入侵防御系统的过去、现在和未来

《入侵防御系统的过去、现在和未来》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、入侵防御系统的过去、现在和未来～教育资源库　　入侵防御系统(IntrusionPreventionSystem，IPS)是这段时间网络安全业内比较热门的一个词，这种既能及时发现又能实时阻断各种入侵行为的安全产品，自面世那天起，就受到各大安全厂商和用户的广泛关注。　　有人认为，入侵防御系统(IPS)就是入侵检测系统(IntrusionDetectionSystem，IDS)的升级产品，有了IPS，就可以替代以前的IDS系统，这也正是Gartner在2003年发表那篇著名的IDSisdead的理由。　　从入侵防御系统的起源来看，这个升级说似乎有些道理：Netda

2、sh;精确阻断，即精确判断各种深层的攻击行为，并实现实时的阻断。　　精确阻断解决了自IPS概念出现以来用户和厂商的最大困惑：如何确保IPS无误报和滥报，使得串接设备不会形成新的网络故障点?　　而作为一款防御入侵攻击的设备，毫无疑问，防御各种深层入侵行为是第二个重点，这也是IPS系统区别于其他安全产品的本质特点;这也给精确阻断加上了一个修饰语：保障深层防御情况下的精确阻断，即在确保精确阻断的基础上，尽量多地发现攻击行为(如SQL注入攻击、缓冲区溢出攻击、恶意代码攻击、后门、木马、间谍软件)，这才是IPS发展的主线功能。　　如何确保对深层入侵行为的准确判断?刚刚

3、推出天清入侵防御系统的专业安全厂商启明星辰有着自己独特的技术和专利。启明星辰的技术专家介绍说，依托多年以来在入侵检测技术方面的深厚积累，启明星辰独创性地建立了柔性化检测机制，在确保精确判定攻击行为的基础上，涵盖了各种攻击手法类型。　　我们知道常用的攻击检测方法有两种，一种方法是通过定义攻击行为的数据特征来实现对已知攻击的检测，其优势是技术上实现简单、易于扩充、可迅速实现对特定新攻击的检测和拦截;但仅能识别已知攻击、抗变种能力弱。另一种方法是通过分析攻击产生原理，定义攻击类型的统一特征，能准确识别基于相同原理的各种攻击、不受攻击变种的影响，但技术门槛高、扩充复

4、杂、应对新攻击速度有限。两种检测机制如图2所示。　　图2基于特征和原理的检测机制12下一页友情提醒：，特别！对比　　融合基于特征的检测机制和基于原理的检测机制形成的柔性检测机制，它最大的特点就是基于原理的检测方法与基于特征的检测方法并存，有机组合了两种检测方法的优势。这种融合不仅是一个两种检测方法的大融合，而且细分到对攻击检测防御的每一个过程中，在抗躲避的处理、协议分析、攻击识别等过程中都包含了动态与静态检测的融合。如图3所示。　　图3启明星辰柔性检测机制原理　　通过运用柔性检测机制，天清入侵防御系统进一步增强了设备的抗躲避能力、精确阻断能力、变形攻击识别能

5、力和对新攻击应变能力，提高了精确检测的覆盖面。　　当然，前面提到的扩展功能和高性能，也是入侵防御系统所必需关注的内容，但也要符合产品的主线功能发展趋势。如针对P2P的限制：P2P作为一种新兴的下载手段，得到了极为广泛的运用，但由无限制的P2P应用会影响网络的带宽消耗，并且还随此带来知识产权、病毒等多种相关问题。而实现对P2P的控制和限制，需要较为深入的应用层分析，交给IPS来限制、防范，是一个比较恰当的选择。而ACL控制、路由、NAT等，这些都是防火墙可以完成的工作，在IPS上来实现这些功能，就有画蛇添足之嫌了。　　性能表现是IPS的又一重要指标，但这里的性

6、能应该是更广泛含义上的性能：包括了最大的参数表现和异常状况下的稳定保障。也就是说，性能除了需要关注诸如吞吐率多大？，转发时延多长？，一定背景流下检测率如何？等性能参数表现外，还需要关注：如果出现了意外情况，怎样/多快能恢复网络的正常通讯？，这个问题也是IPS出现之初被质疑的一个重点。串接设备出现故障和旁路设备不一样，是会影响到正常业务运营的，而做深层分析的串接设备更加如此，在长时间做大量数据深度分析的情况下，如何确保通讯的顺畅？如何确保出现异常情况后通讯的顺畅？　　天清入侵防御系统通过内置硬件Watchdog、软件监控进程，对系统的异常实时监控和处理，实现了

7、软件和硬件的双BYPASS功能，在各种异常情况下确保了网络的通畅，部署后不增加网络故障点。天清IPS始终遵循最短时间优先原则，调度任务、算法和CPU时间，具体如图4所示。　　IPS的未来发展方向是什么?　　明确了IPS的主线功能是深层防御、精确阻断后，IPS未来发展趋势也就明朗化了：不断丰富和完善IPS可以精确阻断的攻击种类和类型，并在此基础之上提升IPS产品的设备处理性能。　　而在提升性能方面存在的一个悖论就是：需提升性能，除了在软件处理方式上优化外，硬件架构的设计也是一个非常重要的方面，目前的ASIC/NP等高性能硬件，都是采用嵌入式指令+专用语言开发，

8、将已知攻击行为的特征固化在电子固件上，虽然能提升匹配