内容安全(IPS入侵检测)

入侵检测系统( IDS )---- 网络摄像头,侧重于风险管理,存在于滞后性,只能够进行风险发现,不能及时制止。而且早期的IDS误报率较高。优点则是可以多点进行部署,比较灵活,在网络中可以进行并联部署,对网络的影响小。

入侵防御系统( IPS )

IDS --- 侧重于风险管理的设备
IPS --- 侧重于风险控制的设备
IPS要接入网络中,需要进行串联部署,在后期加入时,可能会影响网络部署,导致流量中断,所以一般来说会提前部署好连接位置。

IPS的优势:

  1. 实时的阻断攻击
  2. 深层防护 --- 深入到应用层(IPS和IDS的工作范围都是2~7层)
  3. 全方位的防护 --- IPS可以针对各种常见威胁做出及时的防御,提供全方位的防护(针对各种的行为)
  4. 内外兼防 --- 只要是通过设备的流量均可以进行检测,可以防止发自于内部的攻击
  5. 可以不断升级,精准防护

入侵检测的方法: 异常检测、误用检测

异常检测:

**基于一个假定,即用户行为是可以预测的,遵循一致性模式的。**例如:一个人每天一般上三次,这是一个假定性的正常规律,可能会有上下的微小浮动,不会被认为异常。但是如果他一天上了100次厕所,则标准偏离过大,则会被入侵检测认为异常。

误用检测:

误用检测其实就是创建了一个异常行为的特征库(常规手段)。 我们将一些入侵行为记录下来,总结成为特征,之后,检测流量和特征库进行对比,来发现威胁。

异常检测和误用检测的对比:

签名

针对网络上的入侵行为特征的描述,将这些特征通过HASH后和报文进行比对。

预定义签名

设备上自带的特征库,这个需要我们激活对应的License(许可证)后才能获取,需要付费。这个预定义签名库激活后,设备可以通过连接华为的安全中心进行升级。

自定义签名

自己定义威胁特征。
自定义签名和预定义签名可以执行的动作 :
告警 --- 对命中签名的报文进行放行,但是会记录在日志中
阻断 --- 对命中签名的报文进行拦截,并记录日志
放行 --- 对命中签名的报文放行,不记录日志
这里以华为的防火墙USG6000V1为例:


注意:这里在进行更改时,一定要注意提交,否则配置不生效。修改的配置需要在提交后重启
模块后生效

总结:

1、在进行IPS模块检测之前,首先需要重组IP分片报文和TCP数据流,以此增加检测的精准性。
2、在此之后需要进行应用协议的识别。这样做主要为了针对特定的应用进行对应精细的解码,并深入报文提取特征。
3、最后,解析报文特征和签名(特征库里的特征)进行匹配。再根据命中与否做出对应预设的处理方案。
相关推荐
newxtc1 小时前
【支付行业-支付系统架构及总结】
安全·支付宝·第三方支付·风控系统·财付通
newxtc1 小时前
【旷视科技-注册/登录安全分析报告】
人工智能·科技·安全·ddddocr
成都古河云1 小时前
智慧场馆:安全、节能与智能化管理的未来
大数据·运维·人工智能·安全·智慧城市
Gworg1 小时前
您与此网站之间建立的连接不安全解决方法
安全
ac-er88882 小时前
MySQL如何实现PHP输入安全
mysql·安全·php
jjyangyou6 小时前
物联网核心安全系列——物联网安全需求
物联网·算法·安全·嵌入式·产品经理·硬件·产品设计
AltmanChan6 小时前
大语言模型安全威胁
人工智能·安全·语言模型
马船长6 小时前
红帆OA iorepsavexml.aspx文件上传漏洞
安全
hikktn14 小时前
如何在 Rust 中实现内存安全:与 C/C++ 的对比分析
c语言·安全·rust
23zhgjx-NanKon16 小时前
华为eNSP:QinQ
网络·安全·华为