返回列表 回復 發帖

什麼是IPS IPS的種類

什麼是IPS IPS的種類

14px; BORDER-LEFT-WIDTH: 0px; PADDING-TOP: 0px">IPS(Intrusion Prevention System  入侵防禦系統)對於初始者來說,IPS位於防火牆和網路的設備之間。這樣,如果檢測到攻擊,IPS會在這種攻擊擴散到網路的其他地方之前阻止這個惡意的通信。IDS只是存在於你的網路之外起到報警的作用,而不是在你的網路前面起到防禦的作用。

目前有很多種IPS系統,它們使用的技術都不相同。但是,一般來說,IPS系統都依靠對數據包的檢測。IPS將檢查入網的數據包,確定這種數據包的真正用途,然後決定是否允許這種數據包進入你的網路。

IPS 的關鍵技術成份包括所合併的全球和本地主機訪問控制、IDS、全球和本地安全策略、風險管理軟體和支持全球訪問並用於管理 IPS 的控制臺。如同 IDS 中一樣,IPS 中也需要降低假陽性或假陰性,它通常使用更為先進的侵入檢測技術,如試探式掃描、內容檢查、狀態和行為分析,同時還結合常規的侵入檢測技術如基於簽名的檢測和異常檢測。

同侵入檢測系統(IDS)一樣,IPS 系統分為基於主機和網路兩種類型。

基於主機的 IPS

基於主機的 IPS 依靠在被保護的系統中所直接安裝的代理。它與操作系統內核和服務緊密地捆綁在一起,監視並截取對內核或 API 的系統調用,以便達到阻止並記錄攻擊的作用。它也可以監視數據流和特定應用的環境(如網頁伺服器的檔位置和註冊條目),以便能夠保護該應用程式使之能夠避免那些還不存在簽名的、普通的攻擊。

基於網路的 IPS

基於網路的 IPS 綜合了標準 IDS 的功能,IDS 是 IPS 與防火牆的混合體,並可被稱為嵌入式 IDS 或網關 IDS(GIDS)。基於網路的 IPS 設備只能阻止通過該設備的惡意資訊流。為了提高 IPS 設備的使用效率,必須採用強迫資訊流通過該設備的方式。更為具體的來說,受保護的資訊流必須代表著向聯網電腦系統或從中發出的數據,且在其中:

指定的網路領域中,需要高度的安全和保護。

該網路領域中存在極可能發生的內部爆發配置地址

能夠有效地將網路劃分成最小的保護區域,並能夠提供最大範圍的有效覆蓋率。
隨著網路入侵事件的不斷增加和駭客攻擊水準的不斷提高,一方面企業網路感染病毒、遭受攻擊的速度日益加快,另一方面企業網路受到攻擊作出回應的時間卻越來越滯後。要解決這一矛盾,傳統的防火牆或入侵檢測技術(IDS)顯得力不從心,這時一種新的技術出現了,它就是IPS(Intrusion Prevention System,入侵防護系統)。

  IPS原理

  防火牆是實施訪問控制策略的系統,對流經的網路流量進行檢查,攔截不符合安全策略的數據包。入侵檢測技術(IDS)通過監視網路或系統資源,尋找違反安全策略的行為或攻擊跡象,併發出報警。傳統的防火牆旨在拒絕那些明顯可疑的網路流量,但仍然允許某些流量通過,因此防火牆對於很多入侵攻擊仍然無計可施。絕大多數 IDS 系統都是被動的,而不是主動的。也就是說,在攻擊實際發生之前,它們往往無法預先發出警報。而IPS則傾向於提供主動防護,其設計宗旨是預先對入侵活動和攻擊性網路流量進行攔截,避免其造成損失,而不是簡單地在惡意流量傳送時或傳送後才發出警報。IPS 是通過直接嵌入到網路流量中實現這一功能的,即通過一個網路端口接收來自外部系統的流量,經過檢查確認其中不包含異常活動或可疑內容後,再通過另外一個端口將它傳送到內部系統中。這樣一來,有問題的數據包,以及所有來自同一數據流的後續數據包,都能在IPS設備中被清除掉。

  IPS實現即時檢查和阻止入侵的原理在於IPS擁有數目眾多的篩檢程式,能夠防止各種攻擊。當新的攻擊手段被發現之後,IPS就會創建一個新的篩檢程式。IPS數據包處理引擎是專業化定制的積體電路,可以深層檢查數據包的內容。如果有攻擊者利用Layer 2(介質訪問控制)至Layer 7(應用)的漏洞發起攻擊,IPS能夠從數據流中檢查出這些攻擊並加以阻止。傳統的防火牆只能對Layer 3或Layer 4進行檢查,不能檢測應用層的內容。防火牆的包過濾技術不會針對每一位元組進行檢查,因而也就無法發現攻擊活動,而IPS可以做到逐一位元組地檢查數據包。所有流經IPS的數據包都被分類,分類的依據是數據包中的報頭資訊,如源IP地址和目的IP地址、端口號和應用域。每種篩檢程式負責分析相對應的數據包。通過檢查的數據包可以繼續前進,包含惡意內容的數據包就會被丟棄,被懷疑的數據包需要接受進一步的檢查。

  針對不同的攻擊行為,IPS需要不同的篩檢程式。每種篩檢程式都設有相應的過濾規則,為了確保準確性,這些規則的定義非常廣泛。在對傳輸內容進行分類時,過濾引擎還需要參照數據包的資訊參數,並將其解析至一個有意義的域中進行上下文分析,以提高過濾準確性。

  篩檢程式引擎集合了流水和大規模並行處理硬體,能夠同時執行數千次的數據包過濾檢查。並行過濾處理可以確保數據包能夠不間斷地快速通過系統,不會對速度造成影響。這種硬體加速技術對於IPS具有重要意義,因為傳統的軟體解決方案必須串行進行過濾檢查,會導致系統性能大打折扣。

  IPS的種類

  * 基於主機的入侵防護(HIPS)

  HIPS通過在主機/伺服器上安裝軟體代理程式,防止網路攻擊入侵操作系統以及應用程式。基於主機的入侵防護能夠保護伺服器的安全弱點不被不法分子所利用。Cisco公司的Okena、NAI公司的McAfee Entercept、冠群金辰的龍淵伺服器核心防護都屬於這類產品,因此它們在防範紅色代碼和Nimda的攻擊中,起到了很好的防護作用。基於主機的入侵防護技術可以根據自定義的安全策略以及分析學習機制來阻斷對伺服器、主機發起的惡意入侵。HIPS可以阻斷緩衝區溢出、改變登錄口令、改寫動態鏈接庫以及其他試圖從操作系統奪取控制權的入侵行為,整體提升主機的安全水準。

  在技術上,HIPS採用獨特的伺服器保護途徑,利用由包過濾、狀態包檢測和即時入侵檢測組成分層防護體系。這種體系能夠在提供合理吞吐率的前提下,最大限度地保護伺服器的敏感內容,既可以以軟體形式嵌入到應用程式對操作系統的調用當中,通過攔截針對操作系統的可疑調用,提供對主機的安全防護;也可以以更改操作系統內核程式的方式,提供比操作系統更加嚴謹的安全控制機制。

  由於HIPS工作在受保護的主機/伺服器上,它不但能夠利用特徵和行為規則檢測,阻止諸如緩衝區溢出之類的已知攻擊,還能夠防範未知攻擊,防止針對Web頁面、應用和資源的未授權的任何非法訪問。HIPS與具體的主機/伺服器操作系統平臺緊密相關,不同的平臺需要不同的軟體代理程式。
* 基於網路的入侵防護(NIPS)

  NIPS通過檢測流經的網路流量,提供對網路系統的安全保護。由於它採用線上連接方式,所以一旦辨識出入侵行為,NIPS就可以去除整個網路會話,而不僅僅是複位會話。同樣由於即時線上,NIPS需要具備很高的性能,以免成為網路的瓶頸,因此NIPS通常被設計成類似於交換機的網路設備,提供線速吞吐速率以及多個網路端口。

  NIPS必須基於特定的硬體平臺,才能實現千兆級網路流量的深度數據包檢測和阻斷功能。這種特定的硬體平臺通常可以分為三類:一類是網路處理器(網路晶片),一類是專用的FPGA編程晶片,第三類是專用的ASIC晶片。

  在技術上,NIPS吸取了目前NIDS所有的成熟技術,包括特徵匹配、協議分析和異常檢測。特徵匹配是最廣泛應用的技術,具有準確率高、速度快的特點。基於狀態的特徵匹配不但檢測攻擊行為的特徵,還要檢查當前網路的會話狀態,避免受到欺騙攻擊。

  協議分析是一種較新的入侵檢測技術,它充分利用網路協議的高度有序性,並結合高速數據包捕捉和協議分析,來快速檢測某種攻擊特徵。協議分析正在逐漸進入成熟應用階段。協議分析能夠理解不同協議的工作原理,以此分析這些協議的數據包,來尋找可疑或不正常的訪問行為。協議分析不僅僅基於協議標準(如RFC),還基於協議的具體實現,這是因為很多協議的實現偏離了協議標準。通過協議分析,IPS能夠針對插入(Insertion)與規避(Evasion)攻擊進行檢測。異常檢測的誤報率比較高,NIPS不將其作為主要技術。

  * 應用入侵防護(AIP)

  NIPS產品有一個特例,即應用入侵防護(Application Intrusion Prevention,AIP),它把基於主機的入侵防護擴展成為位於應用伺服器之前的網路設備。AIP被設計成一種高性能的設備,配置在應用數據的網路鏈路上,以確保用戶遵守設定好的安全策略,保護伺服器的安全。NIPS工作在網路上,直接對數據包進行檢測和阻斷,與具體的主機/伺服器操作系統平臺無關。

  NIPS的即時檢測與阻斷功能很有可能出現在未來的交換機上。隨著處理器性能的提高,每一層次的交換機都有可能集成入侵防護功能。

  IPS技術特徵

  嵌入式運行:只有以嵌入模式運行的 IPS 設備才能夠實現即時的安全防護,即時阻攔所有可疑的數據包,並對該數據流的剩餘部分進行攔截。

  深入分析和控制:IPS必須具有深入分析能力,以確定哪些惡意流量已經被攔截,根據攻擊類型、策略等來確定哪些流量應該被攔截。

  入侵特徵庫:高質量的入侵特徵庫是IPS高效運行的必要條件,IPS還應該定期升級入侵特徵庫,並快速應用到所有感測器。

  高效處理能力:IPS必須具有高效處理數據包的能力,對整個網路性能的影響保持在最低水準。

  IPS面臨的挑戰

  IPS 技術需要面對很多挑戰,其中主要有三點:一是單點故障,二是性能瓶頸,三是誤報和漏報。設計要求IPS必須以嵌入模式工作在網路中,而這就可能造成瓶頸問題或單點故障。如果IDS 出現故障,最壞的情況也就是造成某些攻擊無法被檢測到,而嵌入式的IPS設備出現問題,就會嚴重影響網路的正常運轉。如果IPS出現故障而關閉,用戶就會面對一個由IPS造成的拒絕服務問題,所有客戶都將無法訪問企業網路提供的應用。

  即使 IPS 設備不出現故障,它仍然是一個潛在的網路瓶頸,不僅會增加滯後時間,而且會降低網路的效率,IPS必須與數千兆或者更大容量的網路流量保持同步,尤其是當加載了數量龐大的檢測特徵庫時,設計不夠完善的 IPS 嵌入設備無法支持這種回應速度。絕大多數高端 IPS 產品供應商都通過使用自定義硬體(FPGA、網路處理器和ASIC晶片)來提高IPS的運行效率。

  誤報率和漏報率也需要IPS認真面對。在繁忙的網路當中,如果以每秒需要處理十條警報資訊來計算,IPS每小時至少需要處理 36,000 條警報,一天就是 864,000 條。一旦生成了警報,最基本的要求就是IPS能夠對警報進行有效處理。如果入侵特徵編寫得不是十分完善,那麼"誤報"就有了可乘之機,導致合法流量也有可能被意外攔截。對於即時線上的IPS來說,一旦攔截了"攻擊性"數據包,就會對來自可疑攻擊者的所有數據流進行攔截。如果觸發了誤報警報的流量恰好是某個客戶訂單的一部分,其結果可想而知,這個客戶整個會話就會被關閉,而且此後該客戶所有重新連接到企業網路的合法訪問都會被"盡職盡責"的IPS攔截。

  IPS廠商採用各種方式加以解決。一是綜合採用多種檢測技術,二是採用專用硬體加速系統來提高IPS的運行效率。儘管如此,為了避免IPS重蹈IDS覆轍,廠商對IPS的態度還是十分謹慎的。例如,NAI提供的基於網路的入侵防護設備提供多種接入模式,其中包括旁路接入方式,在這種模式下運行的IPS實際上就是一臺純粹的IDS設備,NAI希望提供可選擇的接入方式來幫助用戶實現從旁路監聽向即時阻止攻擊的自然過渡。

  IPS的不足並不會成為阻止人們使用IPS的理由,因為安全功能的融合是大勢所趨,入侵防護順應了這一潮流。對於用戶而言,在廠商提供技術支持的條件下,有選擇地採用IPS,仍不失為一種應對攻擊的理想選擇。
返回列表