天清入侵防御系統(tǒng)產(chǎn)品白皮書(編輯修改稿)
2024-08-30 11:17 本頁面
【文章內(nèi)容簡介】 面貌出現(xiàn)。除了深層攻擊行為這些自身的特點外，越來越多的業(yè)務(wù)應(yīng)用，也增加了判斷攻擊行為的難度：到底是正常的應(yīng)用還是是違規(guī)的應(yīng)用呢？如何更好的實現(xiàn)對這些深層攻擊的防御，是入侵防御系統(tǒng)需要解決的問題。深層需要高效和準(zhǔn)確，防御則意味著及時的阻斷，深層防御需要兼顧兩者。 精確阻斷啟明星辰認(rèn)為：深層防御之道，精確阻斷為先。精確阻斷是深層防御的先決條件：沒有實現(xiàn)對攻擊行為的準(zhǔn)確判斷，誤阻斷了正常業(yè)務(wù)或者是沒有阻斷那些隱藏的、變形的攻擊行為，都將給客戶帶來巨大的損失。而深層防御也對精確阻斷提出了更高的要求：不能對新的攻擊行為實現(xiàn)精確的阻斷，深層防御就無從談起。深層防御、精確阻斷，是天清入侵防御系統(tǒng)客戶價值的核心。第3章 產(chǎn)品技術(shù)特點 串行防御和免疫防護(hù)天清入侵防御系統(tǒng)支持串行接入模式，串接在網(wǎng)絡(luò)當(dāng)中，以邊界防護(hù)設(shè)備的形式接入網(wǎng)絡(luò)，任何對受保護(hù)網(wǎng)絡(luò)的訪問數(shù)據(jù)都將穿過防御引擎。其標(biāo)準(zhǔn)的接入方式如下圖所示：圖2：串接模式的部署和傳統(tǒng)入侵檢測設(shè)備不同的串接模式，加強(qiáng)了實時防御功能。和傳統(tǒng)的邊界防護(hù)設(shè)備防火墻相比，兩者的區(qū)別如下圖所示：圖3：防火墻和IPS的不同阻斷在發(fā)現(xiàn)攻擊行為之后，天清入侵防御系統(tǒng)可以主動的阻斷這些攻擊行為，對內(nèi)部網(wǎng)絡(luò)的系統(tǒng)實現(xiàn)免疫防護(hù)。即使內(nèi)部系統(tǒng)存在相應(yīng)的風(fēng)險漏洞也可以由入侵防御引擎來將實現(xiàn)先于攻擊達(dá)成的防護(hù)。 高效的數(shù)據(jù)處理性能天清入侵防御系統(tǒng)有一個顯著的特點就是可以支持串行接入模式。正如很多邊界防護(hù)設(shè)備一樣，串行的接入模式需要面對的一個主要問題是如何使設(shè)備不成為網(wǎng)絡(luò)傳輸?shù)钠款i。天清入侵防御系統(tǒng)在原有的高性能報文處理架構(gòu)之上，還采用了如下技術(shù)來確保傳輸性能：n POLL技術(shù)：在通常的系統(tǒng)中，數(shù)據(jù)處理都是采用中斷響應(yīng)機(jī)制來進(jìn)行的。采用中斷在數(shù)據(jù)包較少的情況下，是一個比較好的解決方案，但在數(shù)據(jù)量較大的情況下，尤其是在千兆級環(huán)境下，處理大量中斷所消耗的系統(tǒng)資源是相當(dāng)可觀的，我們在這里采用了輪詢方式的poll技術(shù)，CPU一直保持工作狀態(tài)，而并且等待喚醒狀態(tài)，以節(jié)約在大數(shù)據(jù)量情況下的CPU開銷。在對數(shù)據(jù)包的轉(zhuǎn)發(fā)中采用poll技術(shù)，可以確保較低的傳輸時延。n 驅(qū)動的內(nèi)部無鎖技術(shù)：常見的數(shù)據(jù)結(jié)構(gòu)有這么三種：堆棧、隊列和樹。在不同的情況下，采用不同的數(shù)據(jù)結(jié)構(gòu)，我們對捕獲后的數(shù)據(jù)的存儲方式采用的是環(huán)狀隊列，也就是說，無需等待中斷，隨時都可以從存儲空間中實時獲得可進(jìn)行分析的數(shù)據(jù)，n 自適應(yīng)的CPU負(fù)載均衡技術(shù)：我們將每一個實際的CPU都虛擬成了多個虛擬的CPU，分別用于處理不同的事務(wù)：分別處理中斷、檢測和通訊等。以上這三項技術(shù)的協(xié)同應(yīng)用，使得天清入侵防御系統(tǒng)在數(shù)據(jù)包的處理性能方面有著出眾的表現(xiàn)。其微秒級的分析時延，完全可以適應(yīng)電信級用戶網(wǎng)絡(luò)環(huán)境需求。 權(quán)威性的檢測特征庫啟明星辰認(rèn)為，基于誤用的檢測方法其核心就是檢測特征（signature）的提取，構(gòu)造一個好的入侵防御系統(tǒng)，依賴于能否準(zhǔn)確地提取和描述檢測特征。特別是在串行環(huán)境下，明晰而精確的檢測特征將會是決定保護(hù)措施優(yōu)劣的重要砝碼。天清入侵防御系統(tǒng)在提煉檢測特征的時候采用了如下兩種方式：方式A：基于漏洞機(jī)理的分析方法。利用漏洞機(jī)理的方法來提取和定義特征，可以實現(xiàn)檢測和具體攻擊工具的無關(guān)性，特別對于防止新型變種的攻擊和攻擊工具改造非常有效。方式B：基于攻擊過程的分析方法。攻擊過程分析法則是完全站在攻擊者的角度，破析完整的攻擊過程，可以判斷攻擊是處在攻擊嘗試階段還是已經(jīng)攻擊成功。另外，天清入侵防御
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1