破解IPS迷雾(1)

2005年秋，由全球多家系统软件公司进行的一项联合调查表明，超过66%的企业用户认为，“系统渗透”将会成为威胁企业IT安全的首要元凶。调查同时披露了目前发生最多的八项信息安全威胁，包括了：病毒、系统渗透、拒绝服务、内网滥用、欺骗、由于离职人员造成的数据或网络损失、非授权的内部访问。
虽然86%的被调查者使用了防火墙，但大多数情况下这些防火墙无法有效反击入侵行为。因为常见的防火墙主要是用来防御直接的可疑流量—比如在安全策略没有授权的情况下，拒绝访问者telnet到一台保护设备上，或者允许某些数据流通过—如Web服务器通信。
目前的问题是，安全模型在变化: 在越来越多可以穿越防火墙的流量中，夹带着攻击，即面向应用的攻击。大部分防火墙检查的层次主要集中在传输层以下，即使是优秀的防火墙也只能提供一小部分深度检测能力。
当企业服务器接受了这些“糖衣炮弹”后，攻击者就可以此为跳板，向企业内网发送大量的攻击性报文。一旦这些人在服务器上留下“rootkit”、“back door”等后门，那么它就可以在任何时间、任何地点无限制的访问企业整个信息系统。 
更要命的是，几乎所有的企业都有过从内部遭受攻击的经历，虽然很多情况下这些“内贼”自己都不知道，毕竟像VPN、无线网络、笔记本电脑，都可以穿过防火墙访问互联网。
当然，有用户使用IDS来监视系统安全，并希望通过与防火墙联动来防范入侵。不过前提是，只有当入侵者使用2800bps的网络速度入侵企业网络的时候，IDS才有足够的反应时间来调度其他安全设施配合！缓慢的时间戳根本无法阻止类似“Slammer”、“Blaster”等高速繁殖带来的灾难。
为了解决以上问题，采用实时在线方式的企业入侵检测系统（IPS）被投入使用。IPS的初衷是针对企业应用进行防御，由于所有流量都要从IPS中通过，保证了设备采取防御的时间。不过带来的问题是，深入包检测让人对于设备的性能有所担忧，特别是当防护选项全都开启的时候，而且IPS一旦出现误报，直接后果肯定比IDS大。
正是由于心存疑虑，导致众多国内用户对IPS迟迟不敢下手。为此，《网络世界》报社联合了国内外众多IPS厂商，同时结合评测实验室的报告，组织了此次IPS的技术专题，主要从国内用户关心的方面入手，为读者呈现一幅清晰的IPS应用脉络。