什么是入侵防御系统 天磊卫士
入侵防御系统（Intrusion Prevention System，IPS）是一种网络安全设备或软件系统，主要用于保护计算机网络和系统免受恶意攻击。
1.工作原理
检测机制
基于特征的检测：IPS 会维护一个庞大的攻击特征数据库，这些特征是已知的恶意软件、网络攻击（如 SQL 注入、跨站脚本攻击、端口扫描等）的特定模式。当网络流量经过 IPS 时，它会对数据包进行深度检查，与数据库中的特征进行匹配。例如，如果发现一个包含特定 SQL 注入攻击特征的网络请求，IPS 能够迅速识别。
基于行为的检测：通过建立正常网络行为和系统行为的基线模型来工作。它会学习网络和系统在正常情况下的操作模式，包括用户访问模式、应用程序通信模式、数据流量模式等。一旦检测到与正常行为明显偏离的活动，就会将其视为潜在的入侵行为。例如，一个用户通常在工作时间访问公司内部的特定业务系统，若在深夜该用户突然大量访问其他未授权的系统资源，IPS 基于行为分析可能判定为异常行为并进行进一步检查。
协议分析检测：深入解析网络协议，理解协议的正常操作流程和规则。它能够检测到协议异常，如不符合 TCP/IP 协议规范的数据包、畸形的 HTTP 请求等。这种检测方式可以发现一些利用协议漏洞进行的攻击，例如攻击者通过发送不符合协议标准的数据包来试图绕过防火墙的检测。
响应机制
主动阻断：这是 IPS 区别于入侵检测系统（IDS）的关键功能。当 IPS 确定检测到入侵行为时，它会立即采取行动阻止攻击，如丢弃包含恶意内容的数据包、中断恶意的网络连接。例如，如果检测到来自某个 IP 地址的 DDoS 攻击，IPS 可以直接切断与该 IP 地址的连接，阻止攻击流量进入受保护的网络。
报警和日志记录：在阻止攻击的同时，IPS 会生成详细的警报信息，告知安全管理人员入侵的类型、来源、目标和时间等信息。并且会记录所有检测到的事件和采取的措施，这些日志对于后续的安全分析、追踪攻击者以及评估网络安全状况非常重要。例如，当发生一次成功阻止的 SQL 注入攻击后，IPS 会记录攻击发生的具体时间、攻击的 IP 来源、攻击的目标 Web 应用以及 SQL 注入的具体语句等信息。
2.系统组件与部署方式
组件构成
传感器（Sensor）：负责收集网络流量和系统活动信息。这些传感器可以是硬件设备，也可以是软件代理，它们被放置在网络的关键节点，如防火墙内部、服务器群组前面等位置，能够全面监测进出网络的数据包。
分析引擎（Analysis Engine）：对传感器收集到的数据进行分析，运用上述的检测机制来判断是否存在入侵行为。分析引擎需要具备高性能的计算能力，以快速处理大量的实时数据。
响应模块（Response Module）：根据分析引擎的判断结果，执行相应的响应措施，如阻断攻击、发出警报等。它需要与网络设备（如防火墙）和系统管理工具紧密配合，确保响应措施能够有效实施。
部署方式
在线模式（Inline Mode）：IPS 直接串联在网络流量路径中，所有进出网络的数据包都必须经过 IPS。这种方式能够对攻击进行实时阻断，但如果 IPS 出现故障，可能会影响网络的正常通信。因此，需要考虑 IPS 的高可用性，如采用双机热备等方式。
旁路模式（Pass - by Mode）：IPS 与网络流量路径并行连接，主要用于监测和报警，不会直接阻断网络流量。这种模式相对安全，不会因为 IPS 故障而影响网络通信，但无法实时阻止入侵行为，需要与其他具备阻断功能的设备（如防火墙）配合使用。
3.与其他安全设备的关系
与防火墙的关系：防火墙主要基于规则（如 IP 地址、端口号、协议类型等）来允许或禁止网络流量通过，是网络安全的道防线。而 IPS 则侧重于对数据包内容和行为的深度分析，能够检测和阻止防火墙可能遗漏的复杂攻击。例如，防火墙可以阻止外部未授权 IP 访问内部网络的特定端口，但对于通过合法端口进入的恶意软件或攻击流量，IPS 能够进一步检测和防御。
与入侵检测系统（IDS）的关系：IDS 主要用于检测入侵行为并发出警报，但通常不具备主动阻断攻击的功能。IPS 在一定程度上可以看作是 IDS 的升级版本，它不仅能够检测入侵，还能够实时阻止入侵，在网络安全防御体系中发挥更积极的作用。
1.工作原理
检测机制
基于特征的检测：IPS 会维护一个庞大的攻击特征数据库，这些特征是已知的恶意软件、网络攻击（如 SQL 注入、跨站脚本攻击、端口扫描等）的特定模式。当网络流量经过 IPS 时，它会对数据包进行深度检查，与数据库中的特征进行匹配。例如，如果发现一个包含特定 SQL 注入攻击特征的网络请求，IPS 能够迅速识别。
基于行为的检测：通过建立正常网络行为和系统行为的基线模型来工作。它会学习网络和系统在正常情况下的操作模式，包括用户访问模式、应用程序通信模式、数据流量模式等。一旦检测到与正常行为明显偏离的活动，就会将其视为潜在的入侵行为。例如，一个用户通常在工作时间访问公司内部的特定业务系统，若在深夜该用户突然大量访问其他未授权的系统资源，IPS 基于行为分析可能判定为异常行为并进行进一步检查。
协议分析检测：深入解析网络协议，理解协议的正常操作流程和规则。它能够检测到协议异常，如不符合 TCP/IP 协议规范的数据包、畸形的 HTTP 请求等。这种检测方式可以发现一些利用协议漏洞进行的攻击，例如攻击者通过发送不符合协议标准的数据包来试图绕过防火墙的检测。
响应机制
主动阻断：这是 IPS 区别于入侵检测系统（IDS）的关键功能。当 IPS 确定检测到入侵行为时，它会立即采取行动阻止攻击，如丢弃包含恶意内容的数据包、中断恶意的网络连接。例如，如果检测到来自某个 IP 地址的 DDoS 攻击，IPS 可以直接切断与该 IP 地址的连接，阻止攻击流量进入受保护的网络。
报警和日志记录：在阻止攻击的同时，IPS 会生成详细的警报信息，告知安全管理人员入侵的类型、来源、目标和时间等信息。并且会记录所有检测到的事件和采取的措施，这些日志对于后续的安全分析、追踪攻击者以及评估网络安全状况非常重要。例如，当发生一次成功阻止的 SQL 注入攻击后，IPS 会记录攻击发生的具体时间、攻击的 IP 来源、攻击的目标 Web 应用以及 SQL 注入的具体语句等信息。
2.系统组件与部署方式
组件构成
传感器（Sensor）：负责收集网络流量和系统活动信息。这些传感器可以是硬件设备，也可以是软件代理，它们被放置在网络的关键节点，如防火墙内部、服务器群组前面等位置，能够全面监测进出网络的数据包。
分析引擎（Analysis Engine）：对传感器收集到的数据进行分析，运用上述的检测机制来判断是否存在入侵行为。分析引擎需要具备高性能的计算能力，以快速处理大量的实时数据。
响应模块（Response Module）：根据分析引擎的判断结果，执行相应的响应措施，如阻断攻击、发出警报等。它需要与网络设备（如防火墙）和系统管理工具紧密配合，确保响应措施能够有效实施。
部署方式
在线模式（Inline Mode）：IPS 直接串联在网络流量路径中，所有进出网络的数据包都必须经过 IPS。这种方式能够对攻击进行实时阻断，但如果 IPS 出现故障，可能会影响网络的正常通信。因此，需要考虑 IPS 的高可用性，如采用双机热备等方式。
旁路模式（Pass - by Mode）：IPS 与网络流量路径并行连接，主要用于监测和报警，不会直接阻断网络流量。这种模式相对安全，不会因为 IPS 故障而影响网络通信，但无法实时阻止入侵行为，需要与其他具备阻断功能的设备（如防火墙）配合使用。
3.与其他安全设备的关系
与防火墙的关系：防火墙主要基于规则（如 IP 地址、端口号、协议类型等）来允许或禁止网络流量通过，是网络安全的道防线。而 IPS 则侧重于对数据包内容和行为的深度分析，能够检测和阻止防火墙可能遗漏的复杂攻击。例如，防火墙可以阻止外部未授权 IP 访问内部网络的特定端口，但对于通过合法端口进入的恶意软件或攻击流量，IPS 能够进一步检测和防御。
与入侵检测系统（IDS）的关系：IDS 主要用于检测入侵行为并发出警报，但通常不具备主动阻断攻击的功能。IPS 在一定程度上可以看作是 IDS 的升级版本，它不仅能够检测入侵，还能够实时阻止入侵，在网络安全防御体系中发挥更积极的作用。
