IPS+VS+WAF++详细功能对比.docVIP

IPS和WAF功能对比 IPS其工作原理是检测数据包有效载荷，提取特征（如下图所示），然后与设备加载的攻击特征码进行比对，设备加载的特征码都是从已知通用应用协议或应用系统漏洞中提取出来的，专门针对这类通用漏洞的攻击防护，大部分能通过打补丁的方式解决。然而，经业界众多专业厂商研究分析，目前攻击者大多采用的是针对网站代码内容的攻击手段，而不是采用传统特征库中已有的通用攻击手段。IPS具备了针对已知通用应用协议或应用系统漏洞的防护，但对于目前普遍定制开发的web站点系统，由于网站应用代码中的漏洞而带来的应用攻击，不能提供有效的防御，尤其是对一些逻辑关系复杂的应用攻击。例如如果代码编写者对用户提交的数据未做适当的检查验证，用户可以利用web页面中提交数据的表单构造访问后台数据库的SQL指令，从而能够非授权操作后台数据库，达到获取敏感信息、破坏数据库内容和结构、甚至利用数据库本身的扩展功能控制web服务器操作系统，如此不仅能够达到网页挂马，还可以构成对web服务器的其他攻击，篡改网页内容更是轻而易举。 图：IPS检测数据包有效负载比对特征进行攻击防御 举例说明 比如SQL注入，它们都是可以防护的，但防护的原理有区别，IPS基本是依靠静态的签名进行识别，也就是攻击特征，这只是一种被动安全模型。如下是一个Snort的告警规则： 　　alert tcp $EXTERNAL_NET any -