IDS和IPS比较

一、引言  
由于现在有了因特网,网络安保已经成了工业企业最关注的话题。入侵检测系统(IDS)用于检测那些不需要对工业自动化控制系统(IACS)访问和操作,特别是通过网络。它是一种专用工具,知道如何分析和解释网络流量和主机活动。 IDS的主要目标是对IACS网络检测入侵和入侵企图,让网络管理员采取适当的缓解和补救措施。IDS不会阻止这些攻击,但会让用户知道什么时候发生了攻击。  此外,IDS把已知的攻击特征和相关的活动、流量、行为模式存储到数据库,当监测数据发现存储的特征与当前的特征或者行为非常接近时,通过比对就可以识别出来。这时,IDS能发出警报或警示,并搜集这些破坏活动的证据。

在这里插入图片描述

入侵检测提供了一种识别的方法,因此可以对系统的攻击进行反应。检测到攻击是一回事,阻止攻击则是另一回事。这时,最高等级的IT安保行动是防止攻击和可能的灾害;而IDS往往只能带来一点点这样的功能。因此,对入侵检测系统功能的扩展,就产生了入侵防御系统(IPS)。在当前防御能力不足的情况下,驱动了这一新的安全产品诞生,被称为入侵防御系统。
  入侵防御系统是一种网络安全设备,监控网络和系统的活动,对恶意或有害的行为可以进行实时反应,以阻止或防止这些活动带来的破坏。
  IPS是基于应用内容来决定是否能对IACS进行访问,而不是像传统的防火墙,用IP地址或端口做决定。这种系统采用的是积极的防御机制,在正常的网络信息流中检测恶意数据包并阻止其入侵,看在任何损害发生之前自动阻断恶意流量,而不是简单地提出警报,或者在恶意的有效载荷已交付之后再动作。

二、入侵检测系统
  IDS对网络信息进行分析,发现恶意活动时就立即报警。在攻击开始后他们一般都能够发出特殊报文复位TCP连接,有些甚至可以与防火墙系统连接,马上重写防火墙的规则集。
  IDS有两种基本类型,即特征型和启发型。运行在工作站上的IDS被称为主机入侵检测系统(HIDS),而那些独立在网络上运行的设备被称为网络入侵检测系统(NIDS)。 HIDS利用其主机的资源,在主机上监测信息流检测攻击。NIDS作为一种独立设备在网络上监测信息流检测攻击。 NIDS也有两种形式,特征型NIDS和启发型NIDS。这两种类型提供了不同程度的网络入侵检测。
  今天,我们可以按照IDS所监视的活动、流量、交易、或系统来区分IDS:
  " 监测网络连接和骨干寻找攻击特征的IDS被称为:基于网络的IDS,而那些在主机上运行,保卫和监视操作和文件系统入侵迹象的IDS,被称为基于主机的IDS;
  " 作为远程检测并向中央管理站报告的IDS组,被称为分布式IDS;
  " 一个网关IDS是一种网络IDS,部署在内部网络和其他网络之间,监视进出内部网络中转站的信息流。
  " 侧重于理解和分析特定应用程序逻辑以及底层协议的IDS通常被称为应用IDS。
  按照事件分析方法也可以区分不同的IDS。有的IDS主要使用特征检测技术。这与许多防病毒程序的方法类似,使用病毒特征码(特征)来识别,并阻止受感染的文件、程序或活动Web内容进入计算机。依靠当前网络流量和正常活动的差异发出入侵警告的IDS被称为异常检测系统(ADS)。这种类型的IDS通常捕捉来自网络的数据,对数据使用ADS规则检出差异。
  漏报与误报
  考虑组织机构的首要安保指标是NIDS检测攻击的准确性和准确性频率。为了确定启发型和特征型NIDS的准确率,要对这些系统的漏报和误报进行统计。误报与特征型NIDS相关。特征型NIDS需要把其数据库中的特征与进入网络的数据特征进行匹配。
  已知病毒和其他恶意代码的特征放在数据库中用于特征匹配。其结果,任何具有特征的攻击可以被准确地识别和检出。不幸的是,新创建的恶意代码或更改后的已知病毒使系统无法发现,这被称为漏报。这种缺点是特征型NIDS的缺陷,不具备检测新型攻击或改头换面攻击的能力。特征型NIDS还会误报的情况是使用过时的恶意特征,可能会对一个新的良性应用特征报警,这要到特征更新后才能消除。
  不同于特征型NIDS,启发型系统的漏报率比较低。他们不依赖特征,使用统计和行为模式做为手段,所以能够检测到新型的恶意代码。启发型NIDS使用用户、应用和其他程序文件的行为模式开发正常和不正常的行为模式,然后用来检测攻击的发生。接着,系统内用户或程序的任何行为偏差将被检出和标记,然后产生一个报警。
  不幸的是,大多数报警都是良性的,误报是导出的结果。例如,一个程序员具有系统各个方面的授权,但通常处理的是程序文件,在访问日志文件后,结果被标记和报警,因为他偏离了程序员的正常行为。高误报,这会导致系统管理员对启发型NIDS有清楚的认识,检查少则报警多。虽然,高误报率是可以解决的。按照启发型NIDS的结构,基于连续抽样统计和行为模式细化进行分析,可供使用的采样数据容量越大,区分良性应用行为与恶意应用的行为偏差的能力就越强。

三、入侵防御系统
  IPS已经成为IT安保系统中的一个强大工具和重要组件。IPS是这样一种设备:具有检测已知和未知攻击并具有成功防止攻击的能力。
  IDS技术与IPS技术有一个重要的区别。IPS技术可以对检测出的威胁进行响应,通过尝试防止攻击。按照他们使用的响应技术,可分为以下几类。
1.IPS的响应技术
  a. IPS可以阻止攻击本身。它可以使攻击的网络连接或用户会话终止,并阻止攻击者的帐号、IP地址、或其他属性。
  b. IPS可以改变安保环境。IPS可以改变安保控制的配置瓦解攻击。
  c. IPS可以改变攻击内容。IPS技术可以移去或更换攻击的恶意部分,使其成为良性报文。
2. IPS的方法
  IPS使用多种方法保护网络。
  a.基于特征的IPS
  这是许多IPS解决方案中最常用的方法。把特征添加到设备中,可识别当前最常见的攻击。这就是为什么它也被称为模式匹配IPS。特征库可以添加、调整和更新,以应对新的攻击。
  b.基于异常的IPS
  它也被称为基于行规的IPS。它试图找出偏离工程师定义为正常的活动。基于异常的方法可以用统计异常检测和非统计异常检测。基于策略的IPS:它更关心的是是否执行组织的安保策略。如果检测的活动违反了组织的安保策略就触发报警。使用这种方法的IPS,要把安全策略写入设备之中。
  c.基于协议分析的IPS
  它与基于特征的方法类似。大多数情况检查常见的特征,但基于协议分析的方法可以做更深入的数据包检查,能更灵活地发现某些类型的攻击。
  3. IPS技术
  IPS基本上有两大主流技术,基于主机和基于网络的。
  a.基于主机的IPS-HIPS
  HIPS见图1所示,HIPS监视单个主机的特性和发生在主机内可疑活动的事件。HIPS的例子可以是监视有线和无线网络信息流、系统日志、运行过程、文件访问和修改、系统和应用配置的变化。大多数HIPS具有检测软件,安装在代理的主机上。每个代理监视一台主机上的活动,并执行预防行动。代理将数据传输到管理服务器。每个代理通常用于保护服务器、台式机或笔记本电脑、或者应用服务。
  HIPS在要监视的主机上安装传感器(sensor),这会影响主机性能,因为传感器要消耗资源。
图1:基于主机的入侵防御系统

b.基于网络的IPS-NIPS
  NIPS如图2所示,NIPS监视特定网段或设备的网络流量,并分析网络、传输和应用的协议,识别可疑的活动。

图2:网络入侵防御系统

除了传感器,NIPS组件类似于HIPS技术。NIPS传感器监视和分析一个或多个网络段上的网络活动。传感器有两种格式:设备传感器,它由专门的硬件和软件组成,并针对NIPS使用进行了优化;软件传感器,可以安装到符合特定规范的主机上。
  代理部署到现有网络上的主机,这些组件通常用于网络通信,而不是用于管理网络。最常用的HIPS传感器部署到关键的主机,例如公开访问的服务器和包含敏感信息的服务器,但他们也可用于各种服务器和台式机/笔记本电脑的操作系统,以及特定的服务器应用。
  HIPS提供了多种安保功能。他们通常执行大量相关事件日志数据的检测,可以检测到多种类型的恶意活动。采用的检测技术,包括代码分析、网络流量分析、网络流量过滤、文件系统监视、日志分析和网络配置监视。使用一些检测技术的组合的HIPS,一般比使用一个或几个技术的产品具有精确的检测能力,因为每种技术可以监视主机的不同特性。文件系统监视可以防止文件被访问、修改、替换或删除,可以阻止恶意软件的安装和其他攻击以及不适当的文件访问。
  组织机构应该为他们的NIPS部署在可行时考虑使用管理网络。除了选择适当的网络组件,管理员还需要决定IPS传感器的位置。传感器可以以两种模式之一部署:内嵌传感器部署,监视的网络流量必须通过他们;无源传感器部署,他们监视的是实际网络流量的副本。
四、结论
  入侵检测系统IDS,对网络信息流进行分析,发现恶意活动时生成警报。他们一般都能够在攻击开始后发出特殊报文复位TCP连接,有的甚至能够与防火墙系统连接,在线重新编写防火墙规则集。
  IDS的局限性是不能反击网络攻击,因为IDS传感器基于数据包嗅探技术,只能眼睁睁地看着网络信息流过。IPS可执行IDS相同的分析,因为他们可以插入网内,装在网络组件之间,而且他们可以阻止恶意活动。
  这是IDS和IPS之间的最大差别,如何使用具有非常重要的意义。由于IPS传感器需要流量流过,他们只能部署在网络咽喉点,而IDS传感器可以提供更广泛的网络覆盖。

### 入侵检测系统 (IDS) 入侵防御系统 (IPS) 的概念及区别 #### 定义与基本功能 入侵检测系统(Intrusion Detection System, IDS)是一种用于监视网络或计算机系统中的活动,以识别潜在的安全威胁的技术。IDS 主要负责收集分析来自不同源的数据流,以便及时发现任何可疑的行为模式,并向管理员发送警告通知[^2]。 相比之下,入侵预防系统(Intrusion Prevention System, IPS)不仅能够执行上述所有的监控任务,还能够在检测到恶意行为时立即采取行动阻止这些行为的发生。这意味着 IPS 不仅可以感知可能存在的风险,还可以通过配置防火墙规则或其他手段自动实施保护措施来防止攻击成功渗透进入受保护环境之中[^4]。 #### 工作原理 - **IDS的工作流程** - 数据采集:从多个位置获取实时流量信息; - 行为分析:利用签名匹配、统计异常等多种技术手段评估是否存在违规操作; - 报警机制:一旦确认存在安全隐患,则触发相应的告警信号给相关人员处理; - **IPS的操作逻辑** - 实施相同的前期步骤——即数据捕捉与解析之后, - 当判定某项活动构成严重危害时,会即时启动预设好的响应计划,如阻断连接请求或者调整访问控制列表ACLs等动作,从而有效遏制住正在发生的侵害尝试[^3]。 #### 部署方式及其影响因素 对于IDS而言,通常有两种主要形式: - 基于主机的HIDS安装在特定服务器上运行,专注于本地文件完整性验证以及应用程序层面的日志审查等工作; - 而NIDS则是分布式的架构设计,它可以在整个企业内部网范围内监听所有进出通信链路的状态变化情况,适用于更广泛的范围内的安全态势感知需求[^1]。 至于IPS,在大多数情况下会被串联接入核心交换设备之间作为在线组件运作,这样做的好处是可以直接干预并过滤掉那些被标记成危险级别的传输单元而不必等待后续的人工介入决策过程完成后再做处置。 #### 性能考量与其他特性对比 由于IDS主要是起到预警的作用而不是直接参与对抗,因此一般不会对现有业务造成太大干扰;相反地,如果选择了性能不佳或是误判率较高的IPS产品的话,则有可能因为频繁中断正常服务而导致用户体验下降甚至引发运营事故的风险增加。另外值得注意的是成本方面也会有所不同,一般来说具备更多高级特性的综合型防护方案往往伴随着更高的采购费用支出。 ```python # Python伪代码表示简单的IDS报警逻辑 def ids_alert(log_entry): if is_suspicious_activity(log_entry): # 判断是否有可疑活动 send_alert_to_admin() # 发送警告给管理员 # Python伪代码表示简单的IPS拦截逻辑 def ips_intercept(packet): if packet_is_malicious(packet): # 如果数据包被认为是恶意的 drop_packet_and_log_event() # 执行丢弃该数据包的动作并记录事件 ```
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值