原帖由 ayazero 于 2007-4-12 14:20 发表
IPS如何实现IPS的功能？
作为一个串联设备，7层协议解包，payload和（>1000）条规则进行hash匹配，延迟能让客户端觉得可以接受，什么误报漏报也就别提了，就这样的设备能够一直工作我就挺怀疑的
我觉得以 ...
原帖由 ayazero 于 2007-4-5 17:15 发表
宁愿用IDS也不用IPS
原帖由 chinaunix_li 于 2007-4-6 10:14 发表
WHY?
听说IPS具备IDS和网络漏洞扫描两个功能。
不知道是否正确？
原帖由 ayazero 于 2007-4-12 14:20 发表
IPS如何实现IPS的功能？
作为一个串联设备，7层协议解包，payload和（>1000）条规则进行hash匹配，延迟能让客户端觉得可以接受，什么误报漏报也就别提了，就这样的设备能够一直工作我就挺怀疑的
我觉得以 ...
原帖由 ayazero 于 2007-4-12 14:20 发表
IPS如何实现IPS的功能？
作为一个串联设备，7层协议解包，payload和（>1000）条规则进行hash匹配，延迟能让客户端觉得可以接受，什么误报漏报也就别提了，就这样的设备能够一直工作我就挺怀疑的
我觉得以 ...
原帖由 ayazero 于 2007-4-12 14:20 发表
IPS如何实现IPS的功能？
作为一个串联设备，7层协议解包，payload和（>1000）条规则进行hash匹配，延迟能让客户端觉得可以接受，什么误报漏报也就别提了，就这样的设备能够一直工作我就挺怀疑的
我觉得以 ...
alert tcp $EXTERNAL_NET any -> $SMTP_SERVERS 25
(msg:"SMTP sendmail 8.6.9 exploit";
flow:to_server,established;
content:"|0a|Croot|0a|Mprog";
reference:arachnids,142; reference:cve,CVE-1999-0204;
classtype:attempted-user;
sid:669;
rev:4;)
原帖由 ttvast 于 2007-7-5 23:34 发表
IDS有用吗?IDS是第一个被我CANCEL的设备,IPS就更加不用考虑了.
IDS能报的攻击,都是无法成功的攻击.
原帖由 ayazero 于 2007-4-12 14:20 发表
IPS如何实现IPS的功能？
作为一个串联设备，7层协议解包，payload和（>1000）条规则进行hash匹配，延迟能让客户端觉得可以接受，什么误报漏报也就别提了，就这样的设备能够一直工作我就挺怀疑的
我觉得以 ...
原帖由 ayazero 于 2007-4-12 14:20 发表
还有在当前的安全趋势下，想通过网关设备一劳永逸是根本不切实际的 ...
原帖由 unsword 于 2007-8-1 16:12 发表
没有看到一个真正懂IPS 与 IDS的人发言 。 楼上所有的讨论均为外行话语。
一些根本不懂IPS、IDS的人在讨论这2个东西的有点缺点，还有一些自以为很懂的人在忽悠人。
要弄明白什么是IPS，至少要在 FPGA、E ...
原帖由 unsword 于 2007-8-1 16:12 发表
没有看到一个真正懂IPS 与 IDS的人发言 。 楼上所有的讨论均为外行话语。
一些根本不懂IPS、IDS的人在讨论这2个东西的有点缺点，还有一些自以为很懂的人在忽悠人。
要弄明白什么是IPS，至少要在 FPGA、E ...
原帖由 zeroflag 于 2008-3-11 12:20 发表
看了半天，真的没有太专业的技术回复呀。估计这里面真正从事IDS/IPS研发的很少。本人水平不高，也就是个售前而已。我想抛开技术层面不看，单纯从IDS/IPS的实际应用角度说说我的看法。
1、从实际的应用效果来看，IPS其实是要远远高于IDS的。
========================================================
得出这个结论，那是根据你的客户群的特点，客户本来就是分类的，肯定有适合需要IPS的，就如同你举例的， 请不要用 “从实际的应用效果来看” ，在石油，金融，电信，，和军工，以及军工制造型企业里，不太适用你这句结论
2、IPS的有效应用是什么
目前看来IPS最有效的应用其实是防范网络病毒的大规模传播。这是因为大规模传播的病毒所采用的攻击方式大多具有非常明显的特征，用IPS识别并阻断是非常有效的。我们某省公安厅的客户，在使用IPS之前，其病毒上传到公安国干网上的排名是前三，使用了IPS，排名变为了后三，这使得我们受到了客户的高度认可。这也是我见到过的IPS的最成功的应用。当然现在还有防毒墙产品，它在防病毒方面更加全面，但是从性能上看，防毒墙产品现在还远远达不到上骨干线路的要求。
另外，IPS的攻击防护虽然对绝大多数有预谋的高水平黑客来说，起不了太大的作用。但是对于“扫描器+攻击工具”的无目标的盲目攻击行为（比如当年用3389抓肉鸡）来说，还是具有很好的防御能力的。而我们现在见到的最大量的攻击恰恰是这种盲目攻击。
======================================================
要效果明显，很简单有效的办法就是用户之前的环境非常糟糕，马上就能体现出效果，你这个案例中，不用IPS，采用防病毒体系，和网关防毒墙（别是防火墙上插一张防病毒引擎卡那种）一样效果明显，，
3、误报漏报问题
IDS、IPS从攻击的发现机制上来说，其实都差不多，最直接最有效的就是特征匹配。其他的方法都是辅助性的。因此对于误报问题的解决，关键是特征库本身的质量问题。同样用Snort引擎，高手写出的特征库和我写出的特征库误报水平肯定是天上地下。但是即使高手写出来的东西也是有误报的，IPS在这方面一般采用的是宁漏不误的策略，所以过分担心IPS误报会阻断正常应用大可不必，对于一些模糊的东西，IPS根本不报。这也是IPS相对于IDS日志要少很多的原因。当然这样也放过了攻击，不过如果是IDS就不放过攻击吗？
另外，IPS的漏洞大多针对系统漏洞，这些漏洞所使用的应用绝大多数和我们的业务系统没有关系。即使这样误报率依然没有敢保证是0，不会中断正常业务。具体如何，建议还是上线测试一下最保险。
=======================================================
IDS、IPS最大的问题就是误报率（不要说IPS也可以旁路部署，那算P的IPS啊），，也正因为如此，生产系统，以及成熟安全体系中，采用IDS,， BMB17、20对于安全域边界控制措施（信息流向的安全可控），防火墙+IDS， // 另外目前国家保密局以及其他部门也没有对IPS的认证（因此暂时还不需要）
4、关于性能问题
解决性能问题还是要靠硬件的发展，一个是多核CPU的应用，现在在某些32核的CPU上（非X86），不加IPS规则（也就是裸机性能）的小包已经可以做大8G了，加上1000条规则，性能基本下降10倍左右，也可以做到小包800M。（以上是我们公司RD内部测试的结果）这还只是单颗CPU的情况。
如果加上FPGA做加速（比如正则表达式的加速，底层快转等等），可以达到非常高的吞吐率和低延迟。不过这样成本会高很多。
================、
道理同上
以上是一个售前对IPS、IDS的看法。欢迎拍砖！
| 欢迎光临 Chinaunix (http://bbs.chinaunix.net/) | Powered by Discuz! X3.2 |
