IPS簡(jiǎn)介

　　侵入保護(hù)（阻止）系統(tǒng)（IPS）是新一代的侵入檢測(cè)系統(tǒng)（IDS），可彌補(bǔ)IDS存在于前攝及假陽(yáng)性/陰性等性質(zhì)方面的弱點(diǎn)。IPS能夠識(shí)別事件的侵入、關(guān)聯(lián)、沖擊、方向和適當(dāng)?shù)姆治觯缓髮⒑线m的信息和命令傳送給防火墻、交換機(jī)和其它的網(wǎng)絡(luò)設(shè)備以減輕該事件的風(fēng)險(xiǎn)。

　　IPS的關(guān)鍵技術(shù)成份包括所合并的全球和本地主機(jī)訪(fǎng)問(wèn)控制、IDS、全球和本地安全策略、風(fēng)險(xiǎn)管理軟件和支持全球訪(fǎng)問(wèn)并用于管理IPS的控制臺(tái)。如同IDS中一樣，IPS中也需要降低假陽(yáng)性或假陰性，它通常使用更為先進(jìn)的侵入檢測(cè)技術(shù)，如試探式掃描、內(nèi)容檢查、狀態(tài)和行為分析，同時(shí)還結(jié)合常規(guī)的侵入檢測(cè)技術(shù)如基于簽名的檢測(cè)和異常檢測(cè)。

　　同侵入檢測(cè)系統(tǒng)（IDS）一樣，IPS系統(tǒng)分為基于主機(jī)和網(wǎng)絡(luò)兩種類(lèi)型。基于主機(jī)的IPS依靠在被保護(hù)的系統(tǒng)中所直接安裝的代理。它與操作系統(tǒng)內(nèi)核和服務(wù)緊密地捆綁在一起，監(jiān)視并截取對(duì)內(nèi)核或API的系統(tǒng)調(diào)用，以便達(dá)到阻止并記錄攻擊的作用。它也可以監(jiān)視數(shù)據(jù)流和特定應(yīng)用的環(huán)境（如網(wǎng)頁(yè)服務(wù)器的文件位置和注冊(cè)條目），以便能夠保護(hù)該應(yīng)用程序使之能夠避免那些還不存在簽名的、普通的攻擊。

IPS百科

　　侵入保護(hù)（阻止）系統(tǒng)（IPS）是新一代的侵入檢測(cè)系統(tǒng)（IDS），可彌補(bǔ)IDS存在于前攝及假陽(yáng)性/陰性等性質(zhì)方面的弱點(diǎn)。IPS能夠識(shí)別事件的侵入、關(guān)聯(lián)、沖擊、方向和適當(dāng)?shù)姆治觯缓髮⒑线m的信息和命令傳送給防火墻、交換機(jī)和其它的網(wǎng)絡(luò)設(shè)備以減輕該事件的風(fēng)險(xiǎn)。

　　IPS的關(guān)鍵技術(shù)成份包括所合并的全球和本地主機(jī)訪(fǎng)問(wèn)控制、IDS、全球和本地安全策略、風(fēng)險(xiǎn)管理軟件和支持全球訪(fǎng)問(wèn)并用于管理IPS的控制臺(tái)。如同IDS中一樣，IPS中也需要降低假陽(yáng)性或假陰性，它通常使用更為先進(jìn)的侵入檢測(cè)技術(shù)，如試探式掃描、內(nèi)容檢查、狀態(tài)和行為分析，同時(shí)還結(jié)合常規(guī)的侵入檢測(cè)技術(shù)如基于簽名的檢測(cè)和異常檢測(cè)。

　　同侵入檢測(cè)系統(tǒng)（IDS）一樣，IPS系統(tǒng)分為基于主機(jī)和網(wǎng)絡(luò)兩種類(lèi)型。基于主機(jī)的IPS依靠在被保護(hù)的系統(tǒng)中所直接安裝的代理。它與操作系統(tǒng)內(nèi)核和服務(wù)緊密地捆綁在一起，監(jiān)視并截取對(duì)內(nèi)核或API的系統(tǒng)調(diào)用，以便達(dá)到阻止并記錄攻擊的作用。它也可以監(jiān)視數(shù)據(jù)流和特定應(yīng)用的環(huán)境（如網(wǎng)頁(yè)服務(wù)器的文件位置和注冊(cè)條目），以便能夠保護(hù)該應(yīng)用程序使之能夠避免那些還不存在簽名的、普通的攻擊。

　　基于網(wǎng)絡(luò)的IPS綜合了標(biāo)準(zhǔn)IDS的功能，IDS是IPS與防火墻的混合體，并可被稱(chēng)為嵌入式IDS或網(wǎng)關(guān)IDS（GIDS）。基于網(wǎng)絡(luò)的IPS設(shè)備只能阻止通過(guò)該設(shè)備的惡意信息流。為了提高IPS設(shè)備的使用效率，必須采用強(qiáng)迫信息流通過(guò)該設(shè)備的方式。更為具體的來(lái)說(shuō)，受保護(hù)的信息流必須代表著向聯(lián)網(wǎng)計(jì)算機(jī)系統(tǒng)或從中發(fā)出的數(shù)據(jù)，且在其中：指定的網(wǎng)絡(luò)領(lǐng)域中，需要高度的安全和保護(hù)和/或該網(wǎng)絡(luò)領(lǐng)域中存在極可能發(fā)生的內(nèi)部爆發(fā)配置地址能夠有效地將網(wǎng)絡(luò)劃分成最小的保護(hù)區(qū)域，并能夠提供最大范圍的有效覆蓋率。

　　產(chǎn)生原因

　　A：串行部署的防火墻可以攔截低層攻擊行為，但對(duì)應(yīng)用層的深層攻擊行為無(wú)能為力。

　　B：旁路部署的IDS可以及時(shí)發(fā)現(xiàn)那些穿透防火墻的深層攻擊行為，作為防火墻的有益補(bǔ)充，但很可惜的是無(wú)法實(shí)時(shí)的阻斷。

　　C：IDS和防火墻聯(lián)動(dòng)：通過(guò)IDS來(lái)發(fā)現(xiàn)，通過(guò)防火墻來(lái)阻斷。但由于迄今為止沒(méi)有統(tǒng)一的接口規(guī)范，加上越來(lái)越頻發(fā)的“瞬間攻擊”（一個(gè)會(huì)話(huà)就可以達(dá)成攻擊效果，如SQL注入、溢出攻擊等），使得IDS與防火墻聯(lián)動(dòng)在實(shí)際應(yīng)用中的效果不顯著。

　　于是就有下面的一種想法，如圖所示。

　　這就是IPS產(chǎn)品的起源：一種能防御防火墻所不能防御的深層入侵威脅（入侵檢測(cè)技術(shù)）的在線(xiàn)部署（防火墻方式）安全產(chǎn)品。由于用戶(hù)發(fā)現(xiàn)了一些無(wú)法控制的入侵威脅行為，這也正是IDS的作用。

　　入侵檢測(cè)系統(tǒng)（IDS）對(duì)那些異常的、可能是入侵行為的數(shù)據(jù)進(jìn)行檢測(cè)和報(bào)警，告知使用者網(wǎng)絡(luò)中的實(shí)時(shí)狀況，并提供相應(yīng)的解決、處理方法，是一種側(cè)重于風(fēng)險(xiǎn)管理的安全產(chǎn)品。

　　入侵防御系統(tǒng)（IPS）對(duì)那些被明確判斷為攻擊行為，會(huì)對(duì)網(wǎng)絡(luò)、數(shù)據(jù)造成危害的惡意行為進(jìn)行檢測(cè)和防御，降低或是減免使用者對(duì)異常狀況的處理資源開(kāi)銷(xiāo)，是一種側(cè)重于風(fēng)險(xiǎn)控制的安全產(chǎn)品。

　　這也解釋了IDS和IPS的關(guān)系，并非取代和互斥，而是相互協(xié)作：沒(méi)有部署IDS的時(shí)候，只能是憑感覺(jué)判斷，應(yīng)該在什么地方部署什么樣的安全產(chǎn)品，通過(guò)IDS的廣泛部署，了解了網(wǎng)絡(luò)的當(dāng)前實(shí)時(shí)狀況，據(jù)此狀況可進(jìn)一步判斷應(yīng)該在何處部署何類(lèi)安全產(chǎn)品（IPS等）。

　　功能特點(diǎn)

　　入侵防御系統(tǒng)作為串接部署的設(shè)備，確保用戶(hù)業(yè)務(wù)不受影響是一個(gè)重點(diǎn)，錯(cuò)誤的阻斷必定意味著影響正常業(yè)務(wù)，在錯(cuò)誤阻斷的情況下，各種所謂擴(kuò)展功能、高性能都是一句空話(huà)。這就引出了IPS設(shè)備所應(yīng)該關(guān)心的重點(diǎn)——精確阻斷，即精確判斷各種深層的攻擊行為，并實(shí)現(xiàn)實(shí)時(shí)的阻斷。

　　精確阻斷解決了自IPS概念出現(xiàn)以來(lái)用戶(hù)和廠商的最大困惑：如何確保IPS無(wú)誤報(bào)和濫報(bào)，使得串接設(shè)備不會(huì)形成新的網(wǎng)絡(luò)故障點(diǎn)。而作為一款防御入侵攻擊的設(shè)備，毫無(wú)疑問(wèn)，防御各種深層入侵行為是第二個(gè)重點(diǎn)，這也是IPS系統(tǒng)區(qū)別于其他安全產(chǎn)品的本質(zhì)特點(diǎn)；這也給精確阻斷加上了一個(gè)修飾語(yǔ)：保障深層防御情況下的精確阻斷，即在確保精確阻斷的基礎(chǔ)上，盡量多地發(fā)現(xiàn)攻擊行為（如SQL注入攻擊、緩沖區(qū)溢出攻擊、惡意代碼攻擊、后門(mén)、木馬、間諜軟件），這才是IPS發(fā)展的主線(xiàn)功能。

　　天清入侵防御系統(tǒng)的專(zhuān)業(yè)安全廠商啟明星辰有著自己獨(dú)特的技術(shù)和專(zhuān)利。啟明星辰的技術(shù)專(zhuān)家介紹說(shuō)，依托多年以來(lái)在入侵檢測(cè)技術(shù)方面的深厚積累，啟明星辰獨(dú)創(chuàng)性地建立了柔性化檢測(cè)機(jī)制，在確保精確判定攻擊行為的基礎(chǔ)上，涵蓋了各種攻擊手法類(lèi)型。

　　常用的攻擊檢測(cè)方法有兩種，一種方法是通過(guò)定義攻擊行為的數(shù)據(jù)特征來(lái)實(shí)現(xiàn)對(duì)已知攻擊的檢測(cè)，其優(yōu)勢(shì)是技術(shù)上實(shí)現(xiàn)簡(jiǎn)單、易于擴(kuò)充、可迅速實(shí)現(xiàn)對(duì)特定新攻擊的檢測(cè)和攔截；但僅能識(shí)別已知攻擊、抗變種能力弱。另一種方法是通過(guò)分析攻擊產(chǎn)生原理，定義攻擊類(lèi)型的統(tǒng)一特征，能準(zhǔn)確識(shí)別基于相同原理的各種攻擊、不受攻擊變種的影響，但技術(shù)門(mén)檻高、擴(kuò)充復(fù)雜、應(yīng)對(duì)新攻擊速度有限。

　　性能擴(kuò)展

　　融合“基于特征的檢測(cè)機(jī)制”和“基于原理的檢測(cè)機(jī)制”形成的“柔性檢測(cè)”機(jī)制，它最大的特點(diǎn)就是基于原理的檢測(cè)方法與基于特征的檢測(cè)方法并存，有機(jī)組合了兩種檢測(cè)方法的優(yōu)勢(shì)。這種融合不僅是一個(gè)兩種檢測(cè)方法的大融合，而且細(xì)分到對(duì)攻擊檢測(cè)防御的每一個(gè)過(guò)程中，在抗躲避的處理、協(xié)議分析、攻擊識(shí)別等過(guò)程中都包含了動(dòng)態(tài)與靜態(tài)檢測(cè)的融合。

　　通過(guò)運(yùn)用柔性檢測(cè)機(jī)制，天清入侵防御系統(tǒng)進(jìn)一步增強(qiáng)了設(shè)備的抗躲避能力、精確阻斷能力、變形攻擊識(shí)別能力和對(duì)新攻擊應(yīng)變能力，提高了精確檢測(cè)的覆蓋面。

　　擴(kuò)展功能和高性能，也是入侵防御系統(tǒng)所必需關(guān)注的內(nèi)容，但也要符合產(chǎn)品的主線(xiàn)功能發(fā)展趨勢(shì)。如針對(duì)P2P的限制：P2P作為一種新興的下載手段，得到了極為廣泛的運(yùn)用，但由無(wú)限制的P2P應(yīng)用會(huì)影響網(wǎng)絡(luò)的帶寬消耗，并且還隨此帶來(lái)知識(shí)產(chǎn)權(quán)、病毒等多種相關(guān)問(wèn)題。而實(shí)現(xiàn)對(duì)P2P的控制和限制，需要較為深入的應(yīng)用層分析，交給IPS來(lái)限制、防范，是一個(gè)比較恰當(dāng)?shù)倪x擇。而ACL控制、路由、NAT等，這些都是防火墻可以完成的工作，在IPS上來(lái)實(shí)現(xiàn)這些功能，就有畫(huà)蛇添足之嫌了。

　　性能表現(xiàn)是IPS的又一重要指標(biāo)，但這里的性能應(yīng)該是更廣泛含義上的性能：包括了最大的參數(shù)表現(xiàn)和異常狀況下的穩(wěn)定保障。也就是說(shuō)，性能除了需要關(guān)注諸如“吞吐率多大？”，“轉(zhuǎn)發(fā)時(shí)延多長(zhǎng)？”，“一定背景流下檢測(cè)率如何？”等性能參數(shù)表現(xiàn)外，還需要關(guān)注：“如果出現(xiàn)了意外情況，怎樣/多快能恢復(fù)網(wǎng)絡(luò)的正常通訊？”，這個(gè)問(wèn)題也是IPS出現(xiàn)之初被質(zhì)疑的一個(gè)重點(diǎn)。

　　發(fā)展方向

　　明確了IPS的主線(xiàn)功能是深層防御、精確阻斷后，IPS未來(lái)發(fā)展趨勢(shì)也就明朗化了：不斷豐富和完善IPS可以精確阻斷的攻擊種類(lèi)和類(lèi)型，并在此基礎(chǔ)之上提升IPS產(chǎn)品的設(shè)備處理性能。

　　在提升性能方面存在的一個(gè)悖論就是：需提升性能，除了在軟件處理方式上優(yōu)化外，硬件架構(gòu)的設(shè)計(jì)也是一個(gè)非常重要的方面，目前的ASIC/NP等高性能硬件，都是采用嵌入式指令+專(zhuān)用語(yǔ)言開(kāi)發(fā)，將已知攻擊行為的特征固化在電子固件上，雖然能提升匹配的效率，但在攻擊識(shí)別的靈活度上過(guò)于死板（對(duì)變種較難發(fā)現(xiàn)），在新攻擊特征的更新上有所滯后（需做特征的編碼化）。而基于開(kāi)放硬件平臺(tái)的IPS由于采用的是高級(jí)編程語(yǔ)言，不存在變種攻擊識(shí)別和特征更新方面的問(wèn)題，但在性能上存在處理效率瓶頸：暫時(shí)達(dá)不到電信級(jí)骨干網(wǎng)絡(luò)的流量要所以，入侵防御系統(tǒng)的未來(lái)發(fā)展方向應(yīng)該有以下兩個(gè)方面：

　　第一，更加廣泛的精確阻斷范圍：擴(kuò)大可以精確阻斷的事件類(lèi)型，尤其是針對(duì)變種以及無(wú)法通過(guò)特征來(lái)定義的攻擊行為的防御。

　　第二，適應(yīng)各種組網(wǎng)模式：在確保精確阻斷的情況下，適應(yīng)電信級(jí)骨干網(wǎng)絡(luò)的防御需求。

　　如何評(píng)價(jià)入侵防護(hù)系統(tǒng)

　　針對(duì)越來(lái)越多的蠕蟲(chóng)、病毒、間諜軟件、垃圾郵件、DDoS等混合威脅及黑客攻擊，不僅需要有效檢測(cè)到各種類(lèi)型的攻擊，更重要的是降低攻擊的影響，從而保證業(yè)務(wù)系統(tǒng)的連續(xù)性和可用性。一款優(yōu)秀的網(wǎng)絡(luò)入侵防護(hù)系統(tǒng)應(yīng)該具備以下特征：●滿(mǎn)足高性能的要求，提供強(qiáng)大的分析和處理能力，保證正常網(wǎng)絡(luò)通信的質(zhì)量；●提供針對(duì)各類(lèi)攻擊的實(shí)時(shí)檢測(cè)和防御功能，同時(shí)具備豐富的訪(fǎng)問(wèn)控制能力，在任何未授權(quán)活動(dòng)開(kāi)始前發(fā)現(xiàn)攻擊，避免或減緩攻擊可能給企業(yè)帶來(lái)的損失；●準(zhǔn)確識(shí)別各種網(wǎng)絡(luò)流量，降低漏報(bào)和誤報(bào)率，避免影響正常的業(yè)務(wù)通訊；●全面、精細(xì)的流量控制功能，確保企業(yè)關(guān)鍵業(yè)務(wù)持續(xù)穩(wěn)定運(yùn)轉(zhuǎn)；●具備豐富的高可用性，提供BYPASS（硬件、軟件）和HA等可靠性保障措施；●可擴(kuò)展的多鏈路IPS防護(hù)能力，避免不必要的重復(fù)安全投資；●提供靈活的部署方式，支持在線(xiàn)模式和旁路模式的部署，第一時(shí)間把攻擊阻斷在企業(yè)網(wǎng)絡(luò)之外，同時(shí)也支持旁路模式部署，用于攻擊檢測(cè)，適合不同客戶(hù)需要；●支持分級(jí)部署、集中管理，滿(mǎn)足不同規(guī)模網(wǎng)絡(luò)的使用和管理需求。

　　產(chǎn)品示例

　　網(wǎng)絡(luò)入侵防護(hù)系統(tǒng)是網(wǎng)絡(luò)入侵防護(hù)系統(tǒng)同類(lèi)產(chǎn)品中的精品典范，該產(chǎn)品高度融合高性能、高安全性、高可靠性和易操作性等特性，產(chǎn)品內(nèi)置先進(jìn)的Web信譽(yù)機(jī)制，同時(shí)具備深度入侵防護(hù)、精細(xì)流量控制，以及全面用戶(hù)上網(wǎng)行為監(jiān)管等多項(xiàng)功能，能夠?yàn)橛脩?hù)提供深度攻擊防御和應(yīng)用帶寬保護(hù)的完美價(jià)值體驗(yàn)。

　　入侵防護(hù)

　　實(shí)時(shí)、主動(dòng)攔截黑客攻擊、蠕蟲(chóng)、網(wǎng)絡(luò)病毒、后門(mén)木馬、D.o.S等惡意流量，保護(hù)企業(yè)信息系統(tǒng)和網(wǎng)絡(luò)架構(gòu)免受侵害，防止操作系統(tǒng)和應(yīng)用程序損壞或宕機(jī)。

　　Web安全

　　基于互聯(lián)網(wǎng)Web站點(diǎn)的掛馬檢測(cè)結(jié)果，結(jié)合URL信譽(yù)評(píng)價(jià)技術(shù)，保護(hù)用戶(hù)在訪(fǎng)問(wèn)被植入木馬等惡意代碼的網(wǎng)站時(shí)不受侵害，及時(shí)、有效地第一時(shí)間攔截Web威脅。

　　流量控制

　　阻斷一切非授權(quán)用戶(hù)流量，管理合法網(wǎng)絡(luò)資源的利用，有效保證關(guān)鍵應(yīng)用全天候暢通無(wú)阻，通過(guò)保護(hù)關(guān)鍵應(yīng)用帶寬來(lái)不斷提升企業(yè)IT產(chǎn)出率和收益率。

　　上網(wǎng)監(jiān)管

　　全面監(jiān)測(cè)和管理IM即時(shí)通訊、P2P下載、網(wǎng)絡(luò)游戲、在線(xiàn)視頻，以及在線(xiàn)炒股等網(wǎng)絡(luò)行為，協(xié)助企業(yè)辨識(shí)和限制非授權(quán)網(wǎng)絡(luò)流量，更好地執(zhí)行企業(yè)的安全策略。