-
入侵預防系統
鎖定
入侵預防系統網絡安全
入侵預防系統定義
隨着計算機的廣泛應用和網絡的不斷普及,來自網絡內部和外部的危險和犯罪也日益增多。20年前,計算機病毒(電腦病毒)主要通過軟盤傳播。後來,用户打開帶有病毒的電子信函附件,就可以觸發附件所帶的病毒。以前,病毒的擴散比較慢,防毒軟件的開發商有足夠的時間從容研究病毒,開發防病毒、殺病毒軟件。而今天,不僅病毒數量劇增,質量提高,而且通過網絡快速傳播,在短短的幾小時內就能傳遍全世界。有的病毒還會在傳播過程中改變形態,使防毒軟件失效。
流行的攻擊程序和有害代碼如 DoS (Denial of Service),DDoS (Distributed DoS),暴力猜解(Brut-Force-Attack),端口掃描(Portscan),嗅探,病毒,蠕蟲,垃圾郵件,木馬等等。此外還有利用軟件的漏洞和缺陷鑽空子、幹壞事,讓人防不勝防。
入侵預防系統入侵方式
網絡入侵方式越來越多,有的充分利用防火牆放行許可,有的則使防毒軟件失效。比如,在病毒剛進入網絡的時候,還沒有一個廠家迅速開發出相應的辨認和撲滅程序,於是這種全新的病毒就很快大肆擴散、肆虐於網絡、危害單機或網絡資源,這就是所謂Zero Day Attack。
[1]
每種攻擊代碼都具有隻屬於它自己的特徵 (signature), 病毒之間通過各自不同的特徵互相區別,同時也與正常的應用程序代碼相區別。除病毒軟件就是通過儲存所有已知的病毒特徵來辨認病毒的。
在ISO/OSI網絡層次模型(見OSI模型) 中,防火牆主要在第二到第四層起作用,它的作用在第四到第七層一般很微弱。而除病毒軟件主要在第五到第七層起作用。為了彌補防火牆和除病毒軟件二者在第四到第五層之間留下的空檔,幾年前,工業界已經有入侵偵查系統(IDS: Intrusion Detection System)投入使用。入侵偵查系統在發現異常情況後及時向網絡安全管理人員或防火牆系統發出警報。可惜這時災害往往已經形成。雖然,亡羊補牢,尤未為晚,但是,防衞機制最好應該是在危害形成之前先期起作用。隨後應運而生的入侵反應系統(IRS: Intrusion Response Systems) 作為對入侵偵查系統的補充能夠在發現入侵時,迅速作出反應,並自動採取阻止措施。而入侵預防系統則作為二者的進一步發展,汲取了二者的長處。
入侵預防系統也像入侵偵查系統一樣,專門深入網絡數據內部,查找它所認識的攻擊代碼特徵,過濾有害數據流,丟棄有害數據包,並進行記載,以便事後分析。除此之外,更重要的是,大多數入侵預防系統同時結合考慮應用程序或網絡傳輸重的異常情況,來輔助識別入侵和攻擊。比如,用户或用户程序違反安全條例、數據包在不應該出現的時段出現、操作系統或應用程序弱點的空子正在被利用等等現象。入侵預防系統雖然也考慮已知病毒特徵,但是它並不僅僅依賴於已知病毒特徵。
入侵預防系統入侵目的
應用入侵預防系統的目的在於及時識別攻擊程序或有害代碼及其克隆和變種,採取預防措施,先期阻止入侵,防患於未然。或者至少使其危害性充分降低。入侵預防系統一般作為防火牆 和防病毒軟件的補充來投入使用。在必要時,它還可以為追究攻擊者的刑事責任而提供法律上有效的證據 (forensic)。
入侵預防系統入侵預防
入侵預防系統技術
異常偵查。正如入侵偵查系統, 入侵預防系統知道正常數據以及數據之間關係的通常的樣子,可以對照識別異常。
在遇到動態代碼(ActiveX, JavaApplet,各種指令語言script languages等等)時,先把它們放在沙盤內,觀察其行為動向,如果發現有可疑情況,則停止傳輸,禁止執行。
對Library、Registry、重要文件和重要的文件夾進行防守和保護。
入侵預防系統系統類型
投入使用的入侵預防系統按其用途進一步可以劃分為單機入侵預防系統(HIPS: Hostbased Intrusion Prevension System)和網絡入侵預防系統(NIPS: Network Intrusion Prevension System)兩種類型。
網絡入侵預防系統作為網絡之間或網絡組成部分之間的獨立的硬件設備,切斷交通,對過往包裹進行深層檢查,然後確定是否放行。網絡入侵預防系統藉助病毒特徵和協議異常,阻止有害代碼傳播。有一些網絡入侵預防系統還能夠跟蹤和標記對可疑代碼的回答,然後,看誰使用這些回答信息而請求連接,這樣就能更好地確認發生了入侵事件。
根據有害代碼通常潛伏於正常程序代碼中間、伺機運行的特點,單機入侵預防系統監視正常程序,比如Internet Explorer,Outlook,等等,在它們(確切地説,其實是它們所夾帶的有害代碼)向操作系統發出請求指令,改寫系統文件,建立對外連接時,進行有效阻止,從而保護網絡中重要的單個機器設備,如服務器、路由器、防火牆等等。這時,它不需要求助於已知病毒特徵和事先設定的安全規則。總地來説,單機入侵預防系統能使大部分鑽空子行為無法得逞。我們知道,入侵是指有害代碼首先到達目的地,然後幹壞事。然而,即使它僥倖突破防火牆等各種防線,得以到達目的地,但是由於有了入侵預防系統,有害代碼最終還是無法起到它要起的作用,不能達到它要達到的目的。
入侵預防系統入侵防禦
除了入侵檢測外,WIPS還包括自動防禦威脅的功能。對自動化防禦來説,這需要WIPS準確檢測並自動分類威脅。
一個優秀的WIPS可以防止以下類型的威脅:
入侵預防系統參見
- 無線局域網安全