从检测到预防 IDS的演化与革命

Gartner在去年8月的一份研究报告中认为,如今的入侵检测系统(IDS)已经难以适应客户的需要。IDS不能提供附加层面的安全,相反增加了企业安全操作的复杂性。入侵检测系统朝入侵预防系统(IPS)方向发展已成必然。实际上,可将IDS与IPS视为两类功能互斥的分离技术:IPS注重接入控制,而IDS则进行网络监控;IPS基于策略实现,IDS则只能进行审核跟踪;IDS的职责不是保证网络安全,而是告知网络安全程度几何。

IPS不仅仅是IDS的演化,它具备一定程度的智能处理功能,能实时阻截攻击。传统的IDS只能被动监视通信,这是通过跟踪交换机端口的信息包来实现的;而IPS则能实现在线监控,主动阻截和转发信息包。通过在线配置,IPS能基于策略设置舍弃信息包或中止连接;传统的IDS响应机制有限,如重设TCP连接或请求变更防火墙规则都存在诸多不足。
IPS工作原理

真正的入侵预防与传统的入侵检测有两点关键区别:自动阻截和在线运行,两者缺一不可。预防工具(软/硬件方案)必须设置相关策略,以对攻击自动作出响应,而不仅仅是在恶意通信进入时向网络主管发出告警。要实现自动响应,系统就必须在线运行。

当黑客试图与目标服务器建立会话时,所有数据都会经过IPS传感器,传感器位于活动数据路径中。传感器检测数据流中的恶意代码,核对策略,在未转发到服务器之前将信息包或数据流阻截。由于是在线操作,因而能保证处理方法适当而且可预知。

与此类比,通常的IDS响应机制(如TCP重置)则大不相同。传统的IDS能检测到信息流中的恶意代码,但由于是被动处理通信,本身不能对数据流作任何处理。必须在数据流中嵌入TCP包,以重置目标服务器中的会话。然而,整个攻击信息包有可能先于TCP重置信息包到达服务器,这时系统才做出响应已经来不及了。重置防火墙规则也存在相同问题,处于被动工作状态的IDS能检测到恶意代码,并向防火墙发出请求阻截会话,但请求有可能到达太迟而无法防止攻击发生。

IPS检测机制

事实上,IDS和IPS中真正有价值的部分是检测引擎。IPS存在的最大隐患是有可能引发误操作,这种“主动性”误操作会阻塞合法的网络事件,造成数据丢失,最终影响到商务操作和客户信任度。

/* */