蒙公司的工程师认为，网络管理员通过使用此类设备，就可以非常容易地检测蠕虫、病毒和非正常流量模式，从而将攻击的威胁降至最低。　　全面防范DoS　　应该说，从2003年以来，对于DoS攻击的问题，一直是困扰网络用户的大事情。当前主流IPS厂家的DoS防御方式主要分为两类（以SynFlood为例）：　　第一类

6、是采用SynProxy（也可以采用SynCookie）的方式。在这种方式中，IPS设备中会设置一个SynProxy做代理，当外来的TCPSyn需要和企业Web服务器（或者数据库服务器）建立连接的时候，IPS中的SynProxy会首先和外来TCPSyn建立连接，同时发送SynAck贞。如果是真实的外部用户访问，则会回复一个Ack响应贞。当SynProxy收到响应后，就会认为三次握手成功，同时把连接中继给企业的Web服务器；但如果是SynFlood攻击的半开连接，由于没有响应回复，就会被TCPReset。如果攻击者利用大面积僵尸网络发起

7、攻击，则会存在大量的真实连接，这就要求IPS必须具分配给SynProxy或SynCookie功能模块的处理资源足够多。　　第二类是采用深度学习方式。首先IPS设备在InLine使用前，先作为OffLine状态进行流量学习。学习的目的是统计分析企业网的正常流量、常见外部访问地址等信息，并将这些信息建立一个散列表，这个过程最快可以在两天内完成。此后将IPS设为正常使用，这样即便遇到大量的僵尸网络攻击，IPS也可以根据日常学习的结果，优先保证常见外部地址的访问，缓解攻击的影响。　　对于DoS的防御，用户也要根据自己的实际情况作出选择。如果

8、用户面临的威胁很大，甚至是经常遭受团体攻击行为，则用户需要具有大量CPU周期资源和大量内存空间的IPS或防火墙来应对。因为在IPv4阶段，只有凭借大量的SynIO能力，才能最大程度缓解攻击的影响。　　另外，为了能够阻止可以致使企业网络