入侵防御系统的特点及规格
TippingPoint 基于 ASIC 入侵检测防御引擎UnityOne 无可比拟的性能、稳定性和准确率都是透过 TippingPoint 的工程师和科学家所开发的专利技术发展出来的。这些优势展现于 TippingPoint 的 TSE 威胁防御引擎（ Threat Suppression Engine ）上。 UnityOne 是由最新型的网络处理器技术组成的一个高度专业化的硬件式入侵检测防御平台。 TippingPoint 拥有整套自行开发的 FPGA (Layer 7) 及 Layer 4 (ASIC) 模块。 TSE(威胁防御引擎 ) 是一个能实现所有入侵检测防御所需要的全部功能的硬件线速引擎，主要功能包括 IP 碎片重组、 TCP 流重组、攻击行为统计分析、网络流量带宽管理、恶意封包阻挡、流量状态追踪和超过 170 种的应用层网络通讯协议分析。TSE 重组与检测数据包的内容并分析至网络的应用层。当每一个新的数据包随着数据流到达 TSE 时，就会重新检测这个数据流是否含有有害的内容，如果实时检测出这个数据包含有害内容，那么这个数据包以及随后而来属于这个数据流的数据包将会被阻挡。这样可以正确地保证攻击不会到达攻击目的地。这种领先的 IPS 技术只有结合高速的网络处理器及定制化的 ASIC 芯片才有可能实现。这种高度专业的流量分类技术可以使IPS 在具有千兆处理速度的同时处理延迟不到一微秒 (Latency under Microsecond) ，且具有高度的检测和阻挡准确性。不像软件式的或其它竞争对手宣称拥有千兆处理速度的入侵防御系统，其处理性能会受到 Filter 安装多寡而受到严重的影响，同时处理延时却高达数秒甚至数十秒之多。 UnityOne 具有高度扩充能力的硬件防护引擎可以允许上万笔的 Filter 同时运行而不影响其性能与准确性。UnityOne 运用 TSE 突破性的扩充性与高性能，实时侦测通讯协议异常与流量统计异常，防护 DDoS 攻击以及阻挡或限制未经授权的应用程序的带宽。 TippingPoint 三大入侵防御功能UnityOne 提供业界最完整的入侵侦测防御功能，远远超出传统 IPS 的能力。 TippingPoint 定义的三大入侵侦测防御功能包括：应用程序防护、网络架构防护与性能保护。这三大功能可提供最强大且最完整的保护以防御各种形式的网络攻击行为，如：病毒、蠕虫、拒绝服务攻击与非法的入侵和访问。应用程序防护 -UnityOne 提供扩展至用户端、服务器、及第二至第七层的网络型攻击防护，如：病毒、蠕虫与木马程序。利用深层检测应用层数据包的技术， UnityOne 可以分辨出合法与有害的封包内容。最新型的攻击可以透过伪装成合法应用的技术，轻易的穿透防火墙。而 UnityOne 运用重组 TCP 流量以检视应用层数据包内容的方式，以辨识合法与恶意的数据流。大部分的入侵防御系统都是针对已知的攻击进行防御，然而 UnityOne 运用漏洞基础的过滤机制，可以防范所有已知与未知形式的攻击。网络架构防护 - 路由器、交换器、 DNS 服务器以及防火墙都是有可能被攻击的网络设备，如果这些网络设备被攻击导致停机，那么所有企业中的关键应用程序也会随之停摆。而 UnityOne 的网络架构防护机制提供了一系列的网络漏洞过滤器以保护网络设备免于遭受攻击。此外， UnityOne 也提供异常流量统计机制的过滤器，对于超过 ” 基准线 ” 的正常网络流量，可以针对其通讯协议或应用程序特性来进行警示、限制流量或阻绝流量等行动。如此一来可以预防 DDoS 及其它溢出式流量攻击所造成的网络断线或阻塞。性能保护 - 是用来保护网络带宽及主机性能，免于被非法的应用程序占用正常的网络性能。如果网络链路壅塞，那么重要的应用程序数据将无法在网络上传输。非商用的应用程序，如点对点文档共享 (P2P) 应用 或实时通讯软件 (IM) 将会快速的耗尽网络的带宽，因此 UnityOne 提供带宽保护 (Traffic / Rate Shaping) 的功能，协助企业仔细的辨识出非法使用的应用程序流量并降低或限制其带宽的使用量。 TippingPoint 三大入侵侦测防御机制TippingPoint 的 UnityOne IPS 产品线可同时运作三个独立但互补的入侵侦测防御机制：弱点过滤器，攻击特征过滤器和流量异常过滤器。 TippingPoint 可以同时运作这三个机制的能力就是来自于这组特别开发的 ASIC 。弱点过滤器 主要是保护操作系统与应用程序。这种过滤器行为就像是一种网络型的虚拟软件补丁程序，保护主机免于遭受利用未修补的漏洞来进行的网络型攻击。新的漏洞一旦发现开始被骇客攻击利用，弱点过滤器就会被实时启动，进行漏洞保护。这个过滤机制的运作模式是重组第七层的信息，从而可以完整地检测应用层的流量。过滤规则可以指定特别的条件，如检测应用程序的运作流程（如：缓冲区溢出的应用程序异常）或通讯协议的规范（如： RFC 异常）。流量异常过滤器 是用来侦测在流量模式方面的变化。 这些过滤机制可以调整与学习 UnityOne 所在的特别环境中“正常流量 ” 的模式。一旦正常流量被设定为基准，这些过滤机制将依据可调整的门限阀值来侦测统计异常的网络流量。流量异常过滤机制可以有效的阻挡分布式的阻断服务的攻击 (DDOS) 、未知的蠕虫、异常的应用程序流量与其它零时差闪电攻击。此外 UnityOne 一个重要的特殊功能是可以依据应用程序的种类、通讯协议与 IP 进行最合适网络流量分配。攻击特征过滤器 主要是针对不需要利用安全漏洞的攻击方式，如病毒或木马。这个过滤方式必须全盘了解已知攻击的特征，且可以侦测并制作出防御的特征数据库。目前 TippingPoint 拥有一个专业团队 7X24 全年无休地分析来自于全球的各种攻击威胁，并与 SANS 、 CERT 、 SECURITEAM 等知名的信息安全团队合作，在第一时间透过在线更新，让全球每个角落的 UnityOne 配备最新的攻击特征数据库。TippingPoing 数字疫苗在线更新机制苏州众里数码会和HP在企业信息安全这块一起努力。在每周提供 SANS 漏洞分析的同时， TippingPoint 的安全团队也同步制作出针对漏洞的过滤器数据库并混入到数字疫苗（ Digital Vaccines ）中，数字疫苗不只针对特定的攻击制作过滤器，还包括对变种攻击与零时差闪电攻击进行阻挡。为了拥有最大的安全涵盖范围，数字疫苗除了每周定时在线更新过滤器数据库外，并随时对有严重威胁的漏洞或攻击生成新的过滤器，数字疫苗也会自动地部署新的过滤器至全球的 UnityOne IPS 上。为了防御最新的弱点与攻击，最新的过滤器会持续的更新至 IPS 上。每一条过滤都可以被视为网络上的虚拟软件补丁程序，以保护内部的主机免于被攻击。任何企图运用于特定漏洞的有害流量将会被实时侦测与阻挡。换句话说，这个方式就是运用一个虚拟的修丁程序来保护上千个未修补漏洞的系统。TippingPoint 的安全专家是被世界公认的，全球超过二十五万个安全管理者及专家都订阅了 TippingPoint 所编辑的SAN @RISK 分析报告。相同的分析也运用到数字疫苗的开发上，优先制作出保护 TippingPoint 客户的最佳过滤器。TippingPoint 拥有最完整的可靠性机制UnityOne 的设计理念是，无论是网络发生什么故障、设备内部与系统发生什么错误、甚至设备完全失去电源，保证网络永不断线、并保证维持线速的运作。 UnityOne 运用系统内部备份机制与网络状态备份机制，并相互补充的模式来确保最大的网络可用性。UnityOne 有多种内建的备份机制：一、所有的设备都具有两个相互备份，可热插拔的电源适配器。二、看门狗计时器（watchdog timers ）会持续的监控安全与管理引擎，一旦系统错误被侦测到， UnityOne 可以自动或手动的切换成 Layer 2的设备，确保网络不断线。此外， TippingPoint 还提供了一个外接式电源适配器（ Zero Power High Availability ），当整个机房或数据中心失去电源时，所有的流量会自动切换 (Power Bypass) 由这个设备运作。
主机入侵防御系统的简介
HIPS是一种能监控你电脑中文件的运行和文件运用了其他的文件以及文件对注册表的修改，并向你报告请求允许的软件。如果你阻止了，那么它将无法运行或者更改。比如你双击了一个病毒程序，HIPS软件跳出来报告而你阻止了，那么病毒还是没有运行的。引用一句话：“病毒天天变种天天出新，使得杀软可能跟不上病毒的脚步，而HIPS能解决这些问题”。 HIPS是以后系统安全发展的一种趋势，只要你有足够的专业水平，你可以只用HIPS而不需杀毒软件。但是HIPS并不能称为防火墙，最多只能叫做系统防火墙，它不能阻止网络上其他计算机对你计算机的攻击行为。因为病毒天天变种天天出新，使得杀软可能跟不上病毒的脚步，而HIPS能解决这些问题。我们个人用的HIPS可以分为3D： AD(Application Defend)--应用程序防御体系、RD(Registry Defend)注册表防御体系、FD(File Defend)文件防御体系。它通过可定制的规则对本地的运行程序、注册表的读写操作、以及文件读写操作进行判断并允许或禁止。
IPS(入侵防御系统)详细资料大全
入侵防御系统(IPS: Intrusion Prevention System)是电脑网路安全设施，是对防病毒软体（Antivirus Programs）和防火墙(Packet Filter, Application Gateway)的解释。 入侵防御系统(Intrusion-prevention system)是一部能够监视网路或网路设备的网路资料传输行为的计算机网路安全设备，能够即时的中断、调整或隔离一些不正常或是具有伤害性的网路资料传输行为。 基本介绍 中文名 ：入侵防御系统 外文名 ：Intrusion Prevention System 别称 ：木马 表达式 ：计算机病毒 提出时间 ：2014年 套用学科 ：社会 适用领域范围 ：全球 适用领域范围 ：生活 概念,网路安全,产生原因,入侵预防技术,系统类型,评价,产品示例,入侵防护,Web安全,流量控制,上网监管,系统现状, 概念 （ Intrusion Prevention System）是电脑网路安全设施，是对防病毒软体（Antivirus Programs）和防火墙（Packet Filter, Application Gateway）的补充。 入侵预防系统（Intrusion-prevention system）是一部能够监视网路或网路设备的网路资料传输行为的计算机网路安全设备，能够即时的中断、调整或隔离一些不正常或是具有伤害性的网路资料传输行为。 网路安全 随着电脑的广泛套用和网路的不断普及，来自网路内部和外部的危险和犯罪也日益增多。20年前，电脑病毒主要通过软碟传播。后来，用户打开带有病毒的电子信函附属档案，就可以触发附属档案所带的病毒。以前，病毒的扩散比较慢，防毒软体的开发商有足够的时间从容研究病毒，开发防病毒、杀病毒软体。而今天，不仅病毒数量剧增，质量提高，而且通过网路快速传播，在短短的几小时内就能传遍全世界。有的病毒还会在传播过程中改变形态，使防毒软体失效。 目前流行的攻击程式和有害代码如 DoS （Denial of Service 拒绝服务)，DDoS (Distributed DoS 分散式拒绝服务)，暴力猜解(Brut-Force-Attack)，连线埠扫描(Portscan)，嗅探，病毒，蠕虫，垃圾邮件，木马等等。此外还有利用软体的漏洞和缺陷钻空子、干坏事，让人防不胜防。 网路入侵方式越来越多，有的充分利用防火墙放行许可，有的则使防毒软体失效。比如，在病毒刚进入网路的时候，还没有一个厂家迅速开发出相应的辨认和扑灭程式，于是这种全新的病毒就很快大肆扩散、肆虐于网路、危害单机或网路资源，这就是所谓Zero Day Attack。 防火墙可以根据IP位址（IP-Addresses）或服务连线埠（Ports）过滤数据包。但是，它对于利用合法IP位址和连线埠而从事的破坏活动则无能为力。因为,防火墙极少深入数据包检查内容。即使使用了DPI技术（Deep Packet Inspection 深度包检测技术），其本身也面临着许多挑战。 每种攻击代码都具有只属于它自己的特征 (signature), 病毒之间通过各自不同的特征互相区别，同时也与正常的应用程式代码相区别。防毒软体就是通过储存所有已知的病毒特征来辨认病毒的。 在ISO/OSI网路层次模型(见OSI模型) 中，防火墙主要在第二到第四层起作用，它的作用在第四到第七层一般很微弱。而除病毒软体主要在第五到第七层起作用。为了弥补防火墙和除病毒软体二者在第四到第五层之间留下的空档，几年前，工业界已经有入侵侦查系统(IDS: Intrusion Detection System）投入使用。入侵侦查系统在发现异常情况后及时向网路安全管理人员或防火墙系统发出警报。可惜这时灾害往往已经形成。虽然，亡羊补牢，尤未为晚，但是，防卫机制最好应该是在危害形成之前先期起作用。随后应运而生的入侵回响系统(IRS: Intrusion Response Systems) 作为对入侵侦查系统的补充能够在发现入侵时，迅速作出反应，并自动采取阻止措施。而入侵预防系统则作为二者的进一步发展，汲取了二者的长处。 入侵预防系统也像入侵侦查系统一样，专门深入网路数据内部，查找它所认识的攻击代码特征，过滤有害数据流，丢弃有害数据包，并进行记载，以便事后分析。除此之外，更重要的是，大多数入侵预防系统同时结合考虑应用程式或网路传输中的异常情况，来辅助识别入侵和攻击。比如，用户或用户程式违反安全条例、数据包在不应该出现的时段出现、作业系统或应用程式弱点的空子正在被利用等等现象。入侵预防系统虽然也考虑已知病毒特征，但是它并不仅仅依赖于已知病毒特征。 套用入侵预防系统的目的在于及时识别攻击程式或有害代码及其克隆和变种，采取预防措施，先期阻止入侵，防患于未然。或者至少使其危害性充分降低。入侵预防系统一般作为防火墙 和防病毒软体的补充来投入使用。在必要时，它还可以为追究攻击者的刑事责任而提供法律上有效的证据 (forensic)。 产生原因 A：串列部署的防火墙可以拦截低层攻击行为，但对套用层的深层攻击行为无能为力。 B：旁路部署的IDS可以及时发现那些穿透防火墙的深层攻击行为，作为防火墙的有益补充，但很可惜的是无法实时的阻断。 C：IDS和防火墙联动：通过IDS来发现，通过防火墙来阻断。但由于迄今为止没有统一的接口规范，加上越来越频发的“瞬间攻击”（一个会话就可以达成攻击效果，如SQL注入、溢出攻击等），使得IDS与防火墙联动在实际套用中的效果不显著。 这就是IPS产品的起源：一种能防御防火墙所不能防御的深层入侵威胁（入侵检测技术）的线上部署（防火墙方式）安全产品。由于用户发现了一些无法控制的入侵威胁行为，这也正是IDS的作用。 入侵检测系统（IDS）对那些异常的、可能是入侵行为的数据进行检测和报警，告知使用者网路中的实时状况，并提供相应的解决、处理方法，是一种侧重于风险管理的安全产品。 入侵防御系统（IPS）对那些被明确判断为攻击行为，会对网路、数据造成危害的恶意行为进行检测和防御，降低或是减免使用者对异常状况的处理资源开销，是一种侧重于风险控制的安全产品。 这也解释了IDS和IPS的关系，并非取代和互斥，而是相互协作：没有部署IDS的时候，只能是凭感觉判断，应该在什么地方部署什么样的安全产品，通过IDS的广泛部署，了解了网路的当前实时状况，据此状况可进一步判断应该在何处部署何类安全产品（IPS等）。 入侵预防技术 * 异常侦查。正如入侵侦查系统, 入侵预防系统知道正常数据以及数据之间关系的通常的样子，可以对照识别异常。 * 在遇到动态代码(ActiveX, JavaApplet,各种指令语言script languages等等)时，先把它们放在沙盘内，观察其行为动向，如果发现有可疑情况，则停止传输，禁止执行。 * 有些入侵预防系统结合协定异常、传输异常和特征侦查，对通过网关或防火墙进入网路内部的有害代码实行有效阻止。 * 核心基础上的防护机制。用户程式通过系统指令享用资源 (如存储区、输入输出设备、中央处理器等)。入侵预防系统可以截获有害的系统请求。 * 对Library、Registry、重要档案和重要的资料夹进行防守和保护。 系统类型 投入使用的入侵预防系统按其用途进一步可以划分为单机入侵预防系统 (HIPS: Hostbased Intrusion Prevension System)和网路入侵预防系统 (NIPS: Neork Intrusion Prevension System）两种类型。 网路入侵预防系统作为网路之间或网路组成部分之间的独立的硬体设备，切断交通，对过往包裹进行深层检查，然后确定是否放行。网路入侵预防系统借助病毒特征和协定异常，阻止有害代码传播。有一些网路入侵预防系统还能够跟踪和标记对可疑代码的回答，然后，看谁使用这些回答信息而请求连线，这样就能更好地确认发生了入侵事件。 根据有害代码通常潜伏于正常程式代码中间、伺机运行的特点，单机入侵预防系统监视正常程式，比如Inter Explorer，Outlook，等等，在它们（确切地说，其实是它们所夹带的有害代码）向作业系统发出请求指令，改写系统档案，建立对外连线时，进行有效阻止，从而保护网路中重要的单个机器设备，如伺服器、路由器、防火墙等等。这时，它不需要求助于已知病毒特征和事先设定的安全规则。总地来说，单机入侵预防系统能使大部分钻空子行为无法得逞。我们知道，入侵是指有害代码首先到达目的地，然后干坏事。然而，即使它侥幸突破防火墙等各种防线，得以到达目的地，但是由于有了入侵预防系统，有害代码最终还是无法起到它要起的作用，不能达到它要达到的目的。 2000年：Neork ICE公司在2000年9月18日推出了业界第一款IPS产品—BlackICE Guard，它第一次把基于旁路检测的IDS技术用于线上模式，直接分析网路流量，并把恶意包丢弃。 2002～2003年：这段时期IPS得到了快速发展。当时随着产品的不断发展和市场的认可，欧美一些安全大公司通过收购小公司的方式获得IPS技术，推出自己的IPS产品。比如ISS公司收购Neork ICE公司，发布了Proventia；NetScreen公司收购OneSecure公司，推出NetScreen-IDP；McAfee公司收购Intruvert公司，推出IntruShield。思科、赛门铁克、TippingPoint等公司也发布了IPS产品。 2005年9月绿盟科技发布国内第一款拥有完全自主智慧财产权的IPS产品，2007年联想网御、启明星辰、天融信等国内安全公司分别通过技术合作、OEM等多种方式发布各自的IPS产品。 评价 针对越来越多的蠕虫、病毒、间谍软体、垃圾邮件、DDoS等混合威胁及黑客攻击，不仅需要有效检测到各种类型的攻击，更重要的是降低攻击的影响，从而保证业务系统的连续性和可用性。 一款优秀的网路入侵防护系统应该具备以下特征： ●满足高性能的要求，提供强大的分析和处理能力，保证正常网路通信的质量； ●提供针对各类攻击的实时检测和防御功能，同时具备丰富的访问控制能力，在任何未授权活动开始前发现攻击，避免或减缓攻击可能给企业带来的损失； ●准确识别各种网路流量，降低漏报和误报率，避免影响正常的业务通讯； ●全面、精细的流量控制功能，确保企业关键业务持续稳定运转； ●具备丰富的高可用性，提供BYPASS（硬体、软体）和HA等可靠性保障措施； ●可扩展的多链路IPS防护能力，避免不必要的重复安全投资； ●提供灵活的部署方式，支持线上模式和旁路模式的部署，第一时间把攻击阻断在企业网路之外，同时也支持旁路模式部署，用于攻击检测，适合不同客户需要； ●支持分级部署、集中管理，满足不同规模网路的使用和管理需求。 产品示例 网路入侵防护系统是网路入侵防护系统同类产品中的精品典范，该产品高度融合高性能、高安全性、高可靠性和易操作性等特性，产品内置先进的Web信誉机制，同时具备深度入侵防护、精细流量控制，以及全面用户上网行为监管等多项功能，能够为用户提供深度攻击防御和套用频宽保护的完美价值体验。 入侵防护 实时、主动拦截黑客攻击、蠕虫、网路病毒、后门木马、D.o.S等恶意流量，保护企业信息系统和网路架构免受侵害，防止作业系统和应用程式损坏或宕机。 Web安全 基于网际网路Web站点的挂马检测结果，结合URL信誉评价技术，保护用户在访问被植入木马等恶意代码的网站时不受侵害，及时、有效地第一时间拦截Web威胁。 流量控制 阻断一切非授权用户流量，管理合法网路资源的利用，有效保证关键套用全天候畅通无阻，通过保护关键套用频宽来不断提升企业IT产出率和收益率。 上网监管 全面监测和管理IM即时通讯、P2P下载、网路游戏、线上视频，以及线上炒股等网路行为，协助企业辨识和限制非授权网路流量，更好地执行企业的安全策略。 系统现状 IPS，最近几年越来越受欢迎，特别是当供应商应对NAC市场的早期挑战时，如感知部署和可用性难点。目前，大多数大型的组织都全面部署了IPS，但是在使用NAC之前，这些解决方案都被一定程度的限制以防止公司网路中发生新的攻击。你可以配置所有的IPS探测器来中断网路中恶意或其它不需要的流量。比如，假设一个特定的终端发起一个针对公司数据中心的套用伺服器的攻击，并且IPS检测到该流量是恶意的，那么IPS可以通过所配置的策略来中断流量。虽然这个回响是充分的，但是，在某些情况下，你可能想进一步阻止网路以后的攻击。NAC可以帮助你从IPS设备中获取信息，并在被攻击或发生意外事件时使用这些信息来处理终端用户的访问。
入侵防护系统(IPS)的原理?
通过全面的数据包侦测，TippingPoint的入侵防御系统提供吉比特速率上的应用、网络架构和性能保护功能。应用保护能力针对来自内部和外部的攻击提供快速、精准、可靠的防护。由于具有网络架构保护能力，TippingPoint的入侵防御系统保护VOIP系统、路由器、交换机、DNS和其他网络基础免遭恶意攻击和防止流量异动。TippingPoint的入侵防御系统的性能保护能力帮助客户来遏制非关键业务抢夺宝贵的带宽和IT资源，从而确保网路资源的合理配置并保证关键业务的性能。 入侵防御系统（IPS）,属于网络交换机的一个子项目，为有过滤攻击功能的特种交换机。一般布于防火墙和外来网络的设备之间，依靠对数据包的检测进行防御（检查入网的数据包，确定数据包的真正用途，然后决定是否允许其进入内网）