搜索

[22179] 2021-07-22_企业安全建设之基础办公安全体系建设（入侵检测与防御系统）

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2021-07-22_企业安全建设之基础办公安全体系建设（入侵检测与防御系统） 企 业 安 全 建 设 之 基 础 办 公 安 全 体 系 建 设 （ 入 侵 检 测 与 防 御 系 统 ） L e m o n S e c   2 0 2 1 - 0 7 - 2 2 以 下 文 章 来 源 于 系 统 安 全 运 维   ， 作 者 三 块 大 石 头 有 幸 拜 读 了 李 斌 老 师 的 《 企 业 信 息 安 全 建 设 与 运 维 指 南 》 ， 书 中 详 细 介 绍 了 基 础 安 全 建 设 、 自 动 化 系 统 建 设 、 业 务 安 全 体 系 建 设 ， 受 益 匪 浅 。 结 合 李 斌 老 师 的 书 ， 做 了 随 笔 整 理 。   企 业 办 公 网 安 全 体 系 建 设 企 业 办 公 网 安 全 体 系 建 设 ， ， 包 括 包 括 终 端 基 础 安 全 体 系 终 端 基 础 安 全 体 系 、 、 防 火 墙 和 防 火 墙 和 V P N 、 、 入 侵 检 测 入 侵 检 测 / 防 御 系 统 防 御 系 统 、 、 邮 件 系 统 安 全 和 统 一 邮 件 系 统 安 全 和 统 一 账 号 认 证 系 统 建 设 账 号 认 证 系 统 建 设 。 。   1 .   终 端 基 础 安 全 之 前 的 文 章 有 介 绍 ： 企 业 安 全 建 设 之 基 础 办 公 安 全 体 系 建 设 （ 终 端 基 础 安 全 ） 、 企 业 安 全 建 设 之 基 础 办 公 安 全 体 系 建 设 （ 防 火 墙 、 V P N 和 上 网 行 为 管 理 ）   本 篇 介 绍 入 侵 检 测 与 防 御 系 统 2 .   入 侵 检 测 与 防 御 系 统 防 火 墙 和 V P N 解 决 了 网 络 互 联 基 础 安 全 问 题 ， 但 还 需 要 解 决 如 下 的 内 外 部 的 安 全 入 侵 威 胁 风 险 。 ·   来 自 互 联 网 的 病 毒 、 木 马 攻 击 。 ·   来 自 分 支 机 构 、 网 络 互 联 边 界 的 安 全 攻 击 。 ·   入 侵 和 恶 意 探 测 无 法 检 测 和 溯 源 。 ·   攻 击 无 法 被 及 时 阻 断 。 《 信 息 安 全 技 术 网 络 安 全 等 级 保 护 基 本 要 求 》 中 第 三 级 安 全 要 求 中 的 “ 入 侵 防 范 ” 要 求 如 下 。 ·   应 在 关 键 网 络 节 点 处 检 测 、 防 止 或 限 制 从 外 部 发 起 的 网 络 攻 击 行 为 。 ·   应 在 关 键 网 络 节 点 处 检 测 、 防 止 或 限 制 从 内 部 发 起 的 网 络 攻 击 行 为 。 建 议 在 网 络 边 界 部 署 入 侵 防 御 系 统 ， 阻 断 入 侵 和 攻 击 行 为 ； 在 办 公 内 网 部 署 入 侵 检 测 系 统 ， 全 面 检 测 网 络 流 量 中 隐 藏 的 内 外 部 入 侵 行 为 。   2 . 1 入 侵 防 御 系 统 简 介 2 . 1 . 1   入 侵 防 御 系 统 简 介 入 侵 防 御 系 统 简 称 I P S （ I n t r u s i o n   P r e v e b t i o n   S y s t e m ） ， 是 部 署 在 网 络 区 域 边 界 的 、 O S I 第 3 ～ 7 层 的 网 络 安 全 攻 击 、 恶 意 代 码 攻 击 进 行 主 动 防 御 的 安 全 设 备 ， 如 图 1 。   系 统 安 全 运 维 系 统 安 全 运 维   . 机 器 猫 学 安 全 /   每 日 分 享 ， 绝 不 偷 懒
图 1 I P S 一 般 部 署 在 网 关 处 ， 也 就 是 串 联 在 链 路 中 ， 对 网 络 进 出 流 量 进 行 解 析 ， 并 根 据 已 开 启 的 入 侵 防 御 策 略 或 恶 意 代 码 防 御 策 略 进 行 逐 条 检 测 和 匹 配 ， 如 果 命 中 规 则 ， 则 根 据 规 则 的 相 应 策 略 执 行 相 应 的 动 作 。 例 如 ， 一 个 网 络 病 毒 攻 击 被 I P S 检 测 到 时 ， 触 发 了 丢 弃 规 则 ， 则 这 个 恶 意 攻 击 就 无 法 进 入 网 络 边 界 ， 从 而 达 到 防 御 效 果 。 在 前 文 提 到 过 ， 很 多 厂 商 将 I P S 功 能 集 成 到 U T M 或 N G F W 中 ， 但 也 有 不 少 是 以 独 立 设 备 部 署 的 ， 这 两 种 方 式 部 署 的 I P S 入 侵 防 御 功 能 和 应 用 效 果 差 别 不 大 。 2 . 1 . 2   入 侵 防 御 系 统 评 价 指 标 1 ） 入 侵 防 御 能 力 。 I P S 最 重 要 的 指 标 是 对 入 侵 的 防 御 能 力 ， 因 此 在 产 品 选 型 时 需 要 重 点 测 试 其 入 侵 防 御 能 力 。 在 实 际 测 试 中 ， 可 以 使 用 c a p 包 回 放 或 发 起 真 实 的 攻 击 进 行 入 侵 防 御 能 力 验 证 。 下 图 2 为 人 工 测 试 的 真 实 案 例 ， 先 将 I P S 接 入 互 联 网 ， 配 置 入 侵 检 测 策 略 ， 只 告 警 不 阻 断 ， 验 证 每 项 入 侵 的 检 出 率 。
  图 2 如 图 3 所 示 ， 通 过 回 放 c a p 包 的 方 式 检 测 I P S 的 防 御 能 力 ， 建 议 测 试 时 将 I P S 置 于 旁 路 模 式 ， 监 听 网 络 中 的 流 量 ， 测 试 攻 击 包 的 检 出 率 。 要 注 意 攻 击 包 的 覆 盖 范 围 必 须 足 够 广 ， 要 包 括 网 络 攻 击 、 蠕 虫 、 木 马 后 门 、 间 谍 软 件 、 网 络 病 毒 等 各 种 类 型 。 图 3 2 ） 产 品 性 能 和 功 能 产 品 性 能 方 面 ， 与 防 火 墙 的 测 试 方 法 类 似 ， 需 要 注 意 的 是 ， 测 试 时 应 开 启 I P S 防 护 功 能 后 再 测 试 相 关 性 能 指 标 。 产 品 功 能 上 ， 需 要 关 注 产 品 的 B y p a s s 功 能 ， 当 入 侵 防 护 设 备 出 现 故 障 （ 如 断 电 等 ） 时 ， B y p a s s 功 能 可 以 将 设 备 的 进 出 口 直 接 连 通 （ 可 以 理 解 为 变 成 一 根 直 通 的 网 线 ） ； 另 外 也 需 要 有 一 键 取 消 入 侵 防 御 的 功 能 ， 当 入 侵 防 御 策 略 出 现 问 题 或 产 品 性 能 出 现 瓶 颈 影 响 网 络 使 用 时 ， 可 以 开 启 这 一 功 能 。   2 . 2   入 侵 检 测 系 统 简 介 2 . 2 . 1   入 侵 检 测 系 统 简 介 入 侵 检 测 系 统 （ I n t r u s i o n   D e t e c t i o n   S y s t e m , I D S ） ， 部 署 在 网 络 内 部 ， 用 于 检 测 发 生 在 内 部 网 络 的 各 种 攻 击 行 为 。 目 前 业
界 比 较 流 行 的 态 势 感 知 ， 也 是 在 入 侵 检 测 基 础 上 延 伸 而 来 的 。 如 图 4 ， 系 统 部 署 一 般 是 将 内 网 的 流 量 镜 像 ， 使 用 I D S 检 测 引 擎 检 测 到 攻 击 行 为 后 ， 将 入 侵 检 测 告 警 信 息 发 送 到 管 理 中 心 。   图 4 相 比 I P S ， I D S 出 现 得 更 早 ， 两 种 设 备 有 很 多 相 同 点 ， 也 有 许 多 不 同 指 出 ， 如 表 所 示 。   2 . 2 . 1   入 侵 检 测 系 统 评 级 指 标 1 ） 入 侵 检 测 能 力 入 侵 检 测 能 力 测 试 方 法 与 I P S 类 似 ， 需 要 将 网 络 流 量 镜 像 后 接 入 I D S 进 行 测 试 。 I D S 测 试 时 要 重 点 考 虑 误 报 率 ， 在 真 实 网 络 流 量 中 运 行 一 段 时 间 ， 验 证 误 报 的 占 比 。 2 ） 产 品 性 能 和 功 能           ·   I D S 引 擎 I D S 是 旁 路 引 擎 ， 一 般 是 在 局 域 网 的 核 心 交 换 机 上 将 内 网 流 量 镜 像 到 指 定 端 口 ， 接 入 I D S 引 擎 设 备 ， 所 以 需 要 重 点 考 虑 I D S 引 擎 的 处 理 能 力 ， 和 防 火 墙 介 绍 类 型 ， I D S 引 擎 处 理 大 包 、 中 包 、 小 包 的 能 力 是 有 很 大 差 别 的 ， 在 实 际 网 络 中 一 般 考 虑 混 合 包 的 处 理 能 力 ， 实 际 选 型 时 尽 量 在 真 实 环 境 中 测 试 。 另 外 需 要 考 虑 I D S 引 擎 的 网 口 和 规 格 ， 一 般 核 心 交 换 机 镜 像 的 流 量 较 大 ， 网 口 可 能 是 千 兆 电 口 、 千 兆 光 口 ， 甚 至 是 万 兆 光 口 。
·   I D S 管 理 中 心 I D S 管 理 中 心 测 试 时 需 要 考 虑 日 志 查 询 速 度 和 报 表 功 能 的 丰 富 性 ， 如 果 I D S 的 数 据 库 优 化 没 有 做 好 ， 当 日 志 存 储 达 到 一 定 程 度 后 ， 查 询 日 志 的 速 度 可 能 会 非 常 慢 。 随 着 大 数 据 技 术 的 广 泛 应 用 ， 这 个 问 题 也 得 到 了 解 决 。 此 外 需 要 测 试 管 理 中 心 的 集 中 管 理 能 力 ， 企 业 内 网 环 境 负 责 ， 可 能 需 要 部 署 多 套 I D S ， I D S 需 要 能 集 中 进 行 策 略 下 发 、 日 志 统 一 管 理 和 汇 总 ， 这 也 是 测 试 的 重 要 方 面 。   2 . 2 . 3 I D S 日 常 运 维 管 理 I D S 的 日 常 运 维 至 关 重 要 ， 很 多 企 业 购 买 I D S 后 ， 由 于 没 有 对 入 侵 检 测 策 略 进 行 优 化 ， 导 致 告 警 泛 滥 ， 负 责 人 刚 开 始 还 会 登 陆 I D S 管 理 中 心 查 看 ， 到 后 来 就 无 人 问 津 了 。 I D S 的 日 常 运 维 需 要 对 告 警 策 略 进 行 优 化 ， 重 点 关 注 如 主 机 漏 洞 攻 击 和 利 用 、 暴 力 破 解 行 为 、 内 网 弱 口 令 、 A R P 攻 击 等 ， 忽 略 低 危 和 非 必 要 告 警 ； 对 告 警 策 略 进 行 验 证 ， 减 少 策 略 误 报 ； 持 续 优 化 入 侵 检 测 策 略 ， 使 I D S 做 到 精 确 告 警 。 I D S 告 警 时 负 责 人 应 注 意 找 到 真 实 的 攻 击 源 ， 在 内 网 环 境 中 ， 可 能 存 在 N A T 的 使 用 ， 真 实 的 I P 往 往 被 隐 藏 ， 建 议 在 部 署 时 在 网 络 的 不 同 位 置 将 流 量 都 做 镜 像 和 检 测 ， 并 做 好 告 警 关 联 。   本 章 主 要 介 绍 了 - - 企 业 安 全 建 设 之 基 础 办 公 安 全 体 系 建 设 （ 入 侵 检 测 与 防 御 系 统 ） ， 下 一 章 会 写 到 邮 件 安 全 在 基 础 办 公 安 全 体 系 中 的 建 设 方 式 。 渗 透 测 试 干 货   |   横 向 渗 透 的 常 见 方 法 一 次 通 过 漏 洞 挖 掘 成 功 渗 透 某 网 站 的 过 程 安 全 团 队 不 可 错 过 的 七 个 云 安 全 开 源 工 具 欢 迎 关 注 欢 迎 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理