檢測、防御兩生花-《中國計算機用戶》

“IDS（入侵檢測系統(tǒng)）和IPS（入侵防御系統(tǒng)）誰更滿足用戶需求”這個問題，給人一個二選一的感覺。自從2003年，Gartner公司副總裁Richard Stiennon發(fā)表的一份《入侵檢測已壽終正寢，入侵防御將萬古長青》的報告開始，安全業(yè)界被掀起不小的波動，對此業(yè)界也經(jīng)過了長時間的文字爭論。隨著2006年IDC年度安全市場報告明確指出IDS和IPS是兩個獨立的市場，以及觀看近來的產(chǎn)品開發(fā)和市場反饋，冷靜的業(yè)界人士和客戶已經(jīng)看到這根本不是一個二選一的問題。

?

但是IDS和IPS雙方廠商鋪天蓋地的市場宣傳只能使這個問題的答案更不清晰，而最倒霉的就是那些安全管理員了，他們無法確定怎樣部署產(chǎn)品最適合自己的環(huán)境。追根溯源，業(yè)界之所以產(chǎn)生IDS與IPS之爭，與前幾年IDS居高不下的誤報率和漏報率有關(guān)，使用戶傷透了腦筋。

?

但對于IDS的功過，用戶總是各執(zhí)一詞。中國人民銀行的專家表示，隨著企業(yè)網(wǎng)絡(luò)結(jié)構(gòu)的不斷擴大和日益復(fù)雜，由內(nèi)部員工違規(guī)引起的安全問題變得突出起來，防火墻、防病毒等常規(guī)的安全手段只能對付外部入侵，對內(nèi)部違規(guī)行為卻無能為力，而IDS可以審計跟蹤內(nèi)部違反安全策略的行為，可以記錄、報警各種安全事件，有利于進行安全審計和事后追蹤，對于追溯和阻止拒絕服務(wù)攻擊能夠提供有價值的線索。

?

而某經(jīng)濟研究院的信息中心劉主任表示，IDS的誤報率太高，只要一開機，便響個不停，在每天發(fā)出的上萬條的報警信息中，真正有價值的信息卻寥寥無幾，而要從上萬條信息中挖掘出有用的信息費時又費力。通常需要設(shè)立專人負(fù)責(zé)管理IDS，也正是這種現(xiàn)狀迫使廠商進行技術(shù)革新，于是，能預(yù)防攻擊的IPS技術(shù)應(yīng)運而生。

?

對此，啟明星辰產(chǎn)品管理中心總工萬卿如此描述兩者間的區(qū)別：“IDS是評估幫助用戶自我認(rèn)知的，而IPS或者防火墻等這些設(shè)備，是改善控制環(huán)境的。”

?

IPS雖然與IDS同出一源，其實分屬不同陣營。

?

為了達到全面檢測網(wǎng)絡(luò)安全狀況的目的，IDS需要部署在網(wǎng)絡(luò)內(nèi)部的中心點，需要能夠觀察到所有網(wǎng)絡(luò)數(shù)據(jù)。如果信息系統(tǒng)中包含了多個邏輯隔離的子網(wǎng)，則需要在整個信息系統(tǒng)中實施分布部署，即每個子網(wǎng)部署一個入侵檢測分析引擎，并統(tǒng)一進行引擎的策略管理以及事件分析，以達到掌控整個信息系統(tǒng)安全狀況的目的。

?

而為了實現(xiàn)對外部攻擊的防御，IPS需要部署在網(wǎng)絡(luò)的邊界。這樣所有來自外部的數(shù)據(jù)必須串行通過IPS，IPS即可實時分析網(wǎng)絡(luò)數(shù)據(jù)，發(fā)現(xiàn)攻擊行為立即予以阻斷，保證來自外部的攻擊數(shù)據(jù)不能通過網(wǎng)絡(luò)邊界進入網(wǎng)絡(luò)。

?

如上分析，IDS的核心價值在于通過對全網(wǎng)信息的分析，了解信息系統(tǒng)的安全狀況，進而指導(dǎo)信息系統(tǒng)安全建設(shè)目標(biāo)以及安全策略的確立和調(diào)整，而IPS的核心價值在于安全策略的實施—對黑客行為的阻擊；IDS需要部署在網(wǎng)絡(luò)內(nèi)部，監(jiān)控范圍可以覆蓋整個子網(wǎng)，包括來自外部的數(shù)據(jù)以及內(nèi)部終端之間傳輸?shù)臄?shù)據(jù)，IPS則必須部署在網(wǎng)絡(luò)邊界，抵御來自外部的入侵，對內(nèi)部攻擊行為無能為力。明確了這些區(qū)別，用戶就可以比較理性的進行產(chǎn)品類型選擇：

?

若用戶計劃在一次項目中實施較為完整的安全解決方案，則應(yīng)同時選擇和部署IDS和IPS兩類產(chǎn)品。如可以在全網(wǎng)部署IDS，在網(wǎng)絡(luò)的邊界點部署IPS。

?

但無論采用哪種技術(shù)，目的都是為了確保提升準(zhǔn)確性，最大程度地保護用戶的網(wǎng)絡(luò)系統(tǒng)。