h3c主動式入侵防御系統(tǒng)解決方案(參考版)
2025-05-16 23:41本頁面
【正文】 。 高性能高可靠性 ： 領(lǐng)先的多核架構(gòu)及分布式搜索引擎，確保 H3C IPS在各種大流量、復(fù)雜應(yīng)用的環(huán)境下，仍能具備線速深度檢測和防護(hù)能力，僅有微秒級時延。 便捷的管理方式 ： 支持本地和分布式管理。 網(wǎng)絡(luò)基礎(chǔ)設(shè)施保護(hù) ： H3C IPS 具有強大的攻擊防護(hù)和流量模型自學(xué)習(xí)能力，當(dāng)攻擊發(fā)生、或者短時間內(nèi)大規(guī)模爆發(fā)的病毒導(dǎo) 致網(wǎng)絡(luò)流量激增時，能自動發(fā)現(xiàn)并阻斷攻擊和異常流量，以保護(hù)路由器、交換機、 VoIP系統(tǒng)、 DNS 服務(wù)器等網(wǎng)絡(luò)基礎(chǔ)設(shè)施免遭各種惡意攻擊，保證關(guān)鍵業(yè)務(wù)的通暢。 零時差的應(yīng)用保護(hù) ： H3C 專業(yè)安全團(tuán)隊密切跟蹤全球知名安全組織和廠商發(fā)布的安全公告，經(jīng)過分析、驗證所有這些威脅，生成保護(hù)操作系統(tǒng)、應(yīng)用系統(tǒng)以及 數(shù)據(jù)庫漏洞的特征庫；同時，通過部署于全球的蜜罐系統(tǒng)，實時掌握最新的攻擊技術(shù)和趨勢，以定期（每周）和緊急（當(dāng)重大安全漏洞被發(fā)現(xiàn)）兩種方式發(fā)布，并自動或手動地分發(fā)到 IPS 設(shè)備中，使用戶的 IPS 設(shè)備在漏洞被公布的同時立刻具備防御零時差攻擊的能力。 專業(yè)的病毒查殺 ： H3C IPS 集成卡巴斯基防病毒引擎，內(nèi)置卡巴斯基專業(yè)病毒庫。 主 動 式 入 侵 防 御 系 統(tǒng) 解 決 方 案 模 版 杭州華三通信技術(shù)有限公司 第 17 頁 五、 H3C IPS 的特點和優(yōu)勢 強大的入侵抵御能力 ： H3C IPS 是業(yè)界唯一集成漏洞庫、專業(yè)病毒庫、應(yīng)用協(xié)議庫的 IPS 產(chǎn)品，特征庫數(shù)量已達(dá)10000+。如果網(wǎng)絡(luò)鏈路擁塞，那么重要的應(yīng)用程序數(shù)據(jù)將無法在網(wǎng)絡(luò)上傳輸。 同時 H3C IPS 還針對各種網(wǎng)絡(luò)應(yīng)用提供保護(hù)，保證應(yīng)用系統(tǒng)不會遭受攻擊者的 DoS攻擊而無法提供業(yè)務(wù)。此 外， H3C IPS也提供異常流量統(tǒng)計機制的過濾器，對于超過 ”基準(zhǔn)線 ”的正常網(wǎng)絡(luò)流量，可以針對其通訊協(xié)議或應(yīng)用程序特性來進(jìn)行警示、限制流量或 隔離 流量等行動。 保護(hù)網(wǎng)絡(luò)應(yīng)用的業(yè)務(wù)連續(xù)性 ： 路由器、交換器、 DNS 服務(wù)器以及防火墻都是有可能被攻擊的網(wǎng)絡(luò)設(shè)備，如果這些網(wǎng)絡(luò)設(shè)備被攻擊導(dǎo)致停機，那么所有企業(yè)中的關(guān)鍵應(yīng)用程序也會隨之停擺。大部分的入侵防御系統(tǒng)都是針對已知的攻擊進(jìn)行防御，然而 H3C IPS 運用漏洞基礎(chǔ)的過濾機制，可以防范所有已知與未知形式的攻擊。最新型的攻擊可以透過偽裝成合法應(yīng)用的技術(shù)，輕易的穿透防 火墻。 保護(hù)網(wǎng)絡(luò)應(yīng)用的安全 ： H3C IPS 提供擴(kuò)展至用戶端、服務(wù)器、及第二至第七層的網(wǎng)絡(luò)型攻擊防護(hù)，如：病毒、蠕蟲 、SQL 注入、跨站腳本攻擊、 與木馬程序。 在互聯(lián)網(wǎng)出口也需要部署 IPS 設(shè)備，擁有保護(hù)防火墻等網(wǎng)絡(luò)基礎(chǔ)設(shè)施，防御互聯(lián)網(wǎng)對企業(yè)園區(qū)網(wǎng)的攻擊，同時，還可對互聯(lián)網(wǎng)出口帶寬進(jìn)行 精細(xì)控制，防止帶寬濫用，另外， H3C 的 IPS 設(shè)備還可提供 URL 過濾功能，以限制園區(qū)網(wǎng)辦公用戶對工作無關(guān)網(wǎng)站的訪問。 部署的總體方案 ： 以典型的企業(yè)園區(qū)網(wǎng)為例，入侵防御系統(tǒng)的部署總體方案如下圖所示。 主 動 式 入 侵 防 御 系 統(tǒng) 解 決 方 案 模 版 杭州華三通信技術(shù)有限公司 第 15 頁 四、 部署主動入侵防御系統(tǒng)的建議 針對入侵、病毒、蠕蟲 、注入 和拒絕服務(wù)攻擊的新特點，必須采用創(chuàng)新的硬件和軟件 技術(shù)來應(yīng)對 ―― 主動入侵防御系統(tǒng)。 同時， H3C IPS 入侵防御系統(tǒng)通過領(lǐng)先的多核 MIPS 硬件架構(gòu)設(shè)計以及專利的 FIRST（注： FIRST， Full Inspection with Rigorous State Test，基于精確狀態(tài)的全面檢測）檢測引擎設(shè)計，確保 IPS 設(shè)備不會成為性能瓶頸。同時， T1000A還具有 P2P、 IM 等網(wǎng)絡(luò)濫用流量的識別和限制功能以及 URL 過濾功能。 H3C IPS 入侵防御系統(tǒng)是 華三公司開發(fā)的業(yè)界領(lǐng)先的 IPS 產(chǎn)品 ，已擁有 500 多個包括銀行數(shù)據(jù)中心、中南海政務(wù)網(wǎng)等在內(nèi)頂級的高端應(yīng)用，以及 5000 多家客戶群體。 主動式入侵防御系統(tǒng)成就網(wǎng)絡(luò)安全的未來 ： 如上文所述，防火墻加 IDS的方案存在無法識別高層攻擊、漏報和誤報、響應(yīng)速度慢、性能不高以及運行維護(hù)管理復(fù)雜等缺陷，顯然這些問題使 IT 部門無法完成支持日益增長的安全需求的關(guān)鍵任務(wù)。另外一個問題是誤報， IDS 有時會將正常的訪問識別為攻擊并進(jìn)行報警。這種架構(gòu)的問題在于當(dāng)網(wǎng)絡(luò)的流量較大時， IDS 的處理能力無法完成對所有流量的綜合和深入分析，從而出現(xiàn)較多的漏報。 IDS 確實為防止入侵和控制非法流量具有開創(chuàng)意義，然而，在實際的應(yīng)用中，用戶發(fā)現(xiàn)其存在嚴(yán)重不足： IDS 是一個被動的監(jiān)聽者，而不能采取有效的行動立即阻止針對系統(tǒng)漏洞的攻擊、屏蔽蠕蟲和病毒、防御 DOS 攻擊以及限制 P2P 等非法應(yīng)用，當(dāng) IDS 報警的時候，攻擊已經(jīng)發(fā)生而損失已不可避免，如下圖所示： 為了彌補 IDS的先天不足，一種稱之為 IDS 和防火墻聯(lián)動的方案出現(xiàn)了，但在實際應(yīng)用中，從 IDS 發(fā)現(xiàn)問題到通過開放接口向防火墻發(fā)送策略更新信息，再到最終防火墻激活新 的策略所耗費的時間仍無法滿足用戶對高安全性的要求，特別是在攻擊流量激增的情況下，這種方案幾乎無法奏效，所以其可行性存在很大問題。 為了能夠讓防火墻具備深入的監(jiān)測能力，許多廠商都基于現(xiàn)有的平臺增加了 L4L7 分析能力，但問題是僅僅將上千個基于簡單模式匹配過濾器同時打開來完成對數(shù)據(jù)包的 L4L7深入檢測時，防火墻的在數(shù)據(jù)流量較大時會迅速崩潰，或雖可以勉強工作，卻引入很大的處理延時，造成業(yè)務(wù)系統(tǒng)性能的嚴(yán)重下降，所以基于現(xiàn)有防火墻體系結(jié)構(gòu)增加深入包檢測功能的方案存在嚴(yán)重的性能問題。并不是當(dāng)初網(wǎng)絡(luò)設(shè)計不周，而是自 2021年以來，蠕蟲、點到點，入侵技術(shù)日益滋長并演變到應(yīng)用層面（ L7）的結(jié)果，而這些有害代碼總是偽裝成客戶正常業(yè)務(wù)進(jìn)行傳播，目前部署的防火墻其軟硬件設(shè)計當(dāng)初僅按照其工作在 L2L4 時的情況考慮，不具有對數(shù)據(jù)流進(jìn)行綜合、深度監(jiān)測的能力，自然就無法有效識別偽裝成正常業(yè)務(wù)的非法流量，結(jié)果蠕蟲、攻擊、間諜軟件、點到點應(yīng)用等非法流量輕而易舉地通過防火墻開放的端口進(jìn)出網(wǎng)絡(luò)，如下圖所示： 這就是為何用戶在部署了防火墻后，仍然遭受入侵以及蠕蟲、病毒、拒絕服務(wù)攻擊的困擾。 雖然，網(wǎng)絡(luò)中已部署了防火墻，但是，在網(wǎng)絡(luò)的運行維護(hù)中， IT 部門仍然發(fā)現(xiàn)網(wǎng)絡(luò)的帶寬利用率居高不下、而應(yīng)用系統(tǒng)的響應(yīng)速
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1