【计算机网络入侵防护系统】IPS

学渣67656

已于 2025-03-29 09:17:55 修改

阅读量780

点赞数 21

文章标签：计算机网络网络

于 2025-03-26 16:50:57 首次发布

本文链接：https://blog.youkuaiyun.com/ZHY0091/article/details/146534622

版权

IPS系统详解

IPS（入侵防护系统）的核心组成与功能

IPS（Intrusion Prevention System）通过实时监控和阻断攻击行为保护系统安全，其核心组件包括：

嗅探器：捕获网络数据包，分析协议类型并暂存数据。
检测分析组件：识别数据包中的攻击特征（如签名匹配、行为分析）。
策略执行组件：根据分析结果执行阻断、告警或放行动作。
状态开关：动态调整系统防御状态（如切换检测模式）。
日志系统：记录攻击事件和操作日志。
控制台：提供管理界面，配置策略和查看告警。

主要IPS类型与区别

类型	名称	部署位置	防护重点	典型应用场景
HIPS	基于主机的入侵防御系统	安装在单个主机（如服务器）	主机本地行为：文件篡改、恶意进程、异常登录	防御本地提权攻击、恶意软件行为监控
NIPS	基于网络的入侵防护系统	网络边界（防火墙与路由器间）	网络层攻击：DDoS、SYN Flooding、IP欺骗	阻断网络流量洪泛、过滤异常数据包
AIPS	应用入侵防护系统	应用服务器前端（如负载均衡器）	应用层攻击：SQL注入、XSS、Cookie篡改	深度检测HTTP请求，保护Web应用安全

各IPS系统的核心特点

HIPS（基于主机）
- 优势：细粒度监控主机行为，可防御操作系统级漏洞利用（如缓冲区溢出）。
- 局限：无法处理网络层攻击（如DDoS），依赖主机资源。
NIPS（基于网络）
- 优势：全局防护，高效应对大规模网络攻击。
- 局限：对加密流量（HTTPS）和应用层攻击（如SQL注入）检测能力有限。
AIPS（基于应用）
- 优势：专注应用层逻辑安全，拦截恶意HTTP请求（如参数篡改、代码注入）。
- 局限：需深度解析应用协议，可能影响性能。

IPS系统的协同工作

分层防御：
- NIPS 阻断网络层攻击（如Smurf攻击）。
- AIPS 拦截应用层攻击（如SQL注入）。
- HIPS 保护主机免受本地恶意行为侵害。
互补性：NIPS与AIPS结合可覆盖网络到应用的全栈防护，HIPS补充主机级安全。

总结

HIPS：主机安全的“最后一道防线”。
NIPS：网络流量的“守门员”。
AIPS：Web应用的“内容审查官”。
三者共同构建纵深防御体系，应对不同层级的威胁。

AIPS（应用入侵防护系统）

定义与功能：
AIPS（Application Intrusion Prevention System）是一种专注于应用层安全防护的系统，通常部署在应用服务器前端（如负载均衡器或Web服务器前），通过深度解析应用协议（如HTTP/HTTPS），识别并阻断针对应用程序的恶意攻击。

主要防护层次：应用层（如HTTP/HTTPS协议）。
典型功能：
- 检测并拦截应用层攻击（如SQL注入、跨站脚本XSS）。
- 防止参数篡改、Cookie篡改等数据操纵行为。
- 过滤恶意文件上传或非法API请求。
优势：
- 精准防护应用逻辑漏洞，保护业务核心功能。
- 支持深度内容检测（如解析JSON/XML数据）。
局限性：
- 对加密流量（如HTTPS）需依赖解密能力，可能增加延迟。
- 高频请求场景下可能影响性能（需硬件加速优化）。

应用场景：

防御Web应用攻击（如电商平台、金融系统的SQL注入）。
API网关防护，确保微服务架构下的接口安全。
企业级Web服务器前端部署，保障在线业务连续性。

NIPS（基于网络的入侵防护系统）

定义与功能：
NIPS（Network-based Intrusion Prevention System）是一种部署在网络边界或关键节点的安全设备，通过实时监控和分析网络流量，识别并阻断恶意攻击。

主要防护层次：网络层、传输层（如TCP/IP协议）。
典型功能：
- 过滤恶意数据包（如SYN Flooding、Smurf攻击）。
- 阻断异常连接（如DDoS攻击的流量洪泛）。
- 检测网络层协议漏洞（如IP欺骗、ICMP泛洪）。
优势：
- 全局防护，保护整个网络。
- 高效应对大规模流量型攻击。
局限性：
- 难以检测应用层攻击（如HTTP请求中的Cookie篡改）。
- 对加密流量（如HTTPS）的检测能力有限。

应用场景：

防御DDoS攻击、SYN Flooding、Smurf攻击等网络层攻击。
企业网关、防火墙旁路部署。

HIPS（基于主机的入侵防御系统）

定义与功能：
HIPS（Host-based Intrusion Prevention System）是安装在单个主机（如服务器、PC）上的安全软件，监控主机的系统行为、文件操作和进程活动。

主要防护层次：应用层、操作系统层。
典型功能：
- 阻止缓冲区溢出攻击（如利用漏洞的恶意代码执行）。
- 检测异常登录行为（如暴力破解口令）。
- 监控文件篡改（如恶意软件修改系统文件）。
优势：
- 细粒度防护，直接保护主机资源。
- 可防御针对操作系统的本地攻击。
局限性：
- 无法防御网络层攻击（如DDoS）。
- 对传输中的内容篡改（如网络传输的Cookie篡改）无能为力。

应用场景：

防御本地提权攻击、恶意软件行为、未经授权的配置更改。
服务器、终端设备（如个人电脑）的安全防护。

NIPS 与 HIPS 的核心区别

维度	NIPS	HIPS
防护层级	网络层、传输层	应用层、操作系统层
部署位置	网络边界（如路由器、交换机）	单个主机（如服务器、PC）
防御目标	网络流量中的攻击行为	主机本地行为和资源访问
典型攻击防御	DDoS、SYN Flooding、IP欺骗	缓冲区溢出、恶意进程、文件篡改
加密流量处理	弱（依赖解密或签名匹配）	不涉及（仅本地行为）

为何两者均难防御 Cookie 篡改攻击？

Cookie 篡改属于应用层攻击（如通过中间人攻击或XSS篡改HTTP请求中的Cookie）：

NIPS：若流量加密（HTTPS），无法解析内容；即使未加密，深度包检测（DPI）可能遗漏复杂篡改逻辑。
HIPS：仅监控主机本地行为（如文件修改），无法干预传输过程中的数据篡改。

需结合应用层防护（如WAF、API网关）：

Web应用防火墙（WAF）可检测HTTP请求中的异常参数或Cookie篡改。
代码级防护（如输入验证、加密签名）是最终解决方案。

在这里插入图片描述

在以下攻击手段中，基于网络的入侵防护系统（NIPS）和基于主机的入侵防御系统（HIPS）都难以阻断的是 Cookie 篡改攻击（B）。以下是相关知识点解析：

各选项分析：

SYN Flooding 攻击（A）
这是典型的网络层 DDoS 攻击，利用 TCP 三次握手的漏洞发送大量伪造的 SYN 包。NIPS 可以通过流量监控、限制连接数等方式有效缓解，而 HIPS 由于聚焦于主机行为，难以应对网络层的洪水攻击。因此，NIPS 有一定防御能力，不满足题意。
Cookie 篡改攻击（B）
这是应用层攻击（如通过中间人攻击或 XSS 篡改 Cookie 内容）。
- NIPS：若流量未加密，可能通过深度包检测（DPI）发现异常，但 HTTPS 加密流量会使其失效。
- HIPS：通常无法监控传输过程中的数据篡改，仅能检测本地 Cookie 文件的异常修改。
  两者均难以有效阻断此类攻击，尤其在加密或复杂应用层攻击场景下，故 符合题意。
DDoS（C）
分布式拒绝服务攻击通常依赖大规模流量压垮目标。NIPS 可通过流量清洗、黑洞路由等手段缓解，而 HIPS 难以处理网络层洪泛攻击。虽然大规模 DDoS 可能超出 NIPS 能力，但题目未特指极端情况，不优先选此选项。
Smurf 攻击（D）
这是利用 ICMP 协议和广播地址的放大攻击。NIPS 可通过过滤 ICMP 流量或阻止 IP 欺骗进行防御，而 HIPS 对此类网络层攻击作用有限。NIPS 有一定防护能力，不满足题意。

结论：

Cookie 篡改攻击（B） 因涉及应用层内容篡改（尤其是加密流量），超出 NIPS 和 HIPS 的常规防护范围，成为两者均难以阻断的攻击类型。

答案：B、Cookie 篡改攻击

以下是题目中提到的攻击手段及其对应的防护层级与系统总结：

攻击类型与防御系统分类

攻击类型	攻击层级	NIPS 防御能力	HIPS 防御能力	需依赖的防护系统
SYN Flooding 攻击	网络层（TCP 洪水）	✔️（流量过滤）	❌（无法应对）	NIPS
Smurf 攻击	网络层（ICMP 泛洪）	✔️（过滤欺骗包）	❌（无法应对）	NIPS
DDoS	网络层/传输层	✔️（流量清洗）	❌（无法应对）	NIPS + 云防护（如 CDN）
SQL 注入攻击	应用层（HTTP 请求）	❌（无法解析内容）	❌（不涉及传输）	应用入侵防护系统 (AIPS)
Cookie 篡改攻击	应用层（数据篡改）	❌（加密流量盲区）	❌（仅监控本地）	应用入侵防护系统 (AIPS)

为何 NIPS 和 HIPS 难以阻断应用层攻击？

NIPS 的局限性：
- 主要监控网络流量，依赖协议分析和签名匹配。
- **应用层攻击（如 SQL 注入、Cookie 篡改）**需解析 HTTP 请求内容，NIPS 对加密流量（HTTPS）或复杂应用逻辑无能为力。
HIPS 的局限性：
- 仅监控主机本地行为（如文件修改、进程活动）。
- 无法干预传输中的数据篡改（如网络传输中的 SQL 恶意代码注入）。

防御应用层攻击的关键

需结合 应用层防护系统（AIPS） 或 Web 应用防火墙（WAF）：

功能：深度解析 HTTP 请求，检测异常参数、SQL 代码嵌入、Cookie 篡改等。
示例：
- SQL 注入 → 通过输入验证、预编译语句防御。
- Cookie 篡改 → 使用加密签名（如 JWT）或 HTTPS 全程加密。

答案：C、C类

解析

根据 可信计算机系统评估准则（TCSEC），系统安全级别从低到高分为四类（D、C、B、A），其中：

C类（自主保护类）：
- C1级：要求系统具备 自主访问控制（DAC），用户可定义访问权限（如文件读写权限），并需身份验证登录。
- C2级：在 C1 基础上增加 审计和验证机制（如记录用户操作日志）。
题目关键点：“用户能定义访问控制要求”直接对应 C类的自主保护特性。

其他类别说明

类别	描述
D类	最低保护，无安全措施（如早期个人电脑）。
B类	强制安全保护（MAC），基于安全标签控制访问（如军事系统）。
A类	最高安全级别，需形式化验证模型和硬件安全设计（如高可信系统）。