利用IPS完美構建企業立體Web安全防護網
一個Web服務器，從上到下可以分為上中下三層。最低層為操作系統層，如Windows或者Linux操作系統;中間層是Web服務程序、數據庫服務等通用組件;最上面一層是與內容和業務相關的網頁程序。只要這三層架構中，任何一層出現問題就可能會導致整個網站的安全受到威脅。為此我們在部署Web服務器安全策略的時候，決定不能夠只關注上層的Web服務程序，而應該構建一個立體的Web防護網。
一、每一層都可能存在安全漏洞
在這里筆者要告訴大家一個非常不幸的消息。在Web服務器的三層架構中，任何一層都有或大或小的漏洞。在操作系統層面，無論采用Windows操作系統還是采用Linux操作系統，都不時的會有黑客可以遠程利用的安全漏洞被發現。相比之下，Linux操作系統要比Windows操作系統安全一點。而中間層，如IIS、ASP、SQLServer也不時的有“漏洞門”的問題。最上層的網頁程序，漏洞更是不少。如著名的SQL注入式攻擊漏洞就是出現在網頁程序層中。
雖然現在有比較多的安全防護產品，但是比較可惜的是，他們往往都只是針對一個特定的層面。或者說目前很多Web網站的防護技術并不過硬。如不少企業在Web服務器外面都會部署一個防火墻。但是因為針對Web服務器的攻擊，很多是直接對應用層的漏洞發起的攻擊行為，他們可以直接通過80端口來完成攻擊的行為。在這種情況下，即使采用了防火墻也無濟于事。當任何一層被攻破，那么其它兩層即使保護的再好，最后的結果都只有一個，那就是失敗。
總之，Web服務器的每一層都存在著比較嚴重的漏洞。如果要確保Web服務器的安全，那么必須要構建一個立體的防護網。
二、利用IPS構建一個立體的Web防護網
IPS(入侵防御系統)是一個集成入侵防御與檢測、病毒過濾、帶寬管理和URL過濾等功能的一個綜合性的防御系統。對于Web服務器來說，其基本上涵蓋了上中下三個層面的內容。為此借助IPS技術，就可以為Web服務器構建一個立體的Web防護網。
眾所周知，防火墻等設備，其主要關注的是網絡層的基礎安全，而不會涉及到應用層。而像SQL注入式攻擊等等基本上都發生在應用層。為此對于Web服務器的安全貢獻不是很大。而IPS技術與防火墻不同，其可以深入到應用層面。IPS防御系統會檢測從報文頭到報文負載的每一個字節，將數據流流與攻擊特征字節進行對比，從而有效的發現隱藏在正常數據流中的攻擊報文。可見通過IPS系統可以為Web服務器構建一個立體的防護網。
IPS防御系統的理論知識大家可以去查看具體的書籍，這不是筆者這里要重點討論的內容。筆者這里需要強調的是，在部署IPS系統時需要注意的內容。
三、IPS選購時要選品牌、看技術實力
IPS與普通的安全產品不同，其核心的內容就是技術。具體的說，就是檢測引擎。雖然現在市面上提供IPS產品的廠商有很多。但是根據筆者的了解，其效果是層次不齊。有些IPS產品，雖然打著ISP旗號，但是基本上起不到IPS的功能。這主要是因為檢測引擎等核心技術，各個廠商都非常的看重。有些技術實力稍微薄弱一點的企業，就無法研發完善的檢測引擎。而由于缺乏這個核心的技術，則IPS功能就只成了一個擺設。
為此企業在選購IPS防御系統的時候，主要需要關注的是廠商的技術實力。簡單的說，就是需要選品牌的。國內在這一塊做的不錯的，主要有聯想與華為等幾家廠商。如聯想的檢測引擎，會對網絡數據包進行收集和檢測分析，并能夠依據設定的安全策略對違反預設策略的事件實施阻斷或者限制的操作。同時實時的向LEMSServer(相當于是一個日志服務器) 傳送報警信息和事件過程記錄。華為公司的IPS檢測系統，采用的是其自主研發的FIRST(基于精確狀態的全面檢測)檢測引擎。這個檢測引擎集成了多項檢測技術，實現了基于精確狀態的全面檢測。
筆者仔細研究過這兩家企業的IPS防御系統。發現確實能夠對Web服務器的安全起到不可替代的作用。而且兩家廠商的技術實力都比較雄厚，為此對于檢測引擎的升級也比較快。能夠在最短的時間內，發現可疑的攻擊行為。
四、IPS選購時需要關注其涉及的層面
在文章一開始，筆者就談到過，Web服務器從上到下可以分為三層。如果任何一層出現漏洞，那么都會給服務器帶來致命的打擊。為此我們在選擇IPS防御系統的時候，也需要關注，其選擇的產品到底是否能夠對這個三個層面構成一個立體的防御體系。
如針對Web網頁程序的攻擊，管理員需要評估產品是否會分析網頁程序ud每一個HTTP請求，并根據常見的網頁漏洞原理對每個客戶端提交的HTTP請求進行攻擊特征匹配。如果發現有可疑的請求，能夠自動將攻擊報文阻斷并報警。
而對于中間層來說，需要IPS防御系統能夠分析跟蹤Web服務器中間層組建的攻擊特點以及常見的漏洞，并在IPS系統中實現核心的防護措施。如對于SQLServer數據庫服務器來說，IPS系統需要根據已有的信息，來判斷SQLServer服務器是否存在可以被攻擊的漏洞等等。
對于底層的操作系統來說，需要IPS系統能夠對其提供防護。如系統需要分析常見操作系統的每一個可以被遠程利用的漏洞，分析漏洞的原因和利用這個漏洞發生攻擊的常見手段。并從歷史的攻擊案例中分析出攻擊的特征。然后將這個結果與現有的數據流進行匹配，以判斷是否有可以的攻擊行為。
在選型時，安全技術人員需要評估IPS能否在以上三個層面提供足夠安全的技術保障。如果不能股從技術層面進行測試的話，那么至少要看看其是否通過了相關的國際認證。如對于操作系統層的防火，可以考察其是否通過了微軟的MAPP認證。因為只要通過了這個認證，那么廠商就可以提前獲得微軟的漏洞信息(在微軟正式發布漏洞聲明之前)。對于安全防護來說，有時候時間就是生命。提早一步知道系統的漏洞，那么就可以在攻擊者發起攻擊之前就采取防護措施。
另外有些廠商提供的IPS防御系統，其關注的內容并不是很全面。如只管住中間層和Web網頁程序層的內容。他們認為操作系統層的安全可以有系統管理員來負責或者由微軟的Update服務來實現。雖然這也有一定的道理，但是其會增加管理人員的工作量。需要同時從多個平臺上來可以Web服務器的安全。這不是很理想。
五、根據Web服務器的規模來選擇不同規格的產品
Web服務器是一個很特殊的應用。其客戶多則有上億，而少則可能只有幾百個(如一個B/S架構的OA應用)。這就對IPS的選型提出了一個額外的挑戰。因為所有的通信都需要經過IPS系統的檢測。為此對于其性能肯定會造成一定程度的影響。
當Web服務的并發性訪問數量比較高時，這個負面影響會非常的嚴重。此時對于IPS服務器就需要采用比較高的配置，以縮短檢測過程所占用的時間。而對于規模比較小的應用，其流量本身就不是很大，此時采用的配置可以底一點。畢竟一分錢一分貨。高配置與低配置在最后的結果上可能沒有多少的差異，但是在性能上會相差很多。當然在價格上，也是一個天上、一個地下。
總之，在選擇IPS防御系統的時候，要根據自己企業的Web規模來選擇合適的規格。此時主要是從IPS的吞吐量，即性能角度進行考慮。一個基本的原則，就是盡可能的減少由于采用了IPS系統而給用戶帶來的負面影響。
【編輯推薦】
