【51CTO.com 獨家特稿】入侵防御系統方案

入侵是指在非授權的情況下，試圖存取信息、處理信息或破壞系統以使系統不可靠，不可用的故意行為。

通常提到對入侵行為的防御，大家都會想到防火墻。防火墻作為企業級安全保障體系的第一道防線，已經得到了非常廣泛的應用，但是各式各樣的攻擊行為還是被不斷的發現和報道，這就意味著有一類攻擊行為是防火墻所不能防御的，比如說應用層的攻擊行為。

想要實現完全的入侵防御，首先需要對各種攻擊能準確發現，其次是對攻擊進行實時的阻斷與響應。防火墻等訪問控制設備沒有能做到完全的協議分析，僅能實現較為低層的入侵防御，對應用層的攻擊以及其他非法行為無法進行判斷，而入侵檢測等旁路設備由于部署方式的局限，在發現攻擊后無法及時切斷可疑連接，都達不到完全防御的要求。

想要實現完全的入侵防御，就需要將完全協議分析和在線防御相融合，這就是入侵防御系統（IPS）：online式在線部署，深層分析網絡實時數據，精確判斷隱含其中的攻擊行為，實施及時的阻斷。

基于趙明的需求，我們推薦趙明使用啟明星辰的天清IPS系統來解決問題。

趙明網站入侵防護系統IPS的部署

本次部署的網絡入侵防護系統位于Web主備服務器之前，Web服務器區的數據是最安全敏感的數據，安全級別最高，所以部署IPS首先考慮服務器區。

產品部署網絡拓撲圖如下：  

天清入侵防御部署圖

天清入侵防御功能分析

天清入侵防御系統（Intrusion Prevention System）是啟明星辰自行研制開發的入侵防御類網絡安全產品，圍繞深層防御、精確阻斷這個核心，通過對網絡中深層攻擊行為進行準確的分析判斷，在判定為攻擊行為后立即予以阻斷，主動而有效的保護網絡的安全。

天清入侵防御系統（IPS）融入了啟明星辰公司在入侵攻擊識別方面的積累和研究成果，使其在精確阻斷方面達到國際領先水平，不僅可以對網絡蠕蟲、間諜軟件、溢出攻擊、數據庫攻擊等多種深層攻擊行為進行主動阻斷，而且能夠有效的防御像SQL注入、跨站腳本攻擊這些針對應用業務的攻擊行為，彌補了其它安全產品深層防御效果的不足。   

◆WEB業務安全主動檢測，全面、專業

天清入侵防御系統提供創新的主動式WEB業務安全檢查，整合多種專業檢查工具的自動化檢測平臺和專業安全服務團隊，及時、全面的檢測和呈現網頁木馬和WEB漏洞，并提供補救措施。檢測過程無需客戶參與，網絡調整或者網絡割接，節約WEB業務安全運維成本。 

◆WEB業務深層防御能力出眾

近年來應用系統的WEB化程度的提高，針對WEB安全的威脅，如SQL注入、跨站腳本等攻擊行為也層出不窮。由于這類攻擊多依托于正常的開放協議，且變種多樣，使得普通的安全產品無法實現全面、準確的防御。天清入侵防御系統采用專利技術算法，對SQL注入、跨腳本攻擊等針對WEB業務的攻擊行為有很好的判斷和防御能力，和傳統學術界以及產業界的技術相比，可以做到無誤報，無漏報。 

◆精確阻斷達到國際領先水平

天清入侵防御系統融合了基于攻擊躲避原理的阻斷方法與基于攻擊特征的阻斷方法，不但有效提高了對各種深層攻擊行為的識別能力，而且對攻擊變種、異形攻擊等無法通過特征判斷的攻擊行為也能實現精確阻斷。 

◆在線部署，高效可靠

天清入侵防御系統是以透明方式串行部署于網絡中, 通過虛擬引擎技術可以實現多策略防護。通過軟、硬件雙Bypass功能，即使在最惡劣的情況下，天清入侵防御系統也不會成為網絡的故障點。天清入侵防御系統通過合理分配資源、CPU與任務綁定等技術，大幅提升了系統的性能，其微秒級時延和千兆高吞吐量可滿足電信級業務的應用。 

◆綜合管理，易用、易查

天清入侵防御系統同時支持遠程登錄管理和集中拓撲管理模式，提供向導式的策略配置管理，可根據需求靈活調整保護策略，達到最佳防御效果，并提供對歷史記錄信息細致的查詢分析功能。  

◆支持在線更新，防御最新威脅

天清入侵防御系統可通過在線自動升級，增加對最新威脅的防御能力。

天清入侵防御技術優勢  

◆高效的數據處理性能

正如很多邊界防護設備一樣，串行的接入模式需要面對的一個主要問題是如何使設備不成為網絡傳輸的瓶頸。天清入侵防御系統采用了如下先進技術確保其具有高效的傳輸性能:

POLL技術：在通常的系統中，數據處理都是采用中斷響應機制來進行的。采用中斷在數據包較少的情況下，是一個比較好的解決方案，但在數據量較大的情況下，尤其是在千兆級環境下，處理大量中斷所消耗的系統資源是相當可觀的，我們在這里采用了輪詢方式的POLL技術，CPU一直保持工作狀態，而并且等待喚醒狀態，以節約在大數據量情況下的CPU開銷。在對數據包的轉發中采用POLL技術，可以確保較低的傳輸時延。

驅動的內部無鎖技術：常見的數據結構有這么三種：堆棧、隊列和樹。在不同的情況下，采用不同的數據結構，我們對捕獲后的數據的存儲方式采用的是環狀隊列，也就是說，無需等待中斷，隨時都可以從存儲空間中實時獲得可進行分析的數據。

自適應的CPU負載均衡技術：我們將每一個實際的CPU都虛擬成了多個虛擬的CPU，分別用于處理不同的事務：分別處理中斷、檢測和通訊等。

以上這三項技術的協同應用，使得天清入侵防御系統在數據包的處理性能方面有著出眾的表現。其微秒級的分析時延，完全可以適應電信級用戶網絡環境需求。 

◆權威性的檢測特征庫

基于誤用的檢測方法要達到精確檢測其核心之一就是檢測特征（signature）提取的準確性，構造一個好的入侵防御系統，依賴于能否準確地提取和描述檢測特征。特別是在串行環境下，明晰而精確的檢測特征將會是決定保護措施優劣的重要砝碼。

天清入侵防御系統在提煉檢測特征的時候采用了如下兩種方式：

方式A：基于漏洞機理的分析方法。

利用漏洞機理的方法來提取和定義特征，可以實現檢測和具體攻擊工具的無關性，特別對于防止新型變種的攻擊和攻擊工具改造非常有效。

方式B：基于攻擊過程的分析方法。

攻擊過程分析法則是完全站在攻擊者的角度，破析完整的攻擊過程，可以判斷攻擊是處在攻擊嘗試階段還是已經攻擊成功。

另外，天清入侵防御系統中對檢測特征的定義都是通過統一的標準化VT++語言來描述，VT++語言的使用，不但保證了特征的快速更新，還向用戶提供了便于自行定義檢測特征的接口，從而擴充了檢測內容和范圍。

天清入侵防御系統的檢測防御規則庫全面兼容CVE和CNCVE，對用戶而言，提供了更詳細了解網絡中發生行為的機會。 

◆準確的攻擊檢測能力

天清入侵防御系統在對數據鏈路層到應用層的網絡數據全面分析的基礎之上，融合漏洞分析信息，可以對上報的攻擊事件進行事先的預分析，達到精確報警的目的。

此外，天清入侵防御系統采用了啟明星辰公司設計并實現的高效協議自識別方法——VFPR (Venus Fast Protocol Recognition)，該協議自識別方法基于協議指紋識別和協議規則驗證技術實現，能夠在網絡協議通信初期根據前期網絡報文特征自動識別所屬協議類型，并采用預先建立的協議驗證規則進一步驗證協議識別結果正確性。 

◆靈活的安全策略管理

天清入侵防御系統采用基于策略的防護方式，內置了多種默認安全策略集，用戶可以根據需要選擇最適合自己需要的策略，以達到最佳防護效果。

除了默認的安全策略集外，天清入侵防御系統還提供了向導式的策略管理方式，在策略集間還可實現與、或、并、交等邏輯操作，便于用戶自定義選擇最佳安全策略。

典型部署

天清入侵防御系統提供了即插即用的部署方式，無須更改拓撲結構就可為網絡提供充分防護。  

◆單級部署模式：

將入侵防御系統部署在區域邊界，提供有針對性的重點防護。

◆多級部署模式：

跨地域部署入侵防御系統，通過互聯網實現遠程分級防御、統一管理、集中上報。