39、SRX IPS：功能、模式、部署与攻击对象全解析

SRX IPS：功能、模式、部署与攻击对象全解析

1. 方向特定检测

在现代客户端/服务器应用中，流量通常有两个方向：客户端到服务器和服务器到客户端（多播除外，主要是多播服务器向客户端发送）。客户端是发起连接的设备，服务器是接受连接的设备，即使客户端向服务器上传数据也是如此。

1.1 客户端到服务器攻击

大多数管理员认为入侵防御系统（IPS）的主要功能是保护服务器基础设施免受恶意客户端发起的攻击，这些攻击旨在破坏系统或进行拒绝服务（DoS）攻击。这类攻击只有在客户端能够访问服务器时才会生效，防火墙可以帮助限制对服务器上不必要服务的访问，而 IPS 则可以检测和阻止在允许服务（如监听在 TCP 80 端口的 Web 服务器）上发起的攻击。攻击发生在从客户端到服务器的流量中。

1.2 服务器到客户端攻击

由于组织通常使用防火墙限制入站连接，攻击者改变了策略，通过各种手段（如带有恶意链接的垃圾邮件、社交网络和其他基于社会工程学的尝试）诱使受害者主动连接到他们。例如，攻击者运行一个提供恶意 HTML 页面的 Web 服务器，利用 Internet Explorer 中的 JavaScript 漏洞（如 Aurora 漏洞）。由于用户通常被允许发起出站连接，攻击者通常不用担心防火墙会阻止这种访问。攻击发生在从服务器到客户端的流量中。

2. SRX IPS 模式

SRX IPS 可以配置三种不同的模式：集成模式、专用模式和内联分流模式。

2.1 集成模式

• 处理方式 ：流量由网络处理单元（NPU，分支设备）或