ips整體解決方案(編輯修改稿)

　

【文章內容簡介】 營。 11 安氏領信技術體系及 對應 防御領域 在領信安全保障體系中，入侵防御系統系統（ IPS）占有重要的位置，它可以根據用戶的實際需求，部署在某些關鍵位置，如網關出口，內部服務器集群，以及某些重要業務系統前端，起到實時檢測和主動防御的效果，提高防御性能 ，縮短響應時間，為網絡提供強有力的保護。 安氏領信入侵防御系統介紹 安氏領信入侵檢測系統（ Linktrust IPS）是安氏領信針對目前流行的蠕蟲、病毒、間諜軟件、垃圾郵件、 DDoS 等黑客攻擊，以及網絡資源濫用（ P2P 下載、IM 即時通訊、網游等）等推出的全新安全防護方案，其具有先進的體系架構并繼承了安氏領信入侵檢測系統先進的 入侵檢測技術，以全面深入的協議分析技術為基礎，結合協議異常檢測、協議異常檢測、關聯分析形成的新一代檢測引擎，實時攔截數據流量中各種類型的惡意攻擊流量，把攻擊防御在企業網絡之外，保護企業 的信息資產。 領信入侵防御系統主要功能 領信入侵防御系統的主要功能可以總結為幾個方面，如下圖所示： 12 具體功能闡述如下：? 阻止來自外部或內部的蠕蟲、病毒和黑客等的威脅，確保企業信息資產的安全。 ? 阻止間諜軟件的威脅，保護企業機密。 ? 阻止企業員工因為各種 IM 即時通訊軟件、網絡在線游戲、 P2P 下載、在線視頻導致的企業網絡資源濫用而影響正常工作，凈化流量，為網絡加速。 ? 阻止 P2P 應用可能導致的企業重要機密信息泄漏和可能引發的與版權相關的法律問題。 ? 實時保障企業網絡系統 7x24 不間斷運行，提高企業整體的網 絡安全水平。 ? 智能、自動化的安全防御，降低企業整體的安全費用以及對于網絡安全領域人才的需求。 ? 高效、全面的流量分析、事件統計，能迅速定位網絡故障，提高網絡穩定運行時間 。 領信入侵防御系統產品特點 ? 實時的主動防御 ? 多種檢測技術的結合使得 Linktrust IPS 可以預防多種已知和未知攻擊，準確率保持在很高的水平 ? 最小化人員干預，結合安氏領信的 SOC 系統可以使網絡管理人員從大 13 量的事件分析工作中解脫出來，有效減輕攻擊報警處理的壓力。 ? IPS 的檢測模塊與內置防火墻模塊的完美集成使得產品具有更安全可靠的 防護能力，同時還可獲得更強的訪問控制功能和靈活性。準確的檢測 /防護 ? Linktrust IPS 基于狀態的協議分析檢測技術、流量和協議異常檢測技術、基于漏洞存在的攻擊檢測技術，結合基于特征匹配的檢測技術，極大地提高檢測的準確性，降低誤報率。 ? Linktrust IPS 獨有的協議識別技術能夠識別近 100 種包括后門、木馬、IM、網絡游戲在內的應用層協議，不僅可以更有效的檢測通過動態端口或者智能隧道等進行的惡意入侵，并且能更好的提高檢測效率和準確率。 ? Linktrust IPS 出色的協議異常檢測針對檢測未知的 溢出攻擊與拒絕服務攻擊，達到接近 100%的檢測準確率和幾乎為零的誤報率。 ? Linktrust IPS 能夠有效防御拒絕服務攻擊 DoS，阻止攻擊者消耗網絡資源、中止服務。 ? 優異的產品性能 ? Linktrust IPS 專門設計了安全、可靠、高效的硬件運行平臺。硬件平臺采用嚴格的設計和工藝標準，保證了高可靠性；獨特的硬件體系結構大大提升了處理能力、吞吐量；操作系統經過優化和安全性處理，保證系統的安全性和抗毀性。 ? Linktrust IPS 依賴先進的體系架構、高性能專用硬件，在實際網絡環境部署中性能表現優異， 具有線速的分析與處理能力。 ? 高可靠、可擴展 ? Linktrust IPS 支持失效開放（ Fail bypass）機制，當出現軟件故障、硬件故障、電源故障時，系統自動切換到直通狀態以保障網絡可用性，避免單點故障。 ? Linktrust IPS 支持雙機熱備 HA，不僅支持 ActiveStandby（主從熱備），還支持 ActiveActive（對等熱備），提供高可用性保障。 ? Linktrust IPS 的工作模式靈活多樣，支持 inline 主動防御、旁路檢測、以及 bypass 方式，能夠快速部署在幾乎所有的網絡環境 中 14 ? 強大的管理能力 ? 全新的集中管理平臺－ Linktrust 安全防護中心，使得用戶可操作性和方便性都有了很大程度的提高。 ? 極易擴展的集中管理平臺使得用戶在升級網絡時無需額外的投資 ? 全中文圖形化的操作界面，符合安氏領信產品操作簡單靈活的傳統。豐富的報表格式 ? 提供了多達 40 余種的統計報表模版，方便用戶直觀的了解網絡安全狀況 ? 提供了向導式的自定義報表功能，用戶可以根據網絡的實際情況制定出符合自身需求的報表模版 領信入侵防御系統支持的工作模式 領信入侵防御系統產品支持 4 種工作模式 ， 包括透明學習模式、服務保障模式、強制防御模式、以及旁路模式，以適應不同的網絡環境和不同的業務需求。用戶可以根據自身的安全需求靈活的進行選擇和切換。 其中 Passive 模式相當于傳統的 IDS 設備 ， 我們重點關注的是其中的三種 “ Inline” 模式。 這些工作模式的定義如下： 1 透明學習模式（ Inline Bridging）： 該模式下引擎將根據安全策略對網絡中通 15 過的數據進行檢測，但是不會采取任何阻斷或流量控制操作。這種模式主要用于首次部署時對用戶網絡環境的學習與策略優化階段。 2 服務保障模式（ Inline Failpassthrough） ： 該模式下引擎將按照安全策略對所有會話過程進行檢測，并產生對不符合安全策略的內容進行告警和適當的防御。當進入 IPS 引擎的數據包在引擎內的轉發延遲超過最大轉發延遲所限制的時延時，超時的數據包會被轉發以保障服務的可用性。另外在一些特殊條件下引擎也會采用透明轉發或 Bypass 的方式保障服務可用性。這些可能的特殊情況有： ? 當引擎正處在 Reboot 或初始化過程中時。（非 bypass 功能支持） ? 當引擎正在執行“策略應用”命令，或正在編譯簽名時 。 （非 bypass功能支持） ? 當引擎失去電源，或意外掉電時 (該項需要網卡硬 件支持 ) ? 當出現任何硬件故障，導致引擎無法工作時 (該項需要網卡硬件支持 ) ? 當檢測引擎由于某種原因而意外失效時（如：死機，系統崩潰等） (該項需要網卡硬件支持 ) ? 數據轉發延遲超時后數據直接被轉發（非 bypass 功能支持） 3 強制防御模式（ Inline Failsevered）： 與服務保障模式的工作方式類似，引擎會按照安全策略的要求對通信內容進行檢測并作出反應，區別在于當進入 IPS引擎的數據包在引擎內的轉發延遲超過最大轉發延遲所限制的時延時，超時的數據包會被丟棄以保障通信的安全性，在此模式下 bypass 功能將被禁用。 4 旁路模式（ Passive）： 傳統 IDS 部署模式，采用旁路監聽方式部屬 ； 入侵防御系統推薦部署流程 安氏領信提供一整套的入侵保護解決方案，具有良好可擴展性的 Linktrust IPS 的部署方式靈活多樣，能夠快速部署在幾乎所有的網絡環境中，實現從企業網絡核心至邊緣及分支機構的全面保護，適用于不同環境不同企業的安全需求。 入侵防御系統通常部署在網絡中的關鍵位置 ,這樣對入侵防御系統自身的安裝配置提出了很高的要求 ,為了更好的讓領信入侵防御系統適應用戶的網絡環境 ,發揮更高的防御能力 ,我們推 薦用戶將入侵防御系統的上線分為兩個階段 : 第一階段 :IPS 的學習適應期階段 ，采用 透明學習模式 （ Inline Bridging） 。 16 第二階段 : IPS 的在線工作階段 。 以 Inline 模式工作，全面檢測，全面防護 。 其中 Inline 模又可以具體分成服務保障模式（ Inline Failpassthrough）和強制防御模式（ Inline Failsevered），具體采用何種模式取決與用戶對安全性的要求和對設備魯棒性的要求；我們 強烈 建議您采用服務保障模式，這樣可以在設備故障或失效的情況下仍然保證網絡的可用性。 IPS 的學習適應期階段 入侵防御系統和入侵檢測系統在部署方式上的區別為 IPS 工作于 Inline 模式，而 IDS 工作于旁路監聽模式，但并不意味著只要將 IPS 放置于網絡的出口處，設置為 inline 模式，讓它直接對攻擊或可疑行為進行丟棄就可以了，通常情況下，在 IPS 以 Iiline 模式部署后，都需要一段時間的學習適應，才能正確無誤的擔當起主動防護的重任。 之所以 IPS 需要一個學習適應的過程，主要是因為： ? 防止 IPS 設備誤阻擋合法的數據流量 ? 根據被保護網絡的流量，調整各項攻擊閾值參數（ threshold） ? 根據被保護網 絡環境，調整需要檢測的攻擊特征項目 在這個階段 ,IPS 以 Inline 模式工作，只檢測攻擊并告警，不進行阻斷 首先，將 IPS 的工作模式設置為 Inline Bridging 模式，并將 IPS 以 Inline 模式串接在被保護網絡之前，所有進出被保護網絡的數據包都會通過 IPS 的檢查，正常的流量才會允許進入被保護網絡。 在該模式下， IPS 的檢測引擎將根據安全策略對網絡中通過的數據進行檢測，如果用戶設置了對攻擊數據包的阻斷功能， IPS 會產生相應的阻斷報警，但是不會采取任何阻斷或流量控制操作。這種模式主要用于首次部署時對用戶 網絡環境的學習與策略優化階段，根據檢測到的網絡中可能出現的攻擊行為，對攻擊簽名特征庫和閾值等參數做出調整，減少 IPS 產生誤報的可能性 另外在此模式下，用戶可以觀察 IPS 設備的加入會不會對原有的網絡應用產生影響，以確保 IPS 的性能能夠滿足原有網絡應用的需求。 17 IPS 的 Inline模式工作 階段 在經過第一階段的學習、調整和適應后，已經可以確認 IPS 能夠以 Inline 方式正常運行，并且不會阻斷正常合法的網絡數據包，這時候就可以開啟 IPS 的防御功能，進入阻斷攻擊、全面防御的階段。 在此階段中有兩種模式可以供不同安全 要求的用戶使用： 1 Inline Failpassthrough 模式 適用于對網絡應用的連續性要求高于對網絡安全性要求的用戶，在此模式下，如果 IPS 不能正常檢測攻擊時或出現故障，將使用 Bypass 和超時轉發技術優先保證用戶業務的連續性。 2 Inline Failsevered 模式 適用于對網絡安全要求高于對網絡應用連續性要求的用戶，在此模式下，如果 IPS 不能正常檢測攻擊或出現故障，將拒絕所有數據包的通過，優先保證被保護網絡中數據的安全。 4 入侵防御系統部署建議 安氏領信提供一整套的入侵保護解決方案，具有良 好可擴展性的 Linktrust IPS的部署方式靈活多樣，能夠快速部署在幾乎所有的網絡環境中，實現從企業網絡核心至邊緣及分支機構的全面保護，適用于不同環境不同企業的安全需求。 系統組件 說明 組件 說明 Console(控制臺 ) 控制臺是 LinkTrust IPS 系統中進行各種配置管理、日志（包括安全事件、系統日志、用戶審計日志）查看的客戶端組件。它是一個基于 Windows 的應用程序，提供友好的用戶圖形管理界面和多級別的數據訪問控制。為保證數據傳輸的安全性，在控制臺和事件收集服務器之間采用了加密通信。 EventCollector（事件收集服務器） 事件收集服務器 是 LinkTrust IPS 的一個關鍵組件，為整個系統的管理核心。 主要有三方面的功能： 1. 對系統中的用戶進行管理，是整個系統的用戶認證中心； 2. 實現對整個系統的配置管理功能，包括對傳感器的配置管理以及日志服務器的配置管理； 3. 完成日志數據的收集匯總及簡單的分析工作。 LogServer（日志服務器） 日志服務器