什么是IDP(统一威胁管理系统).pdfVIP

2006-6-25 22:29 什么是IDP 一． IDS 、IPS、IDP 的名词解释 IDS ：入侵侦测系统 (Intrusion Detection System) IDS 只有 【侦测】的功能，它是倾听 (Sniffer) 网络的封包，是否有不正常或攻击性 质的行为发生，一但发现有这样的行为，例如，对你的系统进行通信端口扫描 (Port Scan) ， 它会发出讯息，警告管理者，但是却无力阻止攻击者的一切扫描和攻击的行为，只能被动的 警告防御的一方：有人已经对你的系统进行扫描和攻击。 技技 图1、典型的IDS 架构图及运作 科科 IPS ：入侵防御系统 (Intrusion Prevention System) 思思 IPS 它会检查对应到OSI 模型第4 到 7 层的内 ，是否有恶意的攻击程序、病毒，隐 藏在 TCP/IP 的通信协议中。IPS 必须是网关器模式，透过详细的内 检查后，一但发现后 能够实时地将封包阻止，让这些穿过防火墙的封包无所遁形。 纳纳 IDP ：入侵侦测与实时防御 (Intrusion Detection and Prevention) IDP 它兼具入侵侦测系统 (IDS)、入侵防御系统 (IPS) 两种功能，它和IDS 不同的是， 它对于所侦测到的攻击和扫描的行为，具有主动和自动的阻挡功能，并且在阻挡完成后，会 告诉防御的一方有人曾经试图对你的系统进行扫描和攻击，但是已经被我 (IDP) 成功阻挡 了，所以攻击者没有得逞，并且 IDP 也会告诉你 ( 防御者) 它所知道的关于这个攻击者的 信息，常见的包括 IP 地址、DN S 名称，用哪个 port 连进来的，连到你 ( 防御者) 的哪个 port ，发动攻击的日期和时间，攻击者的计算机名称 (就是你用 netstat -a 看到的 你的计算 机的名称或是在网络邻居上的名称) ，攻击者的网卡物理地址 (这是全世界独一无二的你想 赖都赖不掉) 。 1/8 2006-6-25 22:29 二． 防火墙与IDP 的差异 传统防火墙 以检视对应OSI 模型第2 到第4 层通讯协议的内 ，因此防火墙 以检 视IP Header、TCP Header 、以及UDP Header 中的数据。防火墙最常检视/控管的项目为： Source IP Address （来源IP 地址）、Destination IP Address （目的IP 地址）、Source Port Number （来源端口号）、Destination Port Number （目的端口号）、以及Flag Fields （旗标字段，仅 位于TCP Header 中）。 譬如「HTTP 服务」一般预设使用Port Number 80，FTP 预设使用Port Number 21 ，SMTP 预设使用Port Number 25。而防火墙也利用其自身 以检视来源/ 目的Port Number 的功能， 来达到控管网络的目的。譬如 设定只开放外界使用公司内部 Web 服务器透过Port 80 所 提供的服务。 这一切似乎都很美好，但是如此传统的防御机制已无法遏止日新月异的攻击手法。以 SQL Slammer 攻击蠕虫为例，它攻击时是连接受害主机(victim host)的UDP Port 1