入侵检测系统和入侵防护系统的区别

2008-08-29 CBSi中国· PChome.net 类型: 投稿作者: 宫健欣

1. 入侵检测系统(IDS)

IDS是英文“Intrusion Detection Systems”的缩写，中文意思是“入侵检测系统”。专业上讲就是依照一定的安全策略，对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或者攻击结果，以保证网络系统资源的机密性、完整性和可用性。

我们做一个比喻——假如防火墙是一幢大厦的门锁，那么IDS就是这幢大厦里的监视系统。一旦小偷进入了大厦，或内部人员有越界行为，只有实时监视系统才能发现情况并发出警告。

与防火墙不同的是，IDS入侵检测系统是一个旁路监听设备，没有也不需要跨接在任何链路上，无须网络流量流经它便可以工作。因此，对IDS的部署的唯一要求是：IDS应当挂接在所有所关注的流量都必须流经的链路上。在这里，“所关注流量”指的是来自高危网络区域的访问流量和需要进行统计、监视的网络报文。

IDS在交换式网络中的位置一般选择为：尽可能靠近攻击源、尽可能靠近受保护资源。

这些位置通常是：

 服务器区域的交换机上；

 Internet接入路由器之后的第一台交换机上；

 重点保护网段的局域网交换机上。

2. 入侵防御系统(IPS)

IPS是英文“Intrusion Prevention System”的缩写，中文意思是入侵防御系统。

随着网络攻击技术的不断提高和网络安全漏洞的不断发现，传统防火墙技术加传统IDS的技术，已经无法应对一些安全威胁。在这种情况下，IPS技术应运而生，IPS技术可以深度感知并检测流经的数据流量，对恶意报文进行丢弃以阻断攻击，对滥用报文进行限流以保护网络带宽资源。

对于部署在数据转发路径上的IPS，可以根据预先设定的安全策略，对流经的每个报文进行深度检测（协议分析跟踪、特征匹配、流量统计分析、事件关联分析等），如果一旦发现隐藏于其中网络攻击，可以根据该攻击的威胁级别立即采取抵御措施，这些措施包括（按照处理力度）：向管理中心告警；丢弃该报文；切断此次应用会话；切断此次TCP连接。

进行了以上分析以后，我们可以得出结论，

办公网中，至少需要在以下区域部署IPS，即办公网与外部网络的连接部位（入口/出口）；重要服务器集群前端；办公网内部接入层。至于其它区域，可以根据实际情况与重要程度，酌情部署。

3.IPS(英文“Intrusion Prevention System”的缩写)与IDS(IDS是英文“Intrusion Detection Systems”)的区别、选择

IPS对于初始者来说，是位于防火墙和网络的设备之间的设备。这样，如果检测到攻击，IPS会在这种攻击扩散到网络的其它地方之前阻止这个恶意的通信。而IDS只是存在于你的网络之外起到报警的作用，而不是在你的网络前面起到防御的作用。

IPS检测攻击的方法也与IDS不同。一般来说，IPS系统都依靠对数据包的检测。IPS将检查入网的数据包，确定这种数据包的真正用途，然后决定是否允许这种数据包进入你的网络。

目前无论是从业于信息安全行业的专业人士还是普通用户，都认为入侵检测系统和入侵防护系统是两类产品，并不存在入侵防护系统要替代入侵检测系统的可能。但由于入侵防护产品的出现，给用户带来新的困惑：到底什么情况下该选择入侵检测产品，什么时候该选择入侵防护产品呢?

从产品价值角度讲：入侵检测系统注重的是网络安全状况的监管。入侵防护系统关注的是对入侵行为的控制。与防火墙类产品、入侵检测产品可以实施的安全策略不同，入侵防护系统可以实施深层防御安全策略，即可以在应用层检测出攻击并予以阻断，这是防火墙所做不到的，当然也是入侵检测产品所做不到的。

从产品应用角度来讲：为了达到可以全面检测网络安全状况的目的，入侵检测系统需要部署在网络内部的中心点，需要能够观察到所有网络数据。如果信息系统中包含了多个逻辑隔离的子网，则需要在整个信息系统中实施分布部署，即每子网部署一个入侵检测分析引擎，并统一进行引擎的策略管理以及事件分析，以达到掌控整个信息系统安全状况的目的。

而为了实现对外部攻击的防御，入侵防护系统需要部署在网络的边界。这样所有来自外部的数据必须串行通过入侵防护系统，入侵防护系统即可实时分析网络数据，发现攻击行为立即予以阻断，保证来自外部的攻击数据不能通过网络边界进入网络。

入侵检测系统的核心价值在于通过对全网信息的分析，了解信息系统的安全状况，进而指导信息系统安全建设目标以及安全策略的确立和调整，而入侵防护系统的核心价值在于安全策略的实施—对黑客行为的阻击；入侵检测系统需要部署在网络内部，监控范围可以覆盖整个子网，包括来自外部的数据以及内部终端之间传输的数据，入侵防护系统则必须部署在网络边界，抵御来自外部的入侵，对内部攻击行为无能为力。

明确了这些区别，用户就可以比较理性的进行产品类型选择：

若用户计划在一次项目中实施较为完整的安全解决方案，则应同时选择和部署入侵检测系统和入侵防护系统两类产品。在全网部署入侵检测系统，在网络的边界点部署入侵防护系统。

若用户计划分布实施安全解决方案，可以考虑先部署入侵检测系统进行网络安全状况监控，后期再部署入侵防护系统。

若用户仅仅关注网络安全状况的监控(如金融监管部门，电信监管部门等)，则可在目标信息系统中部署入侵检测系统即可。

明确了IPS的主线功能是深层防御、精确阻断后，IPS未来发展趋势也就明朗化了：不断丰富和完善IPS可以精确阻断的攻击种类和类型，并在此基础之上提升IPS产品的设备处理性能。

而在提升性能方面存在的一个悖论就是：需提升性能，除了在软件处理方式上优化外，硬件架构的设计也是一个非常重要的方面，目前的ASIC/NP等高性能硬件，都是采用嵌入式指令+专用语言开发，将已知攻击行为的特征固化在电子固件上，虽然能提升匹配的效率，但在攻击识别的灵活度上过于死板(对变种较难发现)，在新攻击特征的更新上有所滞后(需做特征的编码化)。而基于开放硬件平台的IPS由于采用的是高级编程语言，不存在变种攻击识别和特征更新方面的问题，厂商的最新产品已经可以达到电信级骨干网络的流量要求，比如McAfee公司推出的电信级IPS产品M8000（10Gbps流量）、M6050（5Gbps）。

　　所以，入侵防护系统的未来发展方向应该有以下两个方面：

第一，更加广泛的精确阻断范围：扩大可以精确阻断的事件类型，尤其是针对变种以及无法通过特征来定义的攻击行为的防御。

第二，适应各种组网模式：在确保精确阻断的情况下，适应电信级骨干网络的防御需求。

入侵检测系统和入侵防护系统的区别相关推荐

IPS(入侵防护系统)与WAF(Web应用防护系统)的区别
IPS(入侵防护系统)和WAF(Web应用防护系统)两款产品有不同的使用场景,随着Web应用发展带来的复杂度,对安全性要求也日趋增高,Waf的出现是顺应了市场和技术的需要. Web应用防护无疑是一个热 ...
防火墙／入侵防护系统IPS
不断增加和黑客攻击数据的不断提高,使得传统的防火墙或入侵检测技术无法满足现代网络安全的需要,而入侵防护技术的产生正是适应了这种要求. 防火墙是实施访问控制策略的系统,对流经的网络流量进行检查,拦截不符 ...
官方原版系统、纯净版系统和Ghost版系统的区别在哪里？
官方原版系统.纯净版系统和Ghost版系统的区别在哪里? 一.纯净版系统,是原版系统再经过第三方删减得到的系统,更为纯净. 特点:只有很少驱动程序和基本没有应用程序. 二.原版系统,是微软发布的未经过 ...
[网络工程师]-防火墙-入侵防护系统IPS
目前,随着网络入侵事件的不断增加和黑客攻击数据的不断提高,使得传统的防火墙或入侵检测技术无法满足现代网络安全的需要,而入侵防护技术的产生正是适应了这种要求. 防火墙是实施访问控制策略的系统,对流经的网 ...
64位系统和32位系统的区别
一直纠结32位和64位操作系统倒底有哪些区别?32位操作系统最大只支持4G内存吗?可是明明看到服务器内存显示是大于4G的,到底怎么回事??经过一番查阅终于搞明白了. 操作系统有32位和64位之分,主要 ...
64位操作系统和32位操作系统有区别吗
64位版台式机和服务器操作系统在功能上与32位版本软件差别不大,但是在性能上差距是比较明显的.一般64位是面向企业用户的,在个人用户里面还不普及,使用者还很少,不过未来64位将会成为主流.由于64位的 ...
32位系统和64位系统的区别
这个32位和64位主要说的是CPU一次处理数据的能力,32位就是32bit即一次可以处理4个字节的数据:64位就是64bit即一次可以处理8个字节 32位机器可以寻址2^32,64位机器可以寻址2^6 ...
【计算机系统和网络安全技术】第九章：防火墙与入侵防御系统
第九章:防火墙与入侵防御系统 1.防火墙的必要性与Internet的连接性的非常重要的 • 会对机构产生威胁 • 保护局域网的一种有效方式 • 防火墙设置在驻地网和 Internet 之间,以建立二 ...
计算机科学NIP,焦点：网络入侵防护（NIP）技术真的成了鸡肋吗？ -电脑资料
网络入侵防护(NIP)技术已经成为业界争论的焦点, 相关调查显示,在为什么不使用NIP系统来过滤网络业务流的问题上,63%的人回答说他们使用防火墙.然而防火墙的设置很多都是静态的,管理员定义什么是可接 ...

入侵检测系统和入侵防护系统的区别

入侵检测系统和入侵防护系统的区别

入侵检测系统和入侵防护系统的区别相关推荐

最新文章

热门文章