原帖由 ayazero 于 2007-4-12 14:20 發(fā)表
IPS如何實現(xiàn)IPS的功能？
作為一個串聯(lián)設(shè)備，7層協(xié)議解包，payload和（>1000）條規(guī)則進(jìn)行hash匹配，延遲能讓客戶端覺得可以接受，什么誤報漏報也就別提了，就這樣的設(shè)備能夠一直工作我就挺懷疑的
我覺得以 ...
原帖由 ayazero 于 2007-4-5 17:15 發(fā)表
寧愿用IDS也不用IPS
原帖由 chinaunix_li 于 2007-4-6 10:14 發(fā)表
WHY?
聽說IPS具備IDS和網(wǎng)絡(luò)漏洞掃描兩個功能。
不知道是否正確？
原帖由 ayazero 于 2007-4-12 14:20 發(fā)表
IPS如何實現(xiàn)IPS的功能？
作為一個串聯(lián)設(shè)備，7層協(xié)議解包，payload和（>1000）條規(guī)則進(jìn)行hash匹配，延遲能讓客戶端覺得可以接受，什么誤報漏報也就別提了，就這樣的設(shè)備能夠一直工作我就挺懷疑的
我覺得以 ...
原帖由 ayazero 于 2007-4-12 14:20 發(fā)表
IPS如何實現(xiàn)IPS的功能？
作為一個串聯(lián)設(shè)備，7層協(xié)議解包，payload和（>1000）條規(guī)則進(jìn)行hash匹配，延遲能讓客戶端覺得可以接受，什么誤報漏報也就別提了，就這樣的設(shè)備能夠一直工作我就挺懷疑的
我覺得以 ...
原帖由 ayazero 于 2007-4-12 14:20 發(fā)表
IPS如何實現(xiàn)IPS的功能？
作為一個串聯(lián)設(shè)備，7層協(xié)議解包，payload和（>1000）條規(guī)則進(jìn)行hash匹配，延遲能讓客戶端覺得可以接受，什么誤報漏報也就別提了，就這樣的設(shè)備能夠一直工作我就挺懷疑的
我覺得以 ...
alert tcp $EXTERNAL_NET any -> $SMTP_SERVERS 25
(msg:"SMTP sendmail 8.6.9 exploit";
flow:to_server,established;
content:"|0a|Croot|0a|Mprog";
reference:arachnids,142; reference:cve,CVE-1999-0204;
classtype:attempted-user;
sid:669;
rev:4;)
原帖由 ttvast 于 2007-7-5 23:34 發(fā)表
IDS有用嗎?IDS是第一個被我CANCEL的設(shè)備,IPS就更加不用考慮了.
IDS能報的攻擊,都是無法成功的攻擊.
原帖由 ayazero 于 2007-4-12 14:20 發(fā)表
IPS如何實現(xiàn)IPS的功能？
作為一個串聯(lián)設(shè)備，7層協(xié)議解包，payload和（>1000）條規(guī)則進(jìn)行hash匹配，延遲能讓客戶端覺得可以接受，什么誤報漏報也就別提了，就這樣的設(shè)備能夠一直工作我就挺懷疑的
我覺得以 ...
原帖由 ayazero 于 2007-4-12 14:20 發(fā)表
還有在當(dāng)前的安全趨勢下，想通過網(wǎng)關(guān)設(shè)備一勞永逸是根本不切實際的 ...
原帖由 unsword 于 2007-8-1 16:12 發(fā)表
沒有看到一個真正懂IPS 與 IDS的人發(fā)言 。 樓上所有的討論均為外行話語。
一些根本不懂IPS、IDS的人在討論這2個東西的有點缺點，還有一些自以為很懂的人在忽悠人。
要弄明白什么是IPS，至少要在 FPGA、E ...
原帖由 unsword 于 2007-8-1 16:12 發(fā)表
沒有看到一個真正懂IPS 與 IDS的人發(fā)言 。 樓上所有的討論均為外行話語。
一些根本不懂IPS、IDS的人在討論這2個東西的有點缺點，還有一些自以為很懂的人在忽悠人。
要弄明白什么是IPS，至少要在 FPGA、E ...
原帖由 zeroflag 于 2008-3-11 12:20 發(fā)表
看了半天，真的沒有太專業(yè)的技術(shù)回復(fù)呀。估計這里面真正從事IDS/IPS研發(fā)的很少。本人水平不高，也就是個售前而已。我想拋開技術(shù)層面不看，單純從IDS/IPS的實際應(yīng)用角度說說我的看法。
1、從實際的應(yīng)用效果來看，IPS其實是要遠(yuǎn)遠(yuǎn)高于IDS的。
========================================================
得出這個結(jié)論，那是根據(jù)你的客戶群的特點，客戶本來就是分類的，肯定有適合需要IPS的，就如同你舉例的， 請不要用 “從實際的應(yīng)用效果來看” ，在石油，金融，電信，，和軍工，以及軍工制造型企業(yè)里，不太適用你這句結(jié)論
2、IPS的有效應(yīng)用是什么
目前看來IPS最有效的應(yīng)用其實是防范網(wǎng)絡(luò)病毒的大規(guī)模傳播。這是因為大規(guī)模傳播的病毒所采用的攻擊方式大多具有非常明顯的特征，用IPS識別并阻斷是非常有效的。我們某省公安廳的客戶，在使用IPS之前，其病毒上傳到公安國干網(wǎng)上的排名是前三，使用了IPS，排名變?yōu)榱撕笕�，這使得我們受到了客戶的高度認(rèn)可。這也是我見到過的IPS的最成功的應(yīng)用。當(dāng)然現(xiàn)在還有防毒墻產(chǎn)品，它在防病毒方面更加全面，但是從性能上看，防毒墻產(chǎn)品現(xiàn)在還遠(yuǎn)遠(yuǎn)達(dá)不到上骨干線路的要求。
另外，IPS的攻擊防護(hù)雖然對絕大多數(shù)有預(yù)謀的高水平黑客來說，起不了太大的作用。但是對于“掃描器+攻擊工具”的無目標(biāo)的盲目攻擊行為（比如當(dāng)年用3389抓肉雞）來說，還是具有很好的防御能力的。而我們現(xiàn)在見到的最大量的攻擊恰恰是這種盲目攻擊。
======================================================
要效果明顯，很簡單有效的辦法就是用戶之前的環(huán)境非常糟糕，馬上就能體現(xiàn)出效果，你這個案例中，不用IPS，采用防病毒體系，和網(wǎng)關(guān)防毒墻（別是防火墻上插一張防病毒引擎卡那種）一樣效果明顯，，
3、誤報漏報問題
IDS、IPS從攻擊的發(fā)現(xiàn)機制上來說，其實都差不多，最直接最有效的就是特征匹配。其他的方法都是輔助性的。因此對于誤報問題的解決，關(guān)鍵是特征庫本身的質(zhì)量問題。同樣用Snort引擎，高手寫出的特征庫和我寫出的特征庫誤報水平肯定是天上地下。但是即使高手寫出來的東西也是有誤報的，IPS在這方面一般采用的是寧漏不誤的策略，所以過分擔(dān)心IPS誤報會阻斷正常應(yīng)用大可不必，對于一些模糊的東西，IPS根本不報。這也是IPS相對于IDS日志要少很多的原因。當(dāng)然這樣也放過了攻擊，不過如果是IDS就不放過攻擊嗎？
另外，IPS的漏洞大多針對系統(tǒng)漏洞，這些漏洞所使用的應(yīng)用絕大多數(shù)和我們的業(yè)務(wù)系統(tǒng)沒有關(guān)系。即使這樣誤報率依然沒有敢保證是0，不會中斷正常業(yè)務(wù)。具體如何，建議還是上線測試一下最保險。
=======================================================
IDS、IPS最大的問題就是誤報率（不要說IPS也可以旁路部署，那算P的IPS啊），，也正因為如此，生產(chǎn)系統(tǒng)，以及成熟安全體系中，采用IDS,， BMB17、20對于安全域邊界控制措施（信息流向的安全可控），防火墻+IDS， // 另外目前國家保密局以及其他部門也沒有對IPS的認(rèn)證（因此暫時還不需要）
4、關(guān)于性能問題
解決性能問題還是要靠硬件的發(fā)展，一個是多核CPU的應(yīng)用，現(xiàn)在在某些32核的CPU上（非X86），不加IPS規(guī)則（也就是裸機性能）的小包已經(jīng)可以做大8G了，加上1000條規(guī)則，性能基本下降10倍左右，也可以做到小包800M。（以上是我們公司RD內(nèi)部測試的結(jié)果）這還只是單顆CPU的情況。
如果加上FPGA做加速（比如正則表達(dá)式的加速，底層快轉(zhuǎn)等等），可以達(dá)到非常高的吞吐率和低延遲。不過這樣成本會高很多。
================、
道理同上
以上是一個售前對IPS、IDS的看法。歡迎拍磚！
| 歡迎光臨 Chinaunix (http://www.72891.cn/) | Powered by Discuz! X3.2 |
