16、深入了解 IDS/IPS/IDP：概念、问题与应对策略

深入了解 IDS/IPS/IDP：概念、问题与应对策略

事件背景引入

早上 7:30 到公司，高级副总裁就质问前一晚公司网络被黑客攻击的情况。“Crank - n - Tr00ders”在公司内联网页面留下痕迹，还入侵了电子邮件服务器，获取了包含公司全体员工社保号码的内部邮件。此前已收到网络安全工程师的深夜来电，虽想责备工程师未锁定网络，但也意识到自己也有责任。到办公室查看工程师每日发送的前一日攻击报告，以往觉得这些报告是噪音，这次查看上月总结报告，发现特洛伊木马的源 IP 地址已对公司网络进行主机扫描超一个月，说明入侵检测与预防（IDP）系统虽发挥了一定作用，但仍有疏漏。

IDS/IPS/IDP 基础概念

• IDS 的发展与功能 ：检测入侵的概念由来已久，早期网络工程师喜爱的《杜鹃的蛋》就记载了 Cliff Stoll 使用点阵打印机记录劳伦斯伯克利国家实验室系统被黑客攻击尝试的 tty 流量。如今的入侵检测系统（IDS）具备智能，通过将流量与一组给定的签名进行比较来检测攻击。最初以线速进行此操作存在问题，但如今大多数供应商已克服。IDS 在大多数公司的安全架构中扮演重要角色，为站点的进出流量提供窗口，符合网络保护的深度防御模型，是安全工具包中的必要工具，但需正确使用。
• IDP 系统现状 ：大多数商业 IDP 实现是作为现有设备的附加组件。很多人曾认为 IDP 系统能解决防火墙的局限性，但实际上它们表现平平，仅具备简单的被动取证能力和排查不必要流量的功能。尽管理念不同，但 IDP 系统在当今大多数网络中是现实存在的，面试中可能会被问到相关问题。