2-3-IPS技术原理 网络卫士入侵防御系统.ppt

* 提起IPS产品，大家首先想到的就是IDS产品，因此首先介绍一下IDS的不足 * * 详细讲述如何把安全保护从第三层推进到第七层 * 强大的抗DOS/DDOS攻击能力； 准确的蠕虫、后门、木马、漏洞、间谍软件、Web攻击防御能力； 繁多的垃圾应用、流行P2P/IM、热门游戏的过滤控制能力； 智能的VIDP功能：针对不同的网络环境和安全需求，制定不同的防御规则和响应方式，每个虚拟系统分别执行不同的规则集，实现面向不同对象、实现不同策略的智能化入侵防御； 优异的产品性能：可以提供64字节的小包线速性能，可以支持最高达4GB网络环境； 人性化的UI管理系统：提供快捷方便的本地管理、分布式管理功能；支持上百台设备的集中管理； 专业的芯片级硬件高可靠性保证体系——ByPass、HA，保证用户业务的不间断正常运行； 丰富的报表分析统计功能：提供多种攻击检测、阻断、报警等信息的报表统计功能； 多样的可选功能模块：邮件病毒、垃圾邮件、URL过虑功能； * * * * IPS必须像千兆交换机一样的高吞吐量和低延时　 高呑吐量：IPS的呑吐量必须与网络中的其它网络设备的性能相匹配、在对每一个数据包进行深度检查的同时能够保证不影响应用的正常进行 低延时：对于多数应用，端到端的性能与延时成反比，因此低延时对IPS产品非常重要 TopIDP通过采用ASIC+NPU硬件加速，可以提供线速入侵防御能力 * * * * TopIDP所有接口都支持FOD失效开放机制，当出现软硬件故障和电源故障时，系统能够在200us以内自动切换到旁路模式以保障网络的畅通，而且丝毫不影响数据传输速率，能胜任骨干网及数据中心的带宽需求。同时，TopIDP支持双机热备份和负载均很，支持Active-Active、Active-Passive模式，保证了网络环境的高度畅通性。 * 网络卫士入侵防御系统 2007 目 录 什么是IDP/IPS系统 为什么需要IPS IPS技术原理 TopIDP产品功能特点  IPS产品定义 IPS——Intrusion Prevention System，即入侵防御系统，有时又称IDP（Intrusion detection and Prevention）,即入侵检测和防御系统，指具备IDS的检测能力，同时在线部署在网络中、具备实时中止网络入侵的安全技术设备。 TopIDP—— Topsec Intrusion detection and Prevention System，即网络卫士入侵防御系统。 为什么需要IDP——用户遇到的安全问题(1) 病毒/木马及恶意代码、垃圾邮件、网络蠕虫是当前用户遇到的最多三类问题 漏洞宣布到大规模蠕虫出现时间越来越短：WMF零天、Witty2天； 蠕虫攻陷全球的时间越来越快：Slammer病毒10分钟就攻陷了全球。 为什么需要IDP——攻击范围和时间的变化(2) 为什么需要IDP——应用隐患(3)  Web 应用/分布式应用已广为普及 大多数攻击（蠕虫、病毒、DoS）都是通过 80 端口进行的 来源：Network World， 2005 年 8 月 为什么需要IDP——威胁类型比较(4) 时间 威胁类型 传播范围 传播时间单位 人工响应能力 第一代 引导型病毒 单个计算机 单个网络 周 人工响应，可能 第二代 宏病毒 电子邮件 有限的黑客攻击 单个网络 多个网络 天 人工响应，可能 第三代 网络 DoS 广泛的系统黑客攻击 混合威胁 (蠕虫 + 病毒+ 特洛伊木马) 多个网络 地区网络 分 人工响应，很 难，自动响应， 有可能 第四代 针对基础网络设施的黑客攻击 瞬间威胁 大规模蠕虫爆发 DDoS 破坏有效负载的病毒和蠕虫 区域网络 波及全球基础设施 秒 人工响应，不可 能，自动响应， 较难,需要主动阻挡 威胁传播越来越快，人工响应基本不再可能，需要专业的设备来防御！ 为什么需要IDP 面对各种安全威胁，用户的安全意识在逐步加强，防病毒系统、防火墙系统90％以上用户都已经采购，IDS产品也在逐步广泛使用，但只有这几类产品安全威胁仍然困扰着大家！ IDS Intranet Internet IDS无法实时阻止应用层威胁！ 不足之处： IDS主要功能为入侵检测，只能事后响应（需要一定响应时间）不能及时响应攻击 与FW联动，整个操作要花100毫秒以上的时间 ，这对现代的网络来说是一个巨大的时间窗口，蠕虫病毒等攻击可能已经攻击完成 不能实现100％阻断，只能提供TCP攻击的阻断；对于UDP攻击，如Slammer无能为力 对未知的攻击束手无策； 发现攻击、报警 !!! 阻断手段1： 发送TCP　RST指令，终止TCP连接 阻断手段2