当前位置:首页 > ICT社区 > 运维部落 > 正文内容

IDS和IPS是什么?IDS和IPS的区别

运维部落3年前 (2019-11-06)

在网络安全领域,随着黑客应用技术的不断“傻瓜式”,入侵检测系统IDS的地位正在逐渐增加。一个网络中,只有有效实施了IDS,才能敏锐地察觉攻击者的侵犯行为,才能防患于未然!

      1、入侵检测系统(IDS)

      IDS(Intrusion Detection Systems,入侵检测系统),专业上讲就是依照一定的安全策略,对网络、系统、运行状况进行监视,尽可能发现各种攻击企图、攻击行为或者攻击结果,以保证网络系统资源的机密性、完整性和可用性。

     我们做一个比喻--假如防火墙是一幢大厦的门锁,那么IDS就是这幢大厦里的监视系统。一旦小偷进入了大厦,或内部人员有越界行为,只有实时监视系统才能发现情况并发出警告。

1.jpg

与防火墙不同的是,IDS入侵检测系统是一个旁路监听设备,没有也不需要跨接在任何链路上,无须网络流量流经它便可以工作。因此,对IDS的部署的唯一要求是:IDS应当挂接在所有所关注的流量都必须流经的链路上。在这里,“所关注流量”指的是来自高危网络区域的访问流量和需要进行统计、监视的网络报文。

  IDS在交换式网络中的位置一般选择为:尽可能靠近攻击源、尽可能靠近受保护资源。

  这些位置通常是:

  服务器区域的交换机上;

  Internet接入路由器之后的第一台交换机上;

  重点保护网段的局域网交换机上。

  入侵检测提供了一种识别的方法,因此对系统的攻击进行反应。检测到攻击是一回事。阻止攻击则是另一回事。这时,最高等级的IT安保行动使防止攻击和可能的灾害;而IDS往往只能带来一点点这样的功能。因此,对入侵检测系统功能的扩展,就产生了入侵防御系统(IPS)。在当前防御能力不足的情况下,驱动了这一新的安全产品诞生,被称为入侵防御系统。

  入侵防御系统是一种网络安全设备,监控网络和系统的活动,对恶意或有害的行为可以进行实时反应,以阻止或防止这些活动带来的破坏。

  IPS是基于应用内容来决定是否能对IACS进行访问,而不是像传统的防火墙,用IP地址或端口做决定。这种系统采用的是积极的防御机制,在正常的网络信息流中检测恶意数据包并阻止其入侵,看在任何损害发生之前自动阻断恶意流量,而不是简单地提出警报,或者在恶意的有效载荷已交付之后再动作。

  2、入侵防御系统(IPS)

  IPS(Intrusion Prevention System,入侵防御系统)。

  随着网络攻击技术的不断提高和网络安全漏洞的不断发现,传统防火墙技术加传统IDS的技术,已经无法应对一些安全威胁。在这种情况下,IPS技术应运而生,IPS技术可以深度感知并检测流经的数据流量,对恶意报文进行丢弃以阻断攻击,对滥用报文进行限流以保护网络带宽资源。

  对于部署在数据转发路径上的IPS,可以根据预先设定的安全策略,对流经的每个报文进行深度检测(协议分析跟踪、特征匹配、流量统计分析、事件关联分析等),如果一旦发现隐藏于其中网络攻击,可以根据该攻击的威胁级别立即采取抵御措施,这些措施包括(按照处理力度):向管理中心告警;丢弃该报文;切断此次应用会话;切断此次TCP连接。

  进行了以上分析以后,我们可以得出结论,办公网中,至少需要在以下区域部署IPS,即办公网与外部网络的连接部位(入口/出口);重要服务器集群前端;办公网内部接入层。至于其它区域,可以根据实际情况与重要程度,酌情部署。

  IDS技术与IPS技术有一个重要的区别。IPS技术可以对检测出的威胁进行响应,通过尝试防止攻击。按照他们使用的响应技术,可分为以下几类。

  1)IPS的响应技术

  a. IPS可以阻止攻击本身。它可以使攻击的网络连接或用户会话终止,并阻止攻击者的帐号、IP地址、或其他属性。

  b. IPS可以改变安保环境。IPS可以改变安保控制的配置瓦解攻击。

  c. IPS可以改变攻击内容。IPS技术可以移去或更换攻击的恶意部分,使其成为良性报文。

  2)IPS的方法

  IPS使用多种方法保护网络。

  a.基于特征的IPS

  这是许多IPS解决方案中最常用的方法。把特征添加到设备中,可识别当前最常见的攻击。这就是为什么它也被称为模式匹配IPS。特征库可以添加、调整和更新,以应对新的攻击。

  b.基于异常的IPS

  它也被称为基于行规的IPS。它试图找出偏离工程师定义为正常的活动。基于异常的方法可以用统计异常检测和非统计异常检测。基于策略的IPS:它更关心的是是否执行组织的安保策略。如果检测的活动违反了组织的安保策略就触发报警。使用这种方法的IPS,要把安全策略写入设备之中。

  c.基于协议分析的IPS

  它与基于特征的方法类似。大多数情况检查常见的特征,但基于协议分析的方法可以做更深入的数据包检查,能更灵活地发现某些类型的攻击。

  3) IPS技术

  IPS基本上有两大主流技术,基于主机和基于网络的。

  a.基于主机的IPS-HIPS

  HIPS见图2所示,HIPS监视单个主机的特性和发生在主机内可疑活动的事件。HIPS的例子可以是监视有线和无线网络信息流、系统日志、运行过程、文件访问和修改、系统和应用配置的变化。大多数HIPS具有检测软件,安装在代理的主机上。每个代理监视一台主机上的活动,并执行预防行动。代理将数据传输到管理服务器。每个代理通常用于保护服务器、台式机或笔记本电脑、或者应用服务。

  HIPS在要监视的主机上安装传感器(sensor),这会影响主机性能,因为传感器要消耗资源。

2.jpg

b.基于网络的IPS-NIPS

  NIPS如图3所示,NIPS监视特定网段或设备的网络流量,并分析网络、传输和应用的协议,识别可疑的活动。

3.jpg

       除了传感器,NIPS组件类似于HIPS技术。NIPS传感器监视和分析一个或多个网络段上的网络活动。传感器有两种格式:设备传感器,它由专门的硬件和软件组成,并针对NIPS使用进行了优化;软件传感器,可以安装到符合特定规范的主机上。

  3、IPS和IDS的区别、选择

  IPS对于初始者来说,是位于防火墙和网络的设备之间的设备。这样,如果检测到攻击,IPS会在这种攻击扩散到网络的其它地方之前阻止这个恶意的通信。而IDS只是存在于你的网络之外起到报警的作用,而不是在你的网络前面起到防御的作用。

  IPS检测攻击的方法也与IDS不同。一般来说,IPS系统都依靠对数据包的检测。IPS将检查入网的数据包,确定这种数据包的真正用途,然后决定是否允许这种数据包进入你的网络。

  目前无论是从业于信息安全行业的专业人士还是普通用户,都认为入侵检测系统和入侵防御系统是两类产品,并不存在入侵防御系统要替代入侵检测系统的可能。但由于入侵防御产品的出现,给用户带来新的困惑:到底什么情况下该选择入侵检测产品,什么时候该选择入侵防御产品呢?

  从产品价值角度讲:入侵检测系统注重的是网络安全状况的监管。入侵防御系统关注的是对入侵行为的控制。与防火墙类产品、入侵检测产品可以实施的安全策略不同,入侵防御系统可以实施深层防御安全策略,即可以在应用层检测出攻击并予以阻断,这是防火墙所做不到的,当然也是入侵检测产品所做不到的。

  从产品应用角度来讲:为了达到可以全面检测网络安全状况的目的,入侵检测系统需要部署在网络内部的中心点,需要能够观察到所有网络数据。如果信息系统中包含了多个逻辑隔离的子网,则需要在整个信息系统中实施分布部署,即每子网部署一个入侵检测分析引擎,并统一进行引擎的策略管理以及事件分析,以达到掌控整个信息系统安全状况的目的。

  而为了实现对外部攻击的防御,入侵防御系统需要部署在网络的边界。这样所有来自外部的数据必须串行通过入侵防御系统,入侵防御系统即可实时分析网络数据,发现攻击行为立即予以阻断,保证来自外部的攻击数据不能通过网络边界进入网络。

  入侵检测系统的核心价值在于通过对全网信息的分析,了解信息系统的安全状况,进而指导信息系统安全建设目标以及安全策略的确立和调整,而入侵防御系统的核心价值在于安全策略的实施-对黑客行为的阻击;入侵检测系统需要部署在网络内部,监控范围可以覆盖整个子网,包括来自外部的数据以及内部终端之间传输的数据,入侵防御系统则必须部署在网络边界,抵御来自外部的入侵,对内部攻击行为无能为力。

  明确了这些区别,用户就可以比较理性的进行产品类型选择:

  若用户计划在一次项目中实施较为完整的安全解决方案,则应同时选择和部署入侵检测系统和入侵防御系统两类产品。在全网部署入侵检测系统,在网络的边界点部署入侵防御系统。

  若用户计划分布实施安全解决方案,可以考虑先部署入侵检测系统进行网络安全状况监控,后期再部署入侵防御系统。

  若用户仅仅关注网络安全状况的监控(如金融监管部门,电信监管部门等),则可在目标信息系统中部署入侵检测系统即可。

  明确了IPS的主线功能是深层防御、精确阻断后,IPS未来发展趋势也就明朗化了:不断丰富和完善IPS可以精确阻断的攻击种类和类型,并在此基础之上提升IPS产品的设备处理性能。

  而在提升性能方面存在的一个悖论就是:需提升性能,除了在软件处理方式上优化外,硬件架构的设计也是一个非常重要的方面,目前的ASIC/NP等高性能硬件,都是采用嵌入式指令+专用语言开发,将已知攻击行为的特征固化在电子固件上,虽然能提升匹配的效率,但在攻击识别的灵活度上过于死板(对变种较难发现),在新攻击特征的更新上有所滞后(需做特征的编码化)。而基于开放硬件平台的IPS由于采用的是高级编程语言,不存在变种攻击识别和特征更新方面的问题,厂商的最新产品已经可以达到电信级骨干网络的流量要求,比如McAfee公司推出的电信级IPS产品M8000(10Gbps流量)、M6050(5Gbps)。

  所以,入侵防御系统的未来发展方向应该有以下两个方面:

  第一, 更加广泛的精确阻断范围:扩大可以精确阻断的事件类型,尤其是针对变种以及无法通过特征来定义的攻击行为的防御。

  第二, 适应各种组网模式:在确保精确阻断的情况下,适应电信级骨干网络的防御需求。

  入侵检测系统IDS,对网络信息流进行分析,发现恶意活动时生成警报。他们一般都能够在攻击开始后发出特殊报文复位TCP连接,有的甚至能够与防火墙系统连接,在线重新编写防火墙规则集。

  IDS的局限性是不能反击网络攻击,因为IDS传感器基于数据包嗅探技术,只能眼睁睁地看着网络信息流过。IPS可执行IDS相同的分析,因为他们可以插入网内,装在网络组件之间,而且他们可以阻止恶意活动。

  这是IDS和IPS之间的最大差别,如何使用具有非常重要的意义。由于IPS传感器需要流量流过,他们只能部署在网络咽喉点,而IDS传感器可以提供更广泛的网络覆盖。



标签: 软考