入侵防御系统

入侵防御系统长沙蓝狐网络培训学校钟乐入侵检测系统入侵防御产生背景侵防御系统原入侵防御系统原理入侵防御网络部署入侵防御产品介绍入侵防御系统配置御背景入侵防御产生的背景 ●众所周知，当前网络安全形势严峻，木马、病毒、蠕虫、黑客、众所周知当前网络安全形势严峻病毒蠕虫恶意代码、漏洞利用等安全威胁层出不穷，国际权威安全组织CERT(Computer Exigency Response Team，计算机紧急响应小组) CERT(C t E i R T计算机紧急响应小组)监测并统计得到：2008年上半年，平均每天会有1.5万个网页受到恶意代码感染，即每5秒钟内就会增加一个被感染的网页。

这些安恶意代码感染即每5秒钟内就会增加一个被感染的网页这些安全威胁有一个共同的特点：均属于应用层安全威胁，传统防火墙等产品无法检测和防范这类安全威胁;因而我们急需一款能够检等产品无法检测和防范这类安全威胁;因而，我们急需一款能够检测防范应用层安全威胁的产品。

入侵检测系统入侵防御产生背景侵防御系统原入侵防御系统原理入侵防御网络部署入侵防御产品介绍入侵防御系统配置入侵检测系统原理入侵检测与防御区别侵防御系统检测技术入侵防御系统检测技术入侵防御系统逃避技术入侵防御系统工作模式入侵防御系统种类御入侵检测与入侵防御区别 ●入侵检测系统(IDS)：依据一定的安全策略，对网络，系统的运行入侵检测系统(IDS)依据定的安全策略对网络系统的运行状况进行监视，尽可能发现各种攻击企图，攻击行为或者攻击结果。

●入侵检测系统主要功能：¾监控并分析网络活动；¾识别已知的攻击行为；¾统计分析异常行为；御入侵检测与入侵防御区别 ●入侵防御系统（IPS）：依据一定的安全策略，对网络进行监控，入侵防御系统（IPS）依据定的安全策略对网络进行监控一旦发现攻击，或者网络异常能采用相应的抵御措施，例如：丢弃该报文，重置，断开连接等等弃该报文重置断开连接等等●入侵防御系统主要功能：¾精确检测；¾实时阻断；入侵检测系统原理入侵检测与防御区别侵防御系统检测技术入侵防御系统检测技术入侵防御系统逃避技术入侵防御系统工作模式入侵防御系统种类p基于profile的入侵检测 ●检测不符合规则的网络活动，与正常网络活动规则进行比较；检测不符合规则的网络活动与正常网络活动规则进行比较●需要根据用户和网络正常情况下的统计情况，制定出规则；●难以制定规则，误报率高。

但安全防护能力高。

g基于signature的入侵检测 ●基于数据包的特征集进行威胁的判断，如果对数据包进行深层分基于数据包的特征集进行威胁的判断如果对数据包进行深层分析时，数据结构匹配所定义的特征集。

则检测到威胁；●需要在特征数据库中创造signature,cisco产品中默认拥有1000多需要在特征数据库中创造产品中默认拥有多种signature;●误报率低，能检测出恶意的流量。

但不能阻止“零日”攻击协议分析析 ●入侵检测协议分析引擎能针对指定的协议的数据报文，比如HTTP,入侵检测协议分析引擎能针对指定的协议的数据报文比如HTTP FTP,DNS,H.323等等执行7层的深度分析¾检查协议，用以确定报文的有效性；¾检查数据包的载荷，用以判断报文内容安全性；入侵检测系统原理入侵检测与防御区别侵防御系统检测技术入侵防御系统检测技术入侵防御系统逃避技术入侵防御系统工作模式入侵防御系统种类入侵检测系统原理入侵检测与防御区别侵防御系统检测技术入侵防御系统检测技术入侵防御系统逃避技术入侵防御系统工作模式入侵防御系统种类逃避技术 ●黑客试图使用下面的逃避技术来躲开检测和防御：黑客试图使用下面的逃避技术来躲开检测和防御¾Flood¾Fragmentation¾Encryption¾obfuscationObfuscation ●Disguising an attack by using special characters toDi i i tt k b i i l h t tconceal it from a sensor is commonly referred to asobfuscation. The following are forms of obfuscation:bf ti Th f ll i f f bf tiControl charactersHex representationHex representationUnicode representation入侵检测系统原理入侵检测与防御区别 入侵防御系统检测技术 侵防御系统检测技术 入侵防御系统工作模式 入侵防御系统逃避技术 入侵防御系统种类网络IPSCorporate NetworkFirewall Switch S Sensor Switch RouterUntrusted NetworkManagement Server网络IPS¾ 传感器连接多个网段。

一个传感器可以监控多个主机； 传感器连接多个网段 个传感器可以监控多个主机 ¾ 增强了网络可扩展性，新的主机和设备添加进网络无需再额外添 加传感器； 加传感器 ¾ 攻击者转移证据很困难； ¾ 实时检测应答。

一旦发生恶意访问或攻击，基于网络的IPS可以随 时发现它们，因此能更快地做出反应。

从而将入侵活动的破坏减 到最低 ¾ 操作系统独立。

基于网络的IPS不依赖主机的操作系统作为检测资 源基于主机IPS系统（HIPS）Corporate NetworkAgent AgentApplication ServerFi Firewall llUntrusted NetworkAgentAgentAgentAgentSMTP ServerAgentAgentAgentConsoleWWW DNS Server Server基于主机的IPS系统（HIPS）● HIPS通过在主机/服务器上安装软件代理程序，它与操作系统内核 HIPS通过在主机/服务器上安装软件代理程序 它与操作系统内核 和服务紧密地捆绑在一起，监视并截取对内核或API的系统调用， 以便达到纪录攻击的作用 ● HIPS也可以监视数据流和特定应用的环境（如网页服务器的文件 位置和注册条目） 以便能够保护该应用程序使之能够避免那些 位置和注册条目），以便能够保护该应用程序使之能够避免那些 还不存在签名的，普通的攻击 ● 基于主机的入侵防护技术可以根据自定义的安全策略以及分析学 习机制来阻断对服务器，主机发起的恶意入侵入侵检测系统入侵防御产生背景 入侵防御系统原理 侵防御系统原 入侵防御产品介绍 入侵防御网络部署 入侵防御系统配置Cisco Sensor Family600Perfor rmance ( (Mbps)250IDSM-2 IDS 4255200IPS 424080AIP-SSM45NM-CIDS10/100/1000 TXIPS 421510/100 TX 10/100/1000 TX 10/100/1000 TX 1000 SX 10/100/1000 TX Switched/1000Network MediaCisco 4215 Sensor Back PanelOptional Monitoring InterfacesConsole C l PortMonitoring InterfaceCommand and Control InterfaceCisco 4200 Series Appliance¾ Appliance solution focused on protecting network devices, services, and applications l ¾ Sophisticated attack detection: Network attacks Application attacks DoS attacks F Fragmented d attacks k Whisker attacks ¾ Intrusion prevention capabilityAdvanced Inspection and Prevention Security Services Module ¾ High-performance module designed to provide additional security services to the Cisco Adaptive Security Appliance ¾ Diskless design for improved reliability ¾ External E t l 10/100/1000 Ethernet interface for management and software d downloads l d ¾ Intrusion prevention capability ¾ Runs the same software image as the sensor appliances30Cisco Catalyst6500IDSM-2Cisco Catalyst 6500 IDSM2 g¾Switch-integrated intrusionprotection module delivering ahigh-value security service in thecore network fabric device¾Supports unlimited number ofVLANs¾Intrusion prevention capability¾Runs same software image as sensorappliancesIDS Network Module IDS Network Module•Integrates IDS into Cisco 2600XM, 2691,3660, 3725, and 3745access routers and the 2811282128513825and 3845integrated 2811, 2821, 2851, 3825, and 3845 integrated services routers•Provides full-featured intrusion protection •Is able to monitor traffic from all router interfaces•Is able to inspect GRE and IPSec traffic that phas been decrypted at the router•Delivers comprehensive intrusion protection at branch offices, isolating threats from corporate ,g p network •Runs same software image as sensor appliances入侵检测系统入侵防御产生背景侵防御系统原入侵防御系统原理入侵防御网络部署入侵防御产品介绍入侵防御系统配置Sensor Selection Factors ¾Network media: Ethernet, Fast Ethernet, or Gigabit Ethernet Network media:Ethernet Fast Ethernet or Gigabit Ethernet ¾Intrusion detection analysis performance: bits per second¾Network environment: T1/E1, switched, multiple T3/E3, or N t k i t T1/E1it h d lti l T3/E3gigabitIDS and IPS Deployment Considerationsp y ¾Deploy an IDS sensor in areas where you cannot deploy an Deploy an IDS sensor in areas where you cannot deploy aninline device or where you do not plan to use deny actions.¾Deploy an IPS sensor in those areas where you need and plan Deploy an IPS sensor in those areas where you need and plan to use deny actions.Sensor Deployment Considerationsp y ¾Number of sensorsNumber of sensors¾Sensor placement¾Management and monitoring optionsM t d it i ti¾External sensor communicationsDeploying IDS and IPS p y gBranchCorporateNetworkNM-CIDSSensorFirewallRouter Untrusted NetworkSensorIDSM2Management ServerCSA Agent CSA AgentDNS ServerWWW ServerIDS and IPS Sensor PlacementInside AttackerInternetSensor on Outside:S ll ffi d i d f Sensor on Inside:S l ffi i d•Sees all traffic destined for your networkH hi h b bilit f f l •Sees only traffic permitted by firewallH l b bilit f•Has high probability of false positivesDoes not detect internal •Has lower probability of false positives Requires immediate•Does not detect internal attacks •Requires immediate response to alarms入侵防御系统御 ●入侵防御产生背景；入侵防御产生背景●入侵防御系统原理；●入侵防御产品介绍；●入侵防御网络部署；●入侵防御系统配置；。