天清入侵防御系统介绍

产品白皮书天清入侵防御系统（V6.0）（IntrusionPreventionSystem）版本标识：V单 位：启明星辰信息技术版权声明启明星辰信息技术所有，并保留对本文档及本声明的最终解释权和修改权。本文档中出现的任何文字叙述、文档格式、插图、照片、方法、过程等容，除另有特别注明业用途。“天清”为启明星辰信息技术的注册商标，不得侵犯。免责条款本文档依据现有信息制作，其容如有更改，恕不另行通知。文档中的遗漏、不准确、或错误导致的损失和损害承担责任。信息反馈如有任何宝贵意见，请反馈：信箱：市海淀区东北旺西路8号中关村软件园21号楼启明星辰大厦 邮编：100094：8传真：0您可以访问启明星辰：获得最新技术和产品信息。目 录第1章概述关于天清天清入侵防御系统（IntrusionPreventionSystem）类网络安全产品。断，在判定为攻击行为后立即予以阻断，主动而有效的保护网络的安全。启明星辰坚信，不了解黑客技术的最新发展，就谈不上对黑客入侵的有效防。为了了解黑客活动的前黑客的最新攻击手段，启明星辰专门建立了积极防御实验室(V-AD-LAB)，通过持续不断地研究、实践和征库、系统漏洞库、系统补丁库和IP(CNCERTCNCVE启明星辰对国外最新的网络系统安全漏洞与应用软件漏洞一直进行着最及时和最紧密的跟踪，对重安全问题成立专项研究小组进行技术攻关，并将发现的漏洞及时呈报给国际 CVE（CommonVulnerabilitiesand组织。目前已有多个漏洞的命名被国际CVE组织采用，获得了该组织机构唯一的标识号。是您值得信赖的网络安全产品。入侵防御靠，不可用的故意行为。行为是防火墙所不能防御的，比如说应用层的攻击行为。到完全防御的要求。想要实现完全的入侵防御，就需要将完全协议分析和在线防御相融合，这就是入侵防御系统online入侵防御系统和入侵检测系统入侵检测系统、入侵防御系统是两款互相独立，但又有着在联系的安全产品：险控制环境提供决策依据。上的难题，进一步优化用户网络的风险控制环境。关注点的不同、部署目标的不同决定了两款产品在客户价值上的差异和发展方向上的不同。御系统就可以很好的满足其安全需求。对于那些IT设施是其业务运营基础的行业，设施的风险将极大影响其经营风险，他们既关注风险侵防御相结合的解决方案。击行为不是其工作的重点，他们需要的是能够全面呈现风险信息的入侵检测系统。第2章深层防御与精确阻断深层防御4-7击行为。深层攻击行为有如下特点：第一：新攻击种类出现频率高，新攻击手段出现速度快。据美国CERT/CC2006年共收到信息系统漏洞报告80642005年增长了34.6100个，最多的一天几近700100种新的攻击手段，最多的一天发现的新攻击手段可多达700第二：攻击过程隐蔽。以乱真的面貌出现。正常的应用还是是违规的应用呢？如何更好的实现对这些深层攻击的防御，是入侵防御系统需要解决的问题。深层需要高效和准确，防御则意味着及时的阻断，深层防御需要兼顾两者。精确阻断启明星辰认为：深层防御之道，精确阻断为先。求：不能对新的攻击行为实现精确的阻断，深层防御就无从谈起。深层防御、精确阻断，是天清入侵防御系统客户价值的核心。第3章产品技术特点串行防御和免疫防护保护网络的访问数据都将穿过防御引擎。其标准的接入方式如下图所示：图2：串接模式的部署者的区别如下图所示：阻断规则允许规则DNS阻断规则允许规则DNS……所有没被允许的规则异常通讯阻断可能有：SNMP、FTP、检测每一HTTP、个数正常通讯据包内容正常通讯据包内容通行护。即使部系统存在相应的风险漏洞也可以由入侵防御引擎来将实现先于攻击达成的防护。高效的数据处理性能天清入侵防御系统有一个显著的特点就是可以支持串行接入模式。正如很多边界防护设备一样，串行性能报文处理架构之上，还采用了如下技术来确保传输性能：POLL技术：在通常的系统中，数据处理都是采用中断响应机制来进行的。采用中断在数据包较理大量中断所消耗的系统资源是相当可观的，我们在这里采用了轮询方式的poll技术，CPU一直保持工作状态，而并且等待唤醒状态，以节约在大数据量情况下的CPU开销。在对数据包的转发中采用poll时都可以从存储空间中实时获得可进行分析的数据，自适应的CPU负载均衡技术：我们将每一个实际的CPU都虚拟成了多个虚拟的CPU于处理不同的事务：分别处理中断、检测和通讯等。秒级的分析时延，完全可以适应电信级用户网络环境需求。权威性的检测特征库启明星辰认为，基于误用的检测方法其核心就是检测特征的提取，构造一个好的入侵防定保护措施优劣的重要砝码。天清入侵防御系统在提炼检测特征的时候采用了如下两种方式：方式A：基于漏洞机理的分析方法。变种的攻击和攻击工具改造非常有效。方式B：基于攻击过程的分析方法。段还是已经攻击成功。另外，天清入侵防御系统中对检测特征的定义都是通过统一的标准化VT+围。天清入侵防御系统的检测防御规则库全面兼容CVE和CNCVE，对用户而言，提供了更详细了解网络中发生行为的机会。准确的攻击检测能力入侵检测系统对客户带来的价值体现在对攻击和可疑行为的及时发现和主动响应上，而实现及时的发现，就要求入侵检测系统拥有全面的攻击检测能力。以对上报的攻击事件进行事先的预分析，达到精确报警的目的。此外，天清入侵防御系统采用了启明星辰公司设计并实现的高效协议自识别方法——VFPR(VenusFastProtocolRecognition)，该协议自识别方法基于协议指纹识别和协议规则验证技术实现，能够在网VFPR方法包括前期协议样本特征提取和在线协议识别两个阶段，其中，协议样VFPR方法的协议指纹识别过程基于快速哈希表方法VFPR方法，对于一些采用非常规端口的协议也能实现及时的识别和检测。简易便捷的管理部署对于使用网络安全产品的用户而言，简单管理的第一步就是简单的部署方式，天清入侵防御系统遵循明接入到网络中，便可即时开始对网络的防护。天清入侵防御系统除了支持标准的单层部署模式外，还支持多级分布式的部署方式。特别的，对于大的用户。灵活的安全策略管理合自己需要的策略，以达到最佳防护效果。与、或、并、交等逻辑操作，便于用户自定义选择最佳安全策略。的频率来自动调整使用的安全策略，从而实现减少日志量和自动修改事件风险级别。丰富的响应分析方式应方式及时通知系统管理员得知，这些方式包括：屏幕显示报警后台日志记录SNMPTrap发送电子声音报警和执行自定义程序……100行有效的日志分析查询，报表的题头、容、字段可供用户自主调整。行保存使用。对于生成的报表，用户还可以手动、自动导出为多种常用格式（WORD\EXCE发送报告功能。完善的系统可靠保障特殊情况下，确保网络业务是第一要义。这些特殊情况包括：特殊情况一：掉电及硬件故障。的影响将会是巨大的。同样，入侵防御系统出现硬件故障，也将对业务运营造成影响。特殊情况二：系统软件故障。天清入侵防御系统置WatchDog擎出现软件故障，即刻启动BYPASS图4：BYPASS的示意图第4章部署结构常规部署模式典型部署位置如下图所示：内部防护内部防护BInternetBB边界防护A内部防护B控制中心图5：常规部署模式A类型的部署：边界防护，放置在防火墙的外面。所有想要进入网络部的数据都将通过检测引擎，可以将所有的恶意行为阻拦在整个网络之外。B类型的部署：部防护，放在防火墙设备的后面，对经过防火墙过滤后的数据进行分析，作为第二道大门存在。部防护部署则避免了这一现象的产生，更加专注于检测能够通过访问控制设备进入到网络中来的数据信息。双重链路部署天清支持双重链路的部署方式C类型的部署备份的环境中，可以使用一台设备就完成冗余备份的需求。InternetInternet双重链路CSiSi控制中心图6：双重链路部署模式多层结构部署总控制中心InternetSi总控制中心