聯想網御ips產品白皮書(編輯修改稿)

　

【文章內容簡介】 御IPS入侵防護系統操作系統是專用的、實時的強化安全的操作系統，它在全平臺上支持病毒掃描，內容過濾，sateful檢測防火墻，IP安全（IPSec）VPN，基于網絡的IDS和流量管理應用。以下介紹其設計特點、應用級和網絡級功能，以及高性能，高可靠性，高靈活性和擴展性。216。 高性能并行處理聯想網御IPS入侵防護系統高端產品設計為雙CPU。 利用對稱多處理技術，有效地分解和協調在雙處理器之間不同的任務。 在任一特定時間， 兩個處理器都負載在最佳的處理水平。 由于利用了專門的算法， 任務切分和協調過程中的消耗減到了最小程度。216。 實時體系結構與非實時OS（例如許多防火墻和設備采用的不同風格的Linux）相比，聯想網御IPS入侵防護系統操作系統是使數據流程處理達到優化的實時操作系統。在非實時OS中，核心并不總是對輸入的數據包觸發的中斷作出及時反應；這不僅使數據包排隊時間增長， 而且造成系統資源（例如內存）不能有效地利用，因而增加了丟包率。聯想網御IPS入侵防護系統操作系統的設計集成了智能排隊和管道管理， 與包的到達/處理相關的系統中斷得到立刻的重視。同時，基于內容處理加速模塊的硬件加速使各種類型流量的處理時間達到最小，加上最短的排隊時間，從而給用戶提供了最好的實時系統。216。 實時內容級智能常規的安全網關設計有兩類：狀態包檢測（基于流程的,flowbased）和應用代理（ proxy）。在基于流程的網關中，安全策略是大多在包一級定義和執行的（雖然狀態檢測對一定類型的流量保持會話上下文）。 這種方法因為包在處理后馬上送走, 而導致高處理速度和高吞吐量； 但是， 由于處理是在包一級的， 系統不理解高一級語言，（例如協議）或目標（例如文件），因此不能識別有害的腳本、病毒攻擊、或不想要的內容。相比之下，基于代理的系統，安全網關終斷進入和流出的會話，檢測包，將它們重新組合為原始的數據流，理解會話的當前狀態，并能夠對預先定義的違規、或動態產生的安全或網絡策略進行檢測內容。這種方法有足夠的智能在應用級運作，因而能進行應用級處理。但是，重新組合所有的包和檢測數據流需要耗費大量的計算資源，那會使基于代理的網關變得性能減低許多。聯想網御IPS入侵防護系統設計為綜合基于流程的和基于代理的兩者優點，而同時又克服它們的弱點。聯想網御IPS入侵防護系統設計為具有基于流程的檢測引擎和多應用級代理（HTTP, SMTP,POP3, IMAP等）。專利設計在包檢測和代理之間給出最佳的協調。由內容加速單元提供了基于代理系統的智能，而在性能上達到通常只有基于流程的系統才能達到的水平。結果使聯想網御IPS入侵防護系統不僅能達到常規的網絡級安全, 例如防火墻，VPN和NIDS，而且能在網絡界面邊緣高速地處理應用級安全功能，例如病毒與蠕蟲掃描、URL和關鍵詞內容過濾、跨過防火墻的話音Voice over IP (VoIP)。216。 完整的投資保護和完整的網絡保護聯想網御IPS入侵防護系統專用操作系統設計的另一個優點是能適應新的功能和應用。模塊化設計使得能方便地添入或修改新的代理。在引入新的協議和業務時，不需要改變整個操作系統結構（或硬件系統結構）。聯想網御IPS入侵防護系統專用操作系統適應支持VoIP NAT的能力就代表了操作系統靈活性的一個很好的例子。使用得越來越多的VoIP，協議比較復雜，, MGCP, SIP等，不能由常規的網絡地址轉換防火墻來防護。如果不使用代理，為了讓VoIP通行，VoIP網關要求在防火墻中打開“洞”。然而，這些洞往往會被入侵者利用，利用話音業務來損壞防火墻，并增加未經容許的網絡接入。如果網絡保護網關能理解復雜的VoIP協議，它們就能處理VoIP業務安全，不需要開“洞”，而“洞”往往會讓VoIP和潛在的有害流量通過。如上所述，基于流程的網關一般缺少智能來理解復雜的高級的協議，而常規的基于代理的設計缺少必要的性能，來處理對延遲敏感的話音，以免引入不能接受的抖動和延遲。 這就是聯想網御IPS入侵防護系統專用操作系統的立足之處：。高性能的操作系統核心，結合專門建立的內容處理加速硬件，能使聯想網御IPS入侵防護系統適合新的應用，而無須重新設計系統或對硬件升級作大的改動。216。 提供分區間安全的虛擬系統支撐用戶能夠建立一個單個的聯想網御IPS入侵防護系統單元行為，就好象它包含大量的獨立的“虛擬系統”，它們提供專門的服務，對各個部門或用戶分別具有自己獨特的策略。聯想網御IPS入侵防護系統體系結構中設計了虛擬系統支撐。，帶有VLAN中繼支撐的交換機/路由器與聯想網御IPS入侵防護系統的物理接口相連接。聯想網御IPS入侵防護系統能提供多達500個虛擬系統?；诮巧墓芾碓试S不同的管理員僅管理它們授權的虛擬系統，使它們建立和維護它們自己的一套安全策略、地址和地址組， 以及監視系統狀態。216。 提供Closedloop 保護的體系結構常規入侵檢測系統的主要問題正在于檢測系統本身，因為它們只檢測，提供報告，但不能防護或防止攻擊。主要原因在于大多數IDS, 例如防火墻，防病毒掃描，是在點上的解決辦法，它們互相不通氣。聯想網御IPS入侵防護系統專用操作系統平臺組成了一個共框架，它無縫地自然地集成了所有支持的應用。當系統中的NIDS模塊檢測一個攻擊時，它能采用一個或多個防護措施，例如重新設置連接， 放棄與攻擊相關的包，告示防火墻阻擋攻擊，或等候到攻擊指示燈顯示達到某個門限。這是一種“closed loop”保護，根據這一強有力的概念， 將被動防護變為主動防護。216。 高可用性(HA)的備份保護聯想網御IPS入侵防護系統通常用于關鍵任務環境，例如運營服務商基礎設施或大型企業，不能容忍由于任一點故障的業務丟失。用戶使用備分的一對聯想網御IPS入侵防護系統單元，并利用專用冗余協議，來確保萬一有故障發生時的故障恢復零中斷。正如支持高可用性的其它協議一樣，例如VRRP和路由器故障恢復零中斷的HSRP，聯想網御IPS入侵防護系統專用冗余協議提供安全會話的故障恢復零中斷。協議中包含幾項技術，包括：21