企业网络安全入侵检测与响应解决方案

企业网络安全入侵检测与响应解决方案1当前我们面对的主要安全问题 32企业网络安全技术的现状分析 72.1网络安全出现了哪些的问题? 72.2需要统一安全管理的发展历程 2.3SIM安全信息管理的产生 3企业网络安全监控和快速响应解决方案 3.1企业网络安全监控的手段 3.1.1NetFlow实时监控网络流量 3.1.2企业网络IDS/IPS监控及网络入侵保护 3.2企业网络快速响应方案 错误!未定义书签。在近日召开的2005中国计算机网络安全应急年会(CNCERT/部互联网应急处理协调办公室的指导下，针对全国16个城市2800多个77.8%;其次为反病毒软件的应用，占到73.4%;访问控制(25.6%)、加密文件系统(20.1%)和入侵检测系统(15.8%)也是通常使用的网络安全在金融、制造、电信、财税、政府、教育、交通、其他类8个行业被访单位在2004年所受到的网络攻击类型中最普遍的是病毒、蠕虫或特洛伊木马攻击，占75.3%。被调查对象认为，引发网络安全事件的原因中最主要的是“利用未打补丁或未受保护的软件漏洞”,占50.3%;对员工不充分的安全操作和流程的培训及教育占36.3%;紧随其后的是缺乏全面的网络安全意识教育，占28.7%。络攻击工具，例如蠕虫或自动传播恶意代码，占67.3%;其次是有熟练攻击经验的攻击者成功绕过网络安全防护措施，占15.4%;大量或非常密集网络攻击尝试，占13.8%。近70%的被调查单位有专门的组织或机构负责显示出各单位将网络与信息安全作为自身安全的组成部分的认识有所公众网络安全意识被认为是提高网络安全整体水平的最重要的宏观措如何应对现在新的网络安全环境呢?如何在我们的网络上确保安制、入侵检测系统(IDS)和其他技术来保障网络安全，但是网络.一个典型企业中的各种安全设备可能会产生大量关于网络中流经的络”的意识虫病毒等市场中的迅速成长和扩大。但随之而来的威胁也越来越多——黑客攻危机四伏，不知道什么时候灾难就会降临。系统、网络(软硬件)安全的全国性网络、网络中安全产品数量众多的大型企业，这种问题尤为合全面的安全报告，以了解企业网络到底处于什么样的状态，遭受过罗列，企业需要一个能集中管理所有产品信息、智能化的安全管理中的安全机制和策略能给企业提供一定的安全保障，但面对网络中数目2.2需要统一安全管理的发展历程统一的安全中心的发展由最开始的基于每一台安全设备的管理，到求的理想目标。那么什么是安全的网络?安全的网络是指能够提供安全单纯从技术的角度而言，目前业界比较认可的安全网络的主要环节常重要的作用。安全网络系统模型实用的，完整的安全信息集中管理平台。安全管理在安全网络建设的循环中，起到一个承前启后的作用，是实现安全网络的关键，如下图所示和在安全集中信息管理平台中，我们目前所面临的最大挑战之一是，帮助我们做出正确判断的依据被不断增加的、多个厂商的安全设备和多个系统所产生的大量安全信息所淹没。比如一次简单的Smurf攻击，网络入侵监测系统会报警，防火墙会报警，遭受攻击的主机会报警，相关的路由器甚至交换机都会报警，汇聚到安全管理平台就是多次报警，而其实攻击就只有一次。只有能够提供有效管理、隔离和优先处理代表着的安全集中管理关键技术之一是一种称为安全信息管理(SIM)的软件2.4从安全信息管理SIM发展到安全威胁管理STM网络地址，以便当某个攻击的源和目地地址发生变化时继续加以跟与它的网络感知能力结合到一起，发现网络攻击活动集中的“热图1(从上往下读图)显示了STM技术用于减少原始网络事件数网络上的多个设备——包括安全设备(防火墙和IDS)、网络设备(路由器和交换机)和终端系统(服务器)——发送日志和网络信息，进程化可以利用网络拓扑感知功能将多个事件汇总成端到端的sssoaxonw基于进程的主动关联可以利用内置的和用户定义的规则，将网络攻击(简称攻击)。成功到达目标(它可能会被某个防火墙或者服务器中的主机IDS阻截),以及目标是否的确可能遭受攻击(它的操作系统可能不会遭受将实际的攻击通知操作人员，并告知制止方法。精确跟踪可事件可能会精简到数十个攻击一—一个操作人员就足以对这些事件为分析人员提供一定数量(可设置)的事件，由其确定它们是真正的感知能力将这些事件汇总为单个进程。在图2中，(注意攻击的目的A图2进程化STM技术可以根据内部规则比较进程的细节(进程内部关联)和其他进程的细节(进程间关联),以发现某个潜在的攻击。如果存在建设。3.1企业网络安全监控的手段网络的安全监控的前提必须实时了解网络运行的状3.1.1NetFlow实时监控网络流量9目前正在IETF以IPFIX的名称进行标准化。当然，这使得NetFlow提供IP源地址、IP目的地址、源端口、目的端口、三层几年来，服务提供商一直使用NetFlow。它们一直被NetFlow的如现也不好。因此，它实际上是无法在大多数IT部门实现的最佳实践。低的大约2%至3%,而且，NetFlow部署只需要一个星期的时间。采用它的另一个原因是：可以报告和分析NetFlow的软件一如出自Crannog、NetQoS公司的产品可以根据入站传输流对出站传输流进行评估以简化诸如Q1Labs公司和Arbor公司的Peakflow之类的安全厂商很有用，在我们以2003蠕虫王61.*.*.124|28.*.17.190|65111|as1|6|361.*.*.124|28.*.154.90|6561.*.*.124|28.*.221.90|6字节数404以下是在CiscoGSR路由器GigabitEthernet10/0端口(1)切断连接在能够确定异常流量源地址且该源地址设备可控的情况(2)过滤采用ACL(AccessControlList)过滤能够灵活实现针此过滤针对蠕虫王病毒(SQLSlammer),但同时也过滤了针对SQLServer的正常访问，如(3)静态空路由过滤能确定异常流量目标地址的情况下，可以用异常流量的目标地址指向空(Null),这种过滤几乎不消耗路由器系统iproute205.*.*.2255.255.255.255Null0对于多路由器的网络，还需增加相关动态路由配置，保(4)异常流量限定Router#(config-if)rate-limitinputaccess-3.1.2企业网络IDS/IPS监控及网络入侵保护事件分析器(Eventanalyzers);响应单元(Responseunits);事系统分类日志等作为数据源，当然也可以通过其他手段(如监督系统调用)从所的网卡设于混杂模式(promiscmod统的核心功能。从技术上，入侵检测分为两类：一种基于标志 (signature-based),另一种基于异常情况(anomaly-based)。(至少在理论上可以)判别更广范、甚至未发觉的攻击。信息收集跟正常的一样。例如，unix系统的PS指令可以被替换为一个不显示侵 (黑客隐藏了初试文件并用另一版本代替)。这需要保证用来检测网络以下三个方面(这里不包括物理形式的入侵信息):非正常的程序执行信号分析模式匹配模式匹配就是将收集到的信息与已知的网络入侵和系统已有模式通过字符串匹配以寻找一个简单的条目或指令),也可以很复杂(如利用正规的数学表达式来表示安全状态的变化)。一般来讲，一种进攻模式可以用一个过程(如执行一条指令)或一个输出(如获得权限)来表统计分析统计分析方法首先给系统对象(如用户、文件、目录和设备等)创建一个统计描述，统计正常使用时的一些测量属性(如访问次数、操作特别有效。完整性分析利用强有力的加密机制，称为消息摘要函数(例专家系统策略-直接丢弃数据包、终接集成·最具多样性的IPS传感器系列为网络任意位置具·入侵防御已集成到网络阵列中·解决方案以企业网络安全特性和网络智能为基础·模块化检测引擎提供了迅速响应和最短停机时间·异常行为检测能防御零日攻击·基于风险的动态威胁评定能实时调整应对攻击的策略协作·机箱和网络级关联使用户更为自信·网络和端点协作提供了更高可视性和效率·基于解决方案的通用管理界面有助于降低运营开支todeliverIDSservicesoutsiderouter多个IPS传感器通过CiscoCatalyst交换机上的以太通道来提供具高CiscoIPS技术在“多媒体”和“事务处理”环境中评估多种参数，帮多媒体体性数据性能接口4个或4个4个4个接口000BASE--SX(光纤)(共16个监控接口)●4个个监控接●2个X(4个光纤监控接口)无无(5个监控接口)有可选无无无自动支持**支持**支持*支持*支持*机型4机架单元2机架单元元1机架单元1机架单元高度6.94英寸(17.6厘(87.6毫米)1.72英寸(4.37厘1.72英寸(4.37厘宽度(48.3厘(435.3毫米)17.25英寸(43.82厘米)17.25英寸(43.82厘16.8英寸(42.72厘长度26.5英寸(67.3厘20英寸(508毫14.5英寸(36.83厘14.5英寸(36.83厘11.8英寸(29.97厘80磅(36.3公斤)40磅(18.14公时)(9.07公20磅(9.07公斤)机架支持支持支持支持支持自动100到240100到240VAC100到240100到240100到240单相单相Hz,单相Hz,单相工作工作温度10到35°C(50到10到35°C(50到95°F)0到40°C(32到0到40°C(32到5到40°C(41到-40到-20到非工-40到70°C-20到-25到(-104到(-104到到到149°F)到158°F)工作10到85%(非10到85%5到95%(非湿度(非冷凝)冷凝)(非冷凝)(非冷凝)冷凝)非工作相对湿5到95%(非冷凝)5到95%(非冷(非冷凝)(非冷凝)5到95%(非冷凝)全功率时的热*配备第三方产品**配备旁路接口卡CiscoIPS4215能准确地查看和保护65/80Mbps(事务性应用/多媒体应用)流量，适用于多T1/E1和T3环境。此外，CiscoIPS4215上支持多个监控接口，能在单一设备中提供入侵检测和防御(IDS/IPS)运行于250/300Mbps(事务性应用/多媒体应用)的CiscCiscoIPS4255提供500/600Mbps(事务性应用/多媒体应用)的CiscoIPS4260提供1/2Gbps(事务性应用/多媒体应用)的保护息。这一定制设备支持铜线和光纤网络接口卡(NICiscoIPS4270提供2/4Gbps(事务性应用/多媒体应用)的保护息。支持端口数量可以达到16个GE,配合虚拟IPS的功能，可以灵活3.2企业网络快速响应方案企业网络于2005年2月分收购了著名的防御与响应系统解决方案提供商ProtegoNetworks公司(简称PN),PN提供的PN—MARS核心全面的设备支持能力有助于实现集成。该公司提供的CS-MARSGC(全局控制器)可以充当一个额外的集中策略控制和安全管理层。高度可视化的、基于Web的管理界面让经过授权的用户可以从任何地方访问CS-MARS。目前，CS-MARS可以提供一种独一无二的防御功能：用户可以利用攻击路径中的关键设备(路由器、交换机、防火墙)制止攻击或者控是相同的。每个设备都是一个一揽子解决方案，可以通过嵌入式进程的安全事件信息视图是根据预定义和用户自定义的事件规则自人员可以及时更改配置；半自动或者手动将其应用到网络和安全设然关注于倾听客户需求和提供卓越的服务。”其他一些客户表示：“他们能够在几周之内将设想的概念变成可用的功能…我对他们能够如此迅速地实现我们所希望的功能感到惊讶。”人们认为CS-MARS产品的便利性超出了市场上的其他知能力，可以将数百万个安全事件缩减为数百个实际报告的网络事2、及时制止攻击：该设备具有足够的性能和内置智能，可以在3、端到端的网络感知功能：利用各种网络设备和终端系统的所蠕虫的特殊性使得它成为一种尤其难以解决的问题。一旦一台网络网上的很多计算机都没有安装微软公司此前发布的一个补丁²。另外一要有效地处理像Blaster蠕虫这样的网络攻击涉及到很多方面。在这种攻击首次发生时(这个时间通常被称为“零日”),现有的网络安全组件一—例如网络入侵检测系统(NIDS)、主机入侵检测系统(HIDS)和标。零日攻击的功能—一即使该行为并不处于监控网络的安全设备的特征Blaster蠕虫代码；这可能发生在它连接互联网的过程中(可能是在用户家中);也可能发生在企业核心网络上，当它在互联网防火墙内部进测到了主机H3发送的部分流量。这些流量在图1中用虚线表示。PathsofRlasterWorm图1.网络拓扑和Blaster蠕虫攻击事件，如图2所示。企业网络安全入侵检测与响应解决方案oaattssettBerantmcdants口wutTrp0