IPS如何實(shí)現深度檢測和入侵抵御
from:chinaitlab
基于策略的安全防御
隨著(zhù)網(wǎng)絡(luò )攻擊技術(shù)的不斷提高和網(wǎng)絡(luò )安全漏洞的不斷發(fā)現，傳統防火墻技術(shù)加傳統IDS的技術(shù)，已經(jīng)無(wú)法應對一些安全威脅。在這種情況下，IPS技術(shù)應運而生，IPS技術(shù)可以深度感知并檢測流經(jīng)的數據流量，對惡意報文進(jìn)行丟棄以阻斷攻擊，對濫用報文進(jìn)行限流以保護網(wǎng)絡(luò )帶寬資源。
IPS如何實(shí)現深度檢測和入侵抵御
，可以根據預先設定的安全策略，對流經(jīng)的每個(gè)報文進(jìn)行深度檢測（協(xié)議分析跟蹤、特征匹配、流量統計分析、事件關(guān)聯(lián)分析等），如果一旦發(fā)現隱藏于其中網(wǎng)絡(luò )攻擊，可以根據該攻擊的威脅級別立即采取抵御措施，這些措施包括（按照處理力度）：向管理中心告警；丟棄該報文；切斷此次應用會(huì )話(huà)；切斷此次TCP連接。
在哪里部署
進(jìn)行了以上分析以后，我們可以得出結論，辦公網(wǎng)中，至少需要在以下區域部署IPS，即辦公網(wǎng)與外部網(wǎng)絡(luò )的連接部位（入口/出口）；重要服務(wù)器集群前端；辦公網(wǎng)內部接入層。至于其它區域，可以根據實(shí)際情況與重要程度，酌情部署。
如何部署
在以下案例中，我們可以看到以IPS為核心的多種網(wǎng)絡(luò )深度檢測/實(shí)時(shí)抵御的方案；不同的方案，在不同的應用場(chǎng)景當中，可以適當地擴充或簡(jiǎn)化。
一、 基于策略的安全防御
1. 位于辦公網(wǎng)入口的IPS通過(guò)應用層協(xié)議分析跟蹤和特征匹配，發(fā)現目的地為業(yè)務(wù)服務(wù)器A的HTTP數據流中隱藏有針對Windows操作系統的DCOM漏洞的惡意利用；
2. IPS將此安全事件上報至管理中心；
3. 管理中心獲取服務(wù)器A的基本信息；
4. 管理中心根據獲取的A的信息，判斷該訪(fǎng)問(wèn)是否會(huì )造成危害，如果A不運行Windows操作系統或者A確實(shí)運行Windows但是已經(jīng)打了針對DCOM漏洞的補丁，則A是安全的；
5. 根據情況，管理中心向IPS下發(fā)制定的安全策略；
6. IPS執行安全策略，放行或者阻斷此次連接請求。
事實(shí)上，在這里我們描述的是需要管理中心介入的情況，在一些相對簡(jiǎn)單的情況下，如果我們事先可以確認服務(wù)器集群所運行的操作系統（在90%的情況下這是可能的），那么抵御該網(wǎng)絡(luò )攻擊的規則可以直接施加在IPS上，不再需要與管理中心的交互，從而降低部署的復雜度、提高效率。
二、應用感知的智能防御
1. 辦公網(wǎng)用戶(hù)訪(fǎng)問(wèn)Internet上的WWW服務(wù)器；
2. IPS檢測到該請求，判斷該請求符合事先設定的安全策略，放行；
3. 該用戶(hù)與外部服務(wù)器的連接建立；
4. 該用戶(hù)試圖通過(guò)已經(jīng)建立的連接，利用二次代理，發(fā)起對某非法或不良網(wǎng)站的訪(fǎng)問(wèn)請求；
5. 根據對應用層協(xié)議的深度分析和內容識別，IPS檢測到該企圖，阻斷該次HTTP連接；
6. 上報該安全事件到管理中心備查；
7. IPS可以根據管理中下發(fā)的策略，對該用戶(hù)進(jìn)行一定時(shí)間的懲罰（拒絕該用戶(hù)后續的上網(wǎng)請求）。
三、行為分析的智能防御，阻止病毒、蠕蟲(chóng)泛濫
1. 某辦公網(wǎng)用戶(hù)通過(guò)公共區域網(wǎng)絡(luò )訪(fǎng)問(wèn)業(yè)務(wù)服務(wù)器集群；
2. 正常連接建立后，位于服務(wù)器集群前端的IPS檢測到來(lái)自該用戶(hù)的通信流量中隱藏有某種病毒的行為特征，立即阻斷該用戶(hù)的此次訪(fǎng)問(wèn)，并且上報該安全事件給管理中心；
3. 管理中心分析該安全事件，根據報文信息定位到該用戶(hù)，并且制定新的安全策略；
4. 接入管理更改該用戶(hù)的安全等級，下發(fā)更新的安全策略給相關(guān)網(wǎng)絡(luò )設備；
5. 更新了安全策略的網(wǎng)絡(luò )設備將該用戶(hù)隔離至某特定區域，避免該病毒感染其他網(wǎng)絡(luò )用戶(hù)，并采取后續行動(dòng)。
IPS深度檢測與入侵抵御的關(guān)鍵技術(shù)
高性能、高可靠性的硬件平臺
依賴(lài)于對網(wǎng)絡(luò )設備體系架構的深刻理解和強大的設計開(kāi)發(fā)能力，華為3Com為IPS產(chǎn)品設計了專(zhuān)用的高性能硬件平臺。該平臺徹底拋棄了目前市面上常見(jiàn)的工控機架構。
協(xié)議分析與跟蹤技術(shù)
通過(guò)前面的分析，我們可以看到協(xié)議分析與跟蹤對IPS設備的重要性。與傳統防火墻不同的是，IPS不但要分析和跟蹤IP、ICMP、UDP、TCP這幾種網(wǎng)絡(luò )層、傳輸層的協(xié)議，而且，還要對HTTP、HTTPS、FTP、TFTP、SNMP、Telnet、SMTP、POP、DNS、RPC、LDAP、ICQ、MSN、Yahoo Messenger等眾多的應用層協(xié)議進(jìn)行分析、跟蹤。沒(méi)有對網(wǎng)絡(luò )協(xié)議和操作系統的深刻理解，要完成這件工作是不可能的。華為3Com已經(jīng)具備了在操作系統的內核級別對應用協(xié)議進(jìn)行全面跟蹤、深度分析的實(shí)力；而且，在引入網(wǎng)絡(luò )處理器后，所有的邏輯檢測和協(xié)議分析、跟蹤都要下移到網(wǎng)絡(luò )處理器中，采用微碼實(shí)現，進(jìn)一步提高系統性能。
特征匹配的性能
從海量的數據中去尋找一定的特征，在計算領(lǐng)域，這歷來(lái)是一個(gè)高計算量、高復雜度的問(wèn)題；而IPS的報文內容識別，恰恰要基于此工作。那么，如何解決這個(gè)CPU殺手和提高設備性能之間的矛盾呢？
華為3Com采用專(zhuān)用的硬件加速卡來(lái)解決這個(gè)問(wèn)題?；趯?zhuān)門(mén)的內容查找芯片設計的硬件加速卡在系統中與CPU、網(wǎng)絡(luò )處理器協(xié)同工作，在需要對報文進(jìn)行內容搜索的情況下，為CPU和網(wǎng)絡(luò )處理器卸載負擔，使得CPU和網(wǎng)絡(luò )處理器可以專(zhuān)注于報文處理和邏輯檢測，從而將內容搜索對系統效率的影響降至最低。目前華為3Com設計的硬件加速卡，可以在千兆的環(huán)境下線(xiàn)速地處理流量。
聯(lián)系客服
