ips网络入侵防御方案模版

网络入侵防护方案

合肥中方网络安全公司

2013年4月22日

文档说明

非常感谢上海（简称）给予McAfee公司机会参与《网络入侵防护》项目，并希望本文档所提供的解决方案能在整个项目规划和建设中发挥应有的作用。

需要指出的是，本文档所涉及到的文字、图表等，仅限于McAfee公司和内部使用，未经McAfee公司书面许可，请勿扩散到第三方。

目录

1安全威胁分析 (5)

2网络入侵防护设计方案 (7)

2.1方案设计原则 (7)

2.2网络入侵防护的部署方案 (7)

2.3自动升级更新 (9)

2.4报警和攻击阻断状态管理 (9)

2.5报表管理 (9)

3部署IPS后网络可靠性 (11)

4IntruShield网络IPS的优势 (13)

4.1双机热备份功能（HA） (13)

4.2虚拟IPS功能（VIPS） (13)

4.3实时过滤蠕虫病毒和Spyware间谍程序 (14)

4.4独特的DOS/DDOS探测方式：自动学习记忆和基于阀值的探测方式 (14)

5实施方案 (15)

5.1循序渐进的分阶段实施 (15)

5.2物理/环境要求 (15)

5.3实施准备阶段－（2-4个工作日） (16)

5.4安装及配置阶段－（2个工作日） (17)

5.5DAP阶段一——30天 (18)

5.6DAP阶段二——30天 (19)

5.7DAP阶段三——1天 (20)

6IntruShield网络入侵防护产品简介 (21)

6.1网络攻击特征检测 (21)

6.2异常检测 (22)

6.3拒绝服务检测 (23)

6.4入侵防护 (24)

6.5实时过滤蠕虫病毒和Spyware间谍程序 (26)

6.6虚拟IPS (27)

6.7灵活的部署方式 (28)

1 安全威胁分析

生产网络和OA网络架构如下图所示：

由图中可以看出，生产网络和OA通过两条千兆链路直接连接，中间没有任何防火墙或者网络隔离设备；而OA网络和Internet网络有直接的专线连接。

从网络结构来看，面临的外部威胁包括：

1）OA网络面临的外部威胁

a）黑客的攻击入侵，造成信息泄露，或者破坏网络、应用和服务器系统，造成网络、应用和服务器系统瘫痪；

b）蠕虫病毒通过网络、Email和网络文件共享等多种方式传播，植入企业内部后为黑客攻击留下后门，同时造成网络拥塞，甚至中断，如NetSky、Mydoom等蠕虫病毒；

c）蠕虫利用操作系统、应用、Web服务器和邮件系统的弱点进行传播，植入计算机系统后为黑客攻击留下后门，同样，在传播过程中，产生大量的TCP、UDP或ICMP垃圾信息，造成网络拥塞，如Sql Slammer、Nimda、“冲击波”和Nachi蠕虫病毒。

d）面临来自OA网和Internet的黑客攻击，包括DOS/DDOS攻击的威胁，来自Internet

或者办公网的DOS/DDOS攻击会造成网络服务中断。

e）OA用户文件拷贝，Internet访问带来：病毒、蠕虫、间谍程序、后门程序和特洛伊木马的威胁

f）来自Internet的Spyware的威胁

2）同样生产网络面临着内外部网络的威胁，因为，生产网络和OA网络间没有任何防火墙或者安全隔离设备，因此，生产网的威胁包括：

a）来自Internet的黑客攻击，造成设计或者客户数据的泄密，或者信息篡改，造成信息完整性被破坏；

b）来自Internet和OA网络的蠕虫、病毒和Spyware的威胁

c）来自Internet的DOS/DDOS攻击，造成计算机网络瘫痪，导致业务中断；

d）来自OA网络内部的恶意攻击，造成中心数据破坏或被窃取，甚至造成业务中断。

e）来自OA网络的越权访问机密信息，造成信息泄密。

因此，中信国际迫切需要在Internet和OA网络之间，OA网络和生产网络之间部署网络入侵防护设备，以实现：

1）探测出黑客攻击，并且实时阻断黑客的攻击；

2）能够探测出已知和未知的蠕虫，实时阻止这些蠕虫进入OA网络和生产网络；

3）探测来自Internet或者OA网络由于蠕虫病毒引起的异常网络流量，阻止进入生产网络网络；

4）阻止对生产网络的DOS/DDOS攻击

2 网络入侵防护设计方案

2.1 方案设计原则

在Internet和OA网络间，特别是OA网络和生产网络间采用IPS时，必须依据以下原则：

1）探测准确：不会出现误报和漏报

2）可靠性：确保网络不会因为设备故障而造成中断

3）IPS部署后，不出现性能瓶颈

4）业务安全需求和投资的平衡

2.2 网络入侵防护的部署方案

根据的网络架构，需要部署网络入侵防护设备的地方包括：

1）Internet网络和OA网之间；

2）OA网络和生产网络之间；

如下图所示。

IntruShield 1200

IntruShield 3000

HA方式：

两台IntruShield 3000

In-Line部署

IntruShield 3000

Intrushield

Manager

1）OA网络和Internet之间的网络入侵防护部署：

采用一台IntruShield 1200，以嵌入方式（In-Line）部署在OA网络核心交换机和Internet 防火墙后。管理端口连接到核心交换机快速以太网端口，通过IntruShield进行集中管理。

2）OA网络和生产网络间的IPS部署

采用两台IntruShield 3000，每台IntruShield 3000以图中方式,采用嵌入方式部署在生产网和OA网在之间。两台IntruShield 3000通过各自的6B端口使用千兆连接，作为双机热备的心跳线，每台IntruShield 3000的处理能力均为1GBPS，所以可以确保不会出现性能瓶颈，通过HA心跳线连接，实现两台IntruShield 3000的双机热备份，确保网络可靠性。如果连接生产网和OA网络间使用非对程路由，则两台IntruShield 3000使用Port Clustering（端口群集）方式部署。两台IntruShield 3000的Manager端口，连接到交换机，通过IntruShield Manager进行统一的集中管理，通过IntruShield Manager进行报警浏览、配置和策略管理、升级更新管理和报表管理。

2.3 自动升级更新

IntruShield 3000和IntruShield 1200的自动更新由IntruShield Manager进行。IntruShield Manager自动从Internet下载更新，通过在IntruShield Manager上设置由Manager到Sensor 的自动更新计划，对Sensor进行自动更新。

2.4 报警和攻击阻断状态管理

报警管理通过部署在OA网络上的IntruShield Manager进行集中管理。报警保存在IntruShield Manager的数据库中。

IntruShield Manager的报警管理器具有现实黑客攻击结果、实时阻止结果和数据“Drill Down”功能。

在报警管理器中还可以显示对当前攻击的实时阻断统计。

2.5 报表管理

通过IntruShield Manager可以灵活地产生所有网络入侵防护Sensor或选择的Sensor的报表，除了已建好的固定格式、内容的报表外，用户还可以自定义各种报表，报表输出格式有PDF和HTML格式两种。

通过IntruShield Manager的报表Schedule每周一定期向安全管理员发送上周的攻击和网络异常报表。

3 部署IPS后网络可靠性

IntruShield In-Line部署时的可靠性保证通过以下技术实现：

1）端口的Fail-Open功能

2）双机热备HA功能

3）冗余电源

4）Layer 2 Passthur功能

5）循序渐进的部署方式

下面详细介绍这些技术：

1）Fail-Open故障时接通线路功能

Fail-Open功能确保设备硬件故障或掉电时网络自动切换到直通状态，若是光纤则自动切换到外部光纤直通方式，如下图：

2）双机热备HA

双机热备HA是IntruShield内置支持的功能，两台IntruShield Sensor设备通过“心

跳线”传递状态，在主设备停止响应时自动切换到备用设备，其原理如下图：

3）Layer 2 Passthur功能

Layer 2 Passthru（第二层放行）功能：若IntruShield Sensor在设定的时间内发生多次重大故障报警（Critical），此功能便可让Sensor进入网络第二层放行模式，也就是故障时接通线路模式（Fail-Open）。这项功能可防止IntruShield Sensor部署在高可用网络时，由于故障，Sensor成为网络性能瓶颈。

根据预先的设定，当IntruShield Sensor遇到重大运行错误，例如Suspended task或者“hung” processor时，IntruShield Sensor就会重新启动（reboot）。若侦测器持续遇到重大错误(Critical)，则每遇到一项重大错误Sensor就会重新启动一次，若Sensor没有人严密监视，则重复的重新开机动作将会使IntruShield Sensor造成网络性能瓶颈。Layer 2 Passthru（第二层放行）动作可让设置IntruShield Sensor在限定时间内发生的重大故障次数阈值，超过这个阈值就强制Sensor进入故障时接通线路模式（Fail-Open模式）。例如，可以设定成5分钟内连续发生3次重大故障就启用第二层放行功能（Layer 2 Passthru）。若在第1、3 与4分钟分别发生一次故障，第2层放行模式就会启用。

4 IntruShield网络IPS的优势

4.1 双机热备份功能（HA）

在OLAP业务环境或者数据中心，网络一般采用HA结构或者Load Balance，以避免单点故障造成业务中断。McAfee IntruShield提供了完全的HA功能，以支持HA网络环境或者Load Balance网络环境。

如上图，在HA环境中两台McAfee IntruShield通过Response端口连接的“心跳线”探测对方的状态，当“Stand-by”状态的IntruShield探测到对方停止响应时，自己立即激活进入“Active”状态。

如上图，当配置非对称路由时，链路处于Load Balance状态时，只需将两台IntruShield配置成Port Clustering，并且连接IntruShield Response端口作为“心跳线”，即可进行Load Balance和完整的Session跟踪。

4.2 虚拟IPS功能（VIPS）

虚拟IPS 能够将IntruShield 探测器划分为多个虚拟探测器，这些虚拟探测器可以使用不同的探测和防护策略保护不同的VLAN、子网和主机（包括自定义的攻击选择及相关响应措施）。VIPS 可以根据一组IP地址、一个或多个VLAN 标记来定义，也可以通过探测器上的特定端口来定义。

IntruShield 体系结构的虚拟IPS 功能可以通过三种方法来实施。第一，将虚拟局域网(VLAN) 标志分配给一组网络资源；第二，使用无类别域内路由(CIDR) 标志来保护一组IP 地址；第三，将IntruShield 系统接口专门用于保护特定部门、地区机构或组织职能部门的网络资源。

基于CIDR 的VIPS 实施能够使用/32 掩码具体到单一主机的水平。例如，可以使用单一主机的特有策略来识别DoS 攻击，并做出响应。

4.3 实时过滤蠕虫病毒和Spyware间谍程序

在IntruShield的Signature中包含了蠕虫病毒、Spyware间谍程序、“特洛伊木马”、后门程序的Signature，当IntruShield采用In-Line方式部署时，能过过滤掉流经IntruShield的这些恶意程序，而且还能过滤由蠕虫病毒引起的异常网络力量，如Nachi Ping等。

而且IntruShield的邮件未知蠕虫Signature可以探测邮件中夹带的未知蠕虫病毒，并且将其丢弃，从而使得IntruShield可以对抗新的、将来出现的蠕虫病毒。

4.4 独特的DOS/DDOS探测方式：自动学习记忆和基

于阀值的探测方式

IntruShield综合利用了基于阀值的DOS/DDOS检测技术和获得专利的、具有自动学习记忆功能的基于配置文件的检测技术，从而使DOS拒绝服务检测更具智能化。借助基于阀值的检测功能，网络安全管理员就能够使用预先编写的数据流量限制来确保服务器不会因负载过重而宕机。

自动学习记忆功能使得IntruShield 体系结构能够分析网络使用方法和流量的模式，了解合法网络操作中发生的多种合法，但不常见的使用模式。

两种技术的结合确保了对各种DoS 攻击的最高检测准确率—包括分布式拒绝服务攻击（即恶意程序员为了进攻企业或政府网络，同时对上百个，甚至上千个服务器发起攻击）。

5 实施方案

5.1 循序渐进的分阶段实施

为了确保IPS的部署不影响网络的可靠性和可用性，McAfee建议采用循序渐进的分阶段部署方式：

第一阶段：采用SPAN方式，部署一个月后，评估设备的可靠性、准确性和性能；

第二阶段：在第一阶段成功的基础上，采用In-Line的方式和HA部署，但不做任何攻击实时阻断；

第三阶段：运行一个月后，评估准确性、性能和可靠性和才开始进行攻击阻断。

上述三个阶段，McAfee提供DAP (Deployment Assistant Program)，免费提供两个月的McAfee白金服务，以确保部署的成功。

实施细节如下：

5.2 物理/环境要求

5.3 实施准备阶段－（2-4个工作日）

5.4 安装及配置阶段－（2个工作日）

5.5 DAP阶段一——30天

5.6 DAP阶段二——30天

5.7 DAP阶段三——1天