思科IPS入侵检测系统.pptVIP

思科IPS入侵检测系统 思科IPS方案重点产品和技术介绍 思科入侵防御系统（IPS）技术允许网络和安全管理员快速准确地检测出对内部关键资源的非法访问企图; Cisco IPS 是基于深层数据包检测的解决方案，能够有效防御大量网络攻击，保护数据和网络基础设施的安全: 准确的威胁防御能够全面检测出所有的潜在威胁; 智能的威胁调查能够大幅度避免虚假警报; 通过基于浏览器的工具实现的易于管理性能够简化互动流程，同时提供强大的分析工具。 Cisco IPS 产品通过四个关键特性提供高效的入侵防御： 1. 准确的威胁检测 2. 智能的威胁调查 3. 易于管理性 4. 灵活的部署选项 Cisco IPS 产品系列:整网集成安全 “Anti-X” 防御不只是 “Anti-V” －多因子威胁识别和抽取 准确防御技术-风险评估提供了威胁环境概述 准确防范技术- 事件生成器提供增强的关联功能 Cisco IPS优势 ? 2006 Cisco Systems, Inc. All rights reserved. Presentation_ID * ? 2006 Cisco Systems, Inc. All rights reserved. Cisco Confidential Presentation_ID * Cisco IPS 4200 Series Sensors IPS 4215 - 65 Mbps Catalyst IDSM-2 Bundle - 2 Gbps Cisco ASA 5500 Series IPS Editions and AIP Modules Cisco IOS IPS Catalyst 6500 Service Modules Cisco ISR Module IPS 4240 - 250 Mbps IPS 4255 - 600 Mbps IPS 4260 – 1/2Gbps IDSM2 - 500 Mbps Native IOS IPS for the Cisco ISR A variety of performance points for the Branch Office Environment NM-CIDS - 45 Mbps IDS ASA 5510 – Up to 150 Mbps AIP SSM-10 ASA 5520 – Up to 375 Mbps ASA 5540 – Up to 450 Mbps AIP SSM-20 IPS 4270 – 2/4 Gbps 启发式— 统计算法 启发式算法 异常— 流量协议异常检测 基于特征码的分析 策略— 基于安全策略的流量过滤 拓展保护— 保护未知威胁 快速变异的病毒 弱点— 编码 特征码保护 零天保护 利用多种技术来阻止各种安全威胁 病毒、蠕虫 防垃圾邮件 停止服务攻击 间谍软件、广告软件 特洛依木马/后门 僵尸机器 P2P/IM滥用 80端口滥用 Anti-X + + + 攻击是否与遭受攻击的主机相关? 发生误报的可能性有多大? 目标主机的重要性有多高? 事件严重性 签名符合度 攻击相关性 ** 目标的资产价值 风险评估 推动防御策略 威胁的严重性有多高? 决策支持在攻击严重性和业务风险之间取得平衡 85 100 低 中 高 风险评估 时间: 0 2 4 6 8 10 事件 A 事件 B 事件 C 事件 D A + B + C + D = 蠕虫! 将风险较低的事件连接到一个高风险的元事件，触发防范措施 通过关联下列因素，模仿攻击行为: 事件类型 时间范围 丢弃事件D－蠕虫被阻止! 预装关联可在不需用户干涉的情况下，实时地适应新的威胁 NIMDA SIG 3216 Dot Dot Crash SIG 3215 Dot Dot Execute SIG 5144 IIS Unicode Attack SIG 5124 IIS CGI Decode SIG 5081 cmd.exe Access If SIG IDs 5081, 5124, 5114, 3215 3216 Fire within a 3 Sec. Interval, then Trigger the Meta Event, “Nimda” TIME INTERVAL = 3 SECS. 威胁缓解的过程: 集成事件关联 – 智能 IPS Version 6.0 异常检测 / 网络行为分析 Internet Internal Zone 2 Internal Zone 3 利用AD（Anomaly detection algorithms）检测并阻止零日攻击（ Day-Zero ） 自动学习网络流量特征 ID