采用入侵防御系统增强网络安全建议

《采用入侵防御系统增强网络安全建议》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、采用入侵防御系统增强网络安全建议目录1.需求分析41.1权威研究报告指出系统入侵/渗透是目前最大的安全威胁41.2现有的安全架构无法应对系统入侵的新威胁41.3安全缺口在扩大61.4系统和网络安全面临的实际问题72.问题解决之道–采用IPS增强网络安全83.IPS部署方案设计93.1设计原则93.2IPS部署设计103.2.1总体部署方案103.2.2IPS的工作模式113.2.3安全防护设计133.2.4网络架构防护163.3网管设计193.3.1可靠性设计223.4合理化建议（拓展IPS和SMS功能）–问题端点隔离技术25图例图1权威调查揭示2/3的

2、受访者认为系统渗透/入侵是面临的最大安全威胁3图2现有的FW无法识别拦截应用层面攻击3图3攻击历史回顾提醒我们蠕虫的快速传播曾造成巨大损失3图4安全缺口在不断扩大3图5IPS提供主动和自动化的安全防护3图6IPS部署总体设计3图7灵活部署-从核心到边界3图8TippingPointIPS三大应用场景3图9IPS部署–应用防护3图10虚拟软件补丁3图11IPS部署–网络架构防护3图12IPS部署-性能防护3图13IPS安全管理设计3图14安全管理系统3图15SMS仪表板3图16本地安全管理系统3图17掉电旁路保护设备-ZPHA3图18DMZ区IPS高可靠性

3、设计3图19内置系统故障旁路3图20双机冗余设计3图21IPS和SMS功能扩展–问题端点隔离功能3需求分析1.1权威研究报告指出系统入侵/渗透是目前最大的安全威胁VanDykeSoftware组织的一次广泛而具有影响力的调查显示，66%的公司认为系统渗透是政府、组织和企业所面临的最大威胁。该项调查还显示，被调查企业所经历的最为严重的八种威胁分别是：病毒（占78%）、系统渗透（占50%）、DoS(占40%)、内部人员错误操作（占29%）、电子欺诈（占28%）、数据或网络故障（占20%）以及内部人员的非法访问（占16%）。图1权威调查揭示2/3的受访者认为系

4、统渗透/入侵是面临的最大安全威胁1.2现有的安全架构无法应对系统入侵的新威胁虽然在被调查的企业中，有86%已经部署了防火墙（老实说，相对于时代的发展和今天的大环境，这个数字低得让人无法接受），但很明显，防火墙面对很多入侵行为仍然无计可施。普通的防火墙设计旨在拒绝那些明显可疑的网络流量（例如，企业的安全策略完全禁止Telnet访问，但仍有某些用户试图通过Telnet访问某个设备），但仍允许某些流量通过（例如，发送到内部Web服务器的Web流量）。图2现有的FW无法识别拦截应用层面攻击问题在于，很多攻击都会尝试利用那些外围防火墙允许通过的协议的漏洞，而且，一

5、旦Web服务器遭到攻击，攻击者会以此为跳板继续对其它内部服务器发起攻击。一旦服务器上被安装了“rootkit”或“后门”，那么黑客们就能够在未来的任何时间里“大摇大摆”地访问这台机器。一般来说，我们仅将防火墙部署在网络外围。但很多攻击，无论是全球性攻击还是其它类型的攻击，往往都是从组织内部发起的。虚拟专用网、便携式计算机以及无线网络都能够接入到内部网络，而且经常会越过防火墙。入侵检测系统在检测可疑活动时可能很有效，但却不能提供对攻击的防护。臭名昭著的蠕虫（例如Slammer和Blaster）都具有惊人的传播速度，当系统发出警报时，蠕虫实际上已经导致了损失

6、，而且正在飞速地向外扩散。图3攻击历史回顾提醒我们蠕虫的快速传播曾造成巨大损失1.1安全缺口在扩大随之网络和应用的不断发展，安全的需求也在不断增长，而我们现有的安全能力却没有提高，造成安全缺口不断在扩大，如下图所示：图4安全缺口在不断扩大1.1系统和网络安全面临的实际问题依靠现有的FW、IDS等安全设备，我们已经不能及时掌握网络和系统的安全状况，也无法及时拦截攻击和进行补救。下面是一些亟待解决的问题：1.FW、IDS已经不能保护应用安全，攻击能够穿透防火墙，比如SQL注入攻击，而我们不可能将SQL使用的TCP端口在防火墙上关闭，因为这样会将正常的SQL操

7、作也阻断。这说明FW不能对数据流作深度分析，不能检测到应用层面的攻击，仅起到访问控制的作用，而IDS虽然能够监测到攻击，但是却不能够及时自动的拦截攻击，需要大量的人工干预，效率较低。2.网络中的设备和系统越来越多，同时，这些设备和系统使用的操作系统和应用软件存在的漏洞也不断被发现，应用层面的攻击正是利用了这些漏洞，比如，微软已经公布了很多Web服务器软件IIS和数据库软件MS-SQL的系统漏洞，而这些系统被广泛采用，如何为这些设备和系统及时打补丁(修补漏洞)成为一件必须解决的问题。3.来自于外部的攻击越来越多，而且发展成为零日攻击（Zero-dayAtt

8、acks），加之黑客工具泛滥，如果存在漏洞的系统没有及时打补丁，则潜在被攻击的可