搜索

[11858] 2017-10-05_IDS和IPS的部署细节科普

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-10-05_IDS和IPS的部署细节科普 I D S 和 I P S 的 部 署 细 节 科 普 A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 1 0 - 0 5 摘 要 摘 要 这 篇 文 章 主 要 介 绍 的 是 入 侵 检 测 系 统 （ I D S ） 和 入 侵 防 御 系 统 （ I P S ） ， 而 这 两 者 均 是 保 护 我 们 网 络 安 全 的 重 要 机 制 。 在 过 去 的 几 年 里 ， 网 络 攻 击 所 带 来 的 安 全 威 胁 严 重 程 度 已 经 上 升 了 很 多 倍 ， 几 乎 每 个 月 都 会 发 生 数 起 严 重 的 数 据 泄 露 事 件 。 基 于 网 络 的 I D S / I P S 并 不 是 一 种 新 出 现 的 技 术 ， 但 是 考 虑 到 网 络 攻 击 技 术 的 最 新 发 展 趋 势 ， I D S 和 I P S 的 实 现 方 式 仍 然 是 我 们 需 要 理 解 和 考 虑 的 内 容 。 因 此 ， 在 这 篇 文 章 中 ， 我 们 将 从 高 层 设 计 角 度 触 发 ， 跟 大 家 讨 论 一 下 如 何 在 不 同 的 I T 环 境 中 更 加 有 效 地 部 署 I D S 和 I P S 。 本 文 包 含 以 下 几 个 话 题 内 容 ： 1 .   什 么 是 基 于 网 络 的 I D S 和 I P S 2 .   什 么 是 基 于 主 机 的 I D S 和 I P S 3 .   企 业 环 境 下 的 I D S / I P S 设 计 4 .   基 于 设 备 的 I D S / I P S 5 .   基 于 路 由 器 的 I D S / I P S 6 .   基 于 防 火 墙 的 I D S / I P S 7 .   基 于 云 环 境 下 的 I D S / I P S 实 现 8 .   针 对 智 能 物 联 网 设 备 的 I D S / I P S 设 计 9 .   使 用 机 器 学 习 算 法 实 现 入 侵 检 测 什 么 是 基 于 网 络 的 什 么 是 基 于 网 络 的 I D S 和 和 I P S ？ ？ 入 侵 检 测 系 统 （ I D S ） 是 一 种 通 过 实 时 监 控 网 络 流 量 来 定 位 和 识 别 恶 意 流 量 的 软 件 。 在 网 络 系 统 中 ， I D S 所 处 的 位 置 是 一 个 非 常 关 键 的 设 计 因 素 ， I D S 一 般 会 部 署 在 防 火 墙 之 后 ， 但 我 们 还 应 该 在 充 分 了 解 网 络 数 据 刘 和 整 体 网 络 架 构 之 后 再 去 考 虑 I D S 的 部 署 位 置 。 除 此 之 外 ， 为 了 进 一 步 提 升 网 络 的 整 体 安 全 性 ， 我 们 还 建 议 可 以 部 署 多 个 I D S 。 常 用 的 入 侵 检 测 方 法 如 下 ： a .   使 用 签 名 ： 厂 商 可 以 提 供 2 0 0 0 多 种 签 名 ， I D S 可 以 使 用 这 些 签 名 对 网 络 流 量 进 行 模 式 匹 配 。 当 一 个 新 的 数 据 包 进 入 我 们 的 网 络 之 后 ， 它 可 以 根 据 数 据 库 中 的 签 名 数 据 来 分 析 其 相 似 度 ， 如 果 检 测 到 了 匹 配 发 生 ， 则 会 发 出 警 报 。
b .   搜 索 异 常 ： 即 为 用 户 的 使 用 操 作 设 定 一 条 基 准 线 。 比 如 说 ， 如 果 三 十 个 人 同 时 打 开 了 一 个 连 接 （ 考 虑 连 接 数 x 5 ） ， 那 么 如 果 一 个 非 正 常 的 请 求 同 时 建 立 了 3 0 x 5 = 1 5 0 条 连 接 ， 则 会 发 出 警 报 。 c .   协 议 异 常 ： 即 检 测 基 于 协 议 的 异 常 信 息 。 例 如 系 统 所 使 用 的 协 议 为 H T T P ， 但 系 统 检 测 到 了 某 些 请 求 使 用 了 其 他 协 议 或 者 未 知 命 令 时 ， 系 统 则 会 认 为 其 违 反 了 常 规 协 议 ， 接 下 来 便 会 发 出 警 报 。 当 攻 击 发 生 时 ， 入 侵 检 测 系 统 只 能 发 出 警 报 ， 它 并 不 能 防 止 攻 击 的 发 生 。 而 入 侵 防 御 系 统 （ I P S ） 却 能 有 效 地 组 织 攻 击 行 为 的 发 生 ， 因 为 所 有 的 网 络 流 量 在 达 到 目 标 服 务 器 之 前 ， 都 需 要 流 经 I P S 。 所 以 在 没 有 得 到 允 许 的 情 况 下 ， 恶 意 软 件 是 无 法 触 及 服 务 器 的 。 企 业 环 境 下 的 I D S 设 计 架 构 如 下 图 所 示 : 设 计 考 虑 因 素 设 计 考 虑 因 素 a .   I D S 一 般 部 署 在 防 火 墙 之 后 。 b .   在 上 面 的 设 计 图 中 ， L o c a t i o n   1 部 署 的 I D S 用 于 保 护 W e b 服 务 器 。 c .   L o c a t i o n   2 部 署 的 I D S 用 于 保 护 余 下 的 网 络 组 件 免 受 恶 意 软 件 的 危 害 。 d .   这 是 一 个 基 于 网 络 的 I D S ， 而 并 非 基 于 主 机 的 I D S ， 因 此 它 无 法 检 测 到 网 络 中 两 台 主 机 之 间 所 生 成 的 恶 意 软 件 。 企 业 环 境 下 的 I P S 设 计 架 构 如 下 图 所 示 ： 基 于 主 机 的 基 于 主 机 的 I D S / I P S 基 于 主 机 的 I D S 只 能 够 监 控 一 个 系 统 ， 它 运 行 在 你 需 要 保 护 的 主 机 之 中 ， 它 能 够 读 取 主 机 的 日 志 并 寻 找 异 常 。 但 需 要
注 意 的 是 ， 当 攻 击 发 生 之 后 ， 基 于 主 机 的 I D S 才 能 够 检 测 到 异 常 。 基 于 网 络 的 I P S 能 够 检 测 到 网 段 中 的 数 据 包 ， 如 果 基 于 网 络 的 I P S 设 计 得 当 的 话 ， 它 也 许 能 够 代 替 基 于 主 机 的 I P S 。 基 于 主 机 的 I D S 其 另 一 个 缺 点 就 是 ， 网 络 中 的 每 一 台 主 机 都 需 要 部 署 一 个 基 于 主 机 的 I D S 系 统 。 你 可 以 设 想 一 下 ， 如 果 你 的 环 境 中 有 5 0 0 0 台 主 机 ， 这 样 一 来 你 的 部 署 成 本 就 会 非 常 高 了 。 基 于 设 备 的 基 于 设 备 的 I D S / I P S 你 可 以 在 一 台 物 理 服 务 器 或 虚 拟 服 务 器 中 安 装 I D S ， 但 你 需 要 开 启 两 个 接 口 来 处 理 流 入 和 流 出 的 网 络 流 量 。 除 此 之 外 ， 你 还 可 以 在 U b u n t u 服 务 器 （ 虚 拟 机 ） 上 安 装 类 似 S n o r t 的 I D S 软 件 。 基 于 路 由 器 的 基 于 路 由 器 的 I D S / I P S 在 一 个 网 络 中 ， 几 乎 所 有 的 流 量 都 要 经 过 路 由 器 。 路 由 器 作 为 一 个 网 络 系 统 的 网 关 ， 它 是 系 统 内 主 机 与 外 部 网 络 交 互 的 桥 梁 。 因 此 在 网 络 安 全 设 计 架 构 中 ， 路 由 器 也 是 I D S 和 I P S 系 统 可 以 考 虑 部 署 的 地 方 。 目 前 有 很 多 可 以 整 合 进 路 由 器 的 第 三 方 软 件 ， 而 它 们 可 以 构 成 网 络 系 统 抵 御 外 部 威 胁 的 最 前 线 。 基 于 防 火 墙 的 基 于 防 火 墙 的 I D S / I P S 防 火 墙 与 I D S 之 间 的 区 别 在 于 ， 防 火 墙 看 起 来 可 以 防 止 外 部 威 胁 进 入 我 们 的 网 络 ， 但 它 并 不 能 监 控 网 络 内 部 所 发 生 的 攻 击 行 为 。 很 多 厂 商 会 在 防 火 墙 中 整 合 I P S 和 I D S ， 这 样 就 可 以 给 防 火 墙 又 添 加 了 一 层 保 护 功 能 。 基 于 云 环 境 下 的 基 于 云 环 境 下 的 I D S / I P S 实 现 实 现 对 于 那 些 将 自 己 的 文 件 和 应 用 托 管 在 云 端 的 用 户 来 说 ， 云 服 务 提 供 商 是 否 部 署 了 I D S 也 许 会 成 为 客 户 考 虑 的 其 中 一 个 因 素 。 除 此 之 外 ， 用 户 还 可 以 部 署 S n o r t   I D S （ 社 区 版 ） 来 监 控 和 感 知 威 胁 。 云 环 境 下 的 I D S 架 构 如 下 图 所 示 ： 针 对 智 能 物 联 网 设 备 的 针 对 智 能 物 联 网 设 备 的 I D S / I P S 设 计 设 计 随 着 越 来 越 多 的 用 户 开 始 使 用 物 联 网 设 备 或 智 能 家 居 设 备 ， 因 此 我 们 还 要 考 虑 如 何 防 止 I O T 设 备 遭 受 外 部 恶 意 软 件 的 攻 击 。 由 于 考 虑 到 设 备 功 能 和 容 量 大 小 会 不 同 ， 因 此 我 们 也 许 要 根 据 设 备 的 性 能 来 设 计 自 定 义 的 I D S 。 智 能 家 居 环 境 下 的 I S D / I P S 部 署 架 构 如 下 图 所 示 ：
使 用 机 器 学 习 算 法 实 现 入 侵 检 测 使 用 机 器 学 习 算 法 实 现 入 侵 检 测 现 在 有 很 多 机 器 学 习 算 法 能 够 检 测 异 常 并 生 成 警 告 。 机 器 学 习 算 法 可 以 对 恶 意 行 为 的 模 式 进 行 学 习 ， 即 使 恶 意 行 为 发 生 改 变 ， 它 也 能 够 迅 速 生 成 警 报 。 将 机 器 学 习 方 法 应 用 到 将 机 器 学 习 方 法 应 用 到 I D S / I P S ： ： 总 结 总 结 在 设 计 网 络 安 全 架 构 的 过 程 中 ， 我 们 需 要 考 虑 的 关 键 因 素 就 是 将 I D S / I P S 部 署 在 何 处 。 根 据 网 络 以 及 客 户 环 境 的 不 同 ， 我 们 可 以 选 择 的 设 计 方 法 有 很 多 种 。 随 着 物 联 网 设 备 和 智 能 家 居 设 备 的 兴 起 ， I D S 和 I P S 系 统 的 重 要 性 也 不 言 而 喻 。 值 得 一 提 的 是 ， 我 们 现 在 遇 到 的 绝 大 多 数 的 网 络 攻 击 之 所 以 能 够 成 功 ， 正 是 因 为 这 些 系 统 并 没 有 正 确 部 署 入 侵 检 测 系 统 。 *   参 考 来 源 ： 参 考 来 源 ： s e c u r i t y d o c s ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理