下载安卓APP箭头
箭头给我发消息

客服QQ:3315713922

IDS和IPS的比较和防御

作者:课课家教育     来源: http://www.kokojia.com点击数:860发布时间: 2017-05-28 09:30:44

标签: IDSIPS互联网

  由于现在有了因特网,网络安保已经成了工业企业最关注的话题。入侵检测系统(IDS)用于检测那些不需要对工业自动化控制系统(IACS)访问和操作,特别是通过网络。它是一种专用工具,知道如何分析和解释网络流量和主机活动。 IDS的主要目标是对IACS网络检测入侵和入侵企图,让网络管理员采取适当的缓解和补救措施。IDS不会阻止这些攻击,但会让用户知道什么时候发生了攻击。

  引言

  IDS把已知的攻击特征和相关的活动、流量、行为模式存储到数据库,当监测数据发现存储的特征与当前的特征或者行为非常接近时,通过比对就可以识别出来。这时,IDS能发出警报或警示,并搜集这些破坏活动的证据。

IDS和IPS的比较和防御_IDS_IPS_互联网_课课家

  1. 入侵检测系统(IDS)

  IDS是英文“Intrusion Detection Systems”的缩写,中文意思是“入侵检测系统”。 IDS对网络信息进行分析,发现恶意活动时就立即报警。在攻击开始后他们一般都能够发出特殊报文复位TCP连接,有些甚至可以与防火墙系统连接,马上重写防火墙的规则集。

  专业上讲就是依照一定的安全策略,对网络、系统的运行状况进行监视,尽可能发现各种攻击企图、攻击行为或者攻击结果,以保证网络系统资源的机密性、完整性和可用性。IPS可以理解为深度filewall。

  我们做一个比喻——假如防火墙是一幢大厦的门锁,那么IDS就是这幢大厦里的监视系统。一旦小偷进入了大厦,或内部人员有越界行为,只有实时监视系统才能发现情况并发出警告。

  IDS有两种基本类型,即特征型和启发型。运行在工作站上的IDS被称为主机入侵检测系统(HIDS),而那些独立在网络上运行的设备被称为网络入侵检测系统(NIDS)。 HIDS利用其主机的资源,在主机上监测信息流检测攻击。NIDS作为一种独立设备在网络上监测信息流检测攻击。 NIDS也有两种形式,特征型NIDS和启发型NIDS。这两种类型提供了不同程度的网络入侵检测。

  今天,我们可以按照IDS所监视的活动、流量、交易、或系统来区分IDS:

  " 监测网络连接和骨干寻找攻击特征的IDS被称为:基于网络的IDS,而那些在主机上运行,保卫和监视操作和文件系统入侵迹象的IDS,被称为基于主机的IDS;

  " 作为远程检测并向中央管理站报告的IDS组,被称为分布式IDS;

  " 一个网关IDS是一种网络IDS,部署在内部网络和其他网络之间,监视进出内部网络中转站的信息流。

  " 侧重于理解和分析特定应用程序逻辑以及底层协议的IDS通常被称为应用IDS。

  按照事件分析方法也可以区分不同的IDS。有的IDS主要使用特征检测技术。这与许多防病毒程序的方法类似,使用病毒特征码(特征)来识别,并阻止受感染的文件、程序或活动Web内容进入计算机。依靠当前网络流量和正常活动的差异发出入侵警告的IDS被称为异常检测系统(ADS)。这种类型的IDS通常捕捉来自网络的数据,对数据使用ADS规则检出差异。

  漏报与误报

  考虑组织机构的首要安保指标是NIDS检测攻击的准确性和准确性频率。为了确定启发型和特征型NIDS的准确率,要对这些系统的漏报和误报进行统计。误报与特征型NIDS相关。特征型NIDS需要把其数据库中的特征与进入网络的数据特征进行匹配。

  已知病毒和其他恶意代码的特征放在数据库中用于特征匹配。其结果,任何具有特征的攻击可以被准确地识别和检出。不幸的是,新创建的恶意代码或更改后的已知病毒使系统无法发现,这被称为漏报。这种缺点是特征型NIDS的缺陷,不具备检测新型攻击或改头换面攻击的能力。特征型NIDS还会误报的情况是使用过时的恶意特征,可能会对一个新的良性应用特征报警,这要到特征更新后才能消除。

  不同于特征型NIDS,启发型系统的漏报率比较低。他们不依赖特征,使用统计和行为模式做为手段,所以能够检测到新型的恶意代码。启发型NIDS使用用户、应用和其他程序文件的行为模式开发正常和不正常的行为模式,然后用来检测攻击的发生。接着,系统内用户或程序的任何行为偏差将被检出和标记,然后产生一个报警。

  不幸的是,大多数报警都是良性的,误报是导出的结果。例如,一个程序员具有系统各个方面的授权,但通常处理的是程序文件,在访问日志文件后,结果被标记和报警,因为他偏离了程序员的正常行为。高误报,这会导致系统管理员对启发型NIDS有清楚的认识,检查少则报警多。虽然,高误报率是可以解决的。按照启发型NIDS的结构,基于连续抽样统计和行为模式细化进行分析,可供使用的采样数据容量越大,区分良性应用行为与恶意应用的行为偏差的能力就越强。

  与防火墙不同的是,IDS入侵检测系统是一个旁路监听设备,没有也不需要跨接在任何链路上,无须网络流量流经它便可以工作。因此,对IDS的部署的唯一要求是:IDS应当挂接在所有所关注的流量都必须流经的链路上。在这里,“所关注流量”指的是来自高危网络区域的访问流量和需要进行统计、监视的网络报文。

  IDS在交换式网络中的位置一般选择为:尽可能靠近攻击源、尽可能靠近受保护资源。

  这些位置通常是:

   服务器区域的交换机上;

   Internet接入路由器之后的第一台交换机上;

   重点保护网段的局域网交换机上。

  2. 入侵防御系统(IPS)

  IPS是英文“Intrusion Prevention System”的缩写,中文意思是入侵防御系统。

  随着网络攻击技术的不断提高和网络安全漏洞的不断发现,传统防火墙技术加传统IDS的技术,已经无法应对一些安全威胁。在这种情况下,IPS技术应运而生,IPS技术可以深度感知并检测流经的数据流量,对恶意报文进行丢弃以阻断攻击,对滥用报文进行限流以保护网络带宽资源。

  对于部署在数据转发路径上的IPS,可以根据预先设定的安全策略,对流经的每个报文进行深度检测(协议分析跟踪、特征匹配、流量统计分析、事件关联分析等),如果一旦发现隐藏于其中网络攻击,可以根据该攻击的威胁级别立即采取抵御措施,这些措施包括(按照处理力度):向管理中心告警;丢弃该报文;切断此次应用会话;切断此次TCP连接。

  进行了以上分析以后,我们可以得出结论,办公网中,至少需要在以下区域部署IPS,即办公网与外部网络的连接部位(入口/出口);重要服务器集群前端;办公网内部接入层。至于其它区域,可以根据实际情况与重要程度,酌情部署。

  3. IPS与IDS的区别、选择

  IPS对于初始者来说,是位于防火墙和网络的设备之间的设备。这样,如果检测到攻击,IPS会在这种攻击扩散到网络的其它地方之前阻止这个恶意的通信。而IDS只是存在于你的网络之外起到报警的作用,而不是在你的网络前面起到防御的作用。

  IPS检测攻击的方法也与IDS不同。一般来说,IPS系统都依靠对数据包的检测。IPS将检查入网的数据包,确定这种数据包的真正用途,然后决定是否允许这种数据包进入你的网络。

  目前无论是从业于信息安全行业的专业人士还是普通用户,都认为入侵检测系统和入侵防御系统是两类产品,并不存在入侵防御系统要替代入侵检测系统的可能。但由于入侵防御产品的出现,给用户带来新的困惑:到底什么情况下该选择入侵检测产品,什么时候该选择入侵防御产品呢?

  从产品价值角度讲:入侵检测系统注重的是网络安全状况的监管。入侵防御系统关注的是对入侵行为的控制。与防火墙类产品、入侵检测产品可以实施的安全策略不同,入侵防御系统可以实施深层防御安全策略,即可以在应用层检测出攻击并予以阻断,这是防火墙所做不到的,当然也是入侵检测产品所做不到的。

  从产品应用角度来讲:为了达到可以全面检测网络安全状况的目的,入侵检测系统需要部署在网络内部的中心点,需要能够观察到所有网络数据。如果信息系统中包含了多个逻辑隔离的子网,则需要在整个信息系统中实施分布部署,即每子网部署一个入侵检测分析引擎,并统一进行引擎的策略管理以及事件分析,以达到掌控整个信息系统安全状况的目的。

  而为了实现对外部攻击的防御,入侵防御系统需要部署在网络的边界。这样所有来自外部的数据必须串行通过入侵防御系统,入侵防御系统即可实时分析网络数据,发现攻击行为立即予以阻断,保证来自外部的攻击数据不能通过网络边界进入网络。

  入侵检测系统IDS的核心价值在于通过对全网信息的收集、分析,了解信息系统的安全状况,进而指导信息系统安全建设目标以及安全策略的确立和调整,而入侵防御系统IPS的核心价值在于对数据的深度分析及安全策略的实施—对黑客行为的阻击;入侵检测系统需要部署在网络内部,监控范围可以覆盖整个子网,包括来自外部的数据以及内部终端之间传输的数据,入侵防御系统则必须部署在网络边界,抵御来自外部的入侵,对内部攻击行为无能为力。

  4.IPS技术

  IPS基本上有两大主流技术,基于主机和基于网络的。

  a.基于主机的IPS-HIPS

  HIPS见图1所示,HIPS监视单个主机的特性和发生在主机内可疑活动的事件。HIPS的例子可以是监视有线和无线网络信息流、系统日志、运行过程、文件访问和修改、系统和应用配置的变化。大多数HIPS具有检测软件,安装在代理的主机上。每个代理监视一台主机上的活动,并执行预防行动。代理将数据传输到管理服务器。每个代理通常用于保护服务器、台式机或笔记本电脑、或者应用服务。

  HIPS在要监视的主机上安装传感器(sensor),这会影响主机性能,因为传感器要消耗资源。

,HIPS监视单个主机的特性和发生在主机内可疑活动的事件。HIPS的例子可以是监视有线和无线网络信息流、系统日志、运行过程、文件访问和修改、系统和应用配置的变化。大多数HIPS具有检测软件,安装在代理的主机上。每个代理监视一台主机上的活动,并执行预防行动。代理将数据传输到管理服务器。每个代理通常用于保护服务器、台式机或笔记本电脑、或者应用服务。   HIPS在要监视的主机上安装传感器(sensor),这会影响主机性能,因为传感器要消耗资源。

  b.基于网络的IPS-NIPS

  NIPS如图2所示,NIPS监视特定网段或设备的网络流量,并分析网络、传输和应用的协议,识别可疑的活动。

基于网络的IPS-NIPS   NIPS如图2所示,NIPS监视特定网段或设备的网络流量,并分析网络、传输和应用的协议,识别可疑的活动。

  除了传感器,NIPS组件类似于HIPS技术。NIPS传感器监视和分析一个或多个网络段上的网络活动。传感器有两种格式:设备传感器,它由专门的硬件和软件组成,并针对NIPS使用进行了优化;软件传感器,可以安装到符合特定规范的主机上。

  代理部署到现有网络上的主机,这些组件通常用于网络通信,而不是用于管理网络。最常用的HIPS传感器部署到关键的主机,例如公开访问的服务器和包含敏感信息的服务器,但他们也可用于各种服务器和台式机/笔记本电脑的操作系统,以及特定的服务器应用。

  HIPS提供了多种安保功能。他们通常执行大量相关事件日志数据的检测,可以检测到多种类型的恶意活动。采用的检测技术,包括代码分析、网络流量分析、网络流量过滤、文件系统监视、日志分析和网络配置监视。使用一些检测技术的组合的HIPS,一般比使用一个或几个技术的产品具有精确的检测能力,因为每种技术可以监视主机的不同特性。文件系统监视可以防止文件被访问、修改、替换或删除,可以阻止恶意软件的安装和其他攻击以及不适当的文件访问。

  组织机构应该为他们的NIPS部署在可行时考虑使用管理网络。除了选择适当的网络组件,管理员还需要决定IPS传感器的位置。传感器可以以两种模式之一部署:内嵌传感器部署,监视的网络流量必须通过他们;无源传感器部署,他们监视的是实际网络流量的副本。

  总结

  入侵检测系统IDS,对网络信息流进行分析,发现恶意活动时生成警报。他们一般都能够在攻击开始后发出特殊报文复位TCP连接,有的甚至能够与防火墙系统连接,在线重新编写防火墙规则集。

  IDS的局限性是不能反击网络攻击,因为IDS传感器基于数据包嗅探技术,只能眼睁睁地看着网络信息流过。IPS可执行IDS相同的分析,因为他们可以插入网内,装在网络组件之间,而且他们可以阻止恶意活动。

  这是IDS和IPS之间的最大差别,如何使用具有非常重要的意义。由于IPS传感器需要流量流过,他们只能部署在网络咽喉点,而IDS传感器可以提供更广泛的网络覆盖。

  以上就是IDS和IPS的差别了,大家都掌握了吗?如果有什么不详细的地方,可以进行补充,虚心请教,更多内容,登录课课家教育,我们等着您!

赞(21)
踩(0)
分享到:
华为认证网络工程师 HCIE直播课视频教程