科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网网络频道一体化安全检测技术七大优势

一体化安全检测技术七大优势

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

一体化安全检测(UDS)技术将入侵检测、安全审计、异常流量三大功能进行集成,与分别采用各类技术相比,一体化安全检测具有七大方面的优势。

作者:eNet硅谷动力 2007年8月1日

关键字: UDS 一体化安全检测

  • 评论
  • 分享微博
  • 分享邮件

作者:周涛

Internet的飞速发展,为信息的传播和利用带来了极大的方便,同时也使人类社会面临着信息安全的巨大挑战。为了应对日益严重的信息安全问题,防火墙、入侵检测、安全审计、流量监控等安全产品逐步得到推广和应用。这些安全产品从一定程度上缓解了日益紧迫的安全问题,但如何集成各个产品的优点,更好地发挥安全产品的作用,是网络管理人员面临的新问题。

  概括起来,在目前的网络安全管理中存在以下问题:

  1.各安全设备往往是孤立运行的,其报警信息之间难以关联,使得管理员缺乏对网络整体安全状况的认识。

  2.安全事件发生后,无法快速确定安全事件的根源,网络业务恢复时间长。

  3.对某些特定安全事件缺乏准确有效的检测方法,如DDoS攻击,蠕虫病毒等。

  4.多种网络设备之间的串接,或者在交换机上进行多重镜像实现包捕获,会造成网络运行性能下降。

  将入侵检测、安全审计、异常流量三大功能进行集成,采用一体化安全检测(Unified Detection System ,简称UDS)技术,能够有效地解决上述问题,与分别采用各类技术相比,具有七大方面的优势。

  提高管理员安全决策的准确性

  多种检测手段的集成,可以使用户从不同方面更加全面地了解网络安全状况。不同的旁路检测产品审查的重点不相同,当发生安全违规事件时,通过三种工具之间的相互印证和关联分析,可以提高管理员决策的准确性。例如:流量显示网络中突然产生很高的TCP流量,通过IDS报警可以看出,是P2P软件下载造成的,通过审计系统则可以看到更详细的信息,比如下载的文件名,文件类型,大小等等。有利于管理员监控网络资源是否被合法使用。

  实现攻击源和攻击目标的快速定位

  以Internet蠕虫传播为例,被蠕虫感染的主机的网络行为会不同于正常主机,这时利用审计功能可以快速发现异常主机,结合IDS的攻击报警即可确定感染源。例如:对于超长数据的缓冲区溢出,IDS可以进行预警,管理员再通过审计模块察看具体的超长数据内容,可以准确判断一次报警是否为攻击,更可以为追踪入侵者提供有力证据。

  实现对特定安全事件的全面检测

  对DDoS攻击和未知蠕虫,IDS往往难以实现有效检测,但二者均会引起网络流量的显著异常。UDS由于在IDS的基础上集成了流量检测功能,弥补了IDS的先天不足,带来了更全面的检测能力。例如:一次DDoS或蠕虫攻击,会让流量检测模块显示某一协议以及某一应用产生大量的流量,而结合IDS模块则可以看到流量类型等更具体的攻击信息。流量模块提供了攻击所产生的网络流量,管理员依此来评估具体损失,IDS模块可以确定具体的攻击类型,并且进行IP定位,用来查找网络安全隐患。

  提高用户的投资性价比

  在一次包捕获的基础上完成多重分析,与同时采用多台设备相比,提高了处理的效率,减少了设备串连时发生故障的可能,也降低了多重镜像对网络性能的影响。此外,当用一种综合产品取代多种分离产品,在满足功能和性能要求的同时,其价格优势是非常明显的,可有效的提高用户的投资性价比。

  方便部署

  将旁路检测功能统一到一个设备上来实现,有利于产品的安装实施和部署。旁路产品通常的接入方式是通过交换机配置镜像或利用串接TAP接入,需要在交换机上设置多个镜像端口或者串接多个TAP。不但会有多重镜像造成交换机性能下降的情况出现,而且还会面临部分交换机不支持多重镜像的尴尬,并且串接多个TAP,也容易造成单点故障。

  集中管理,综合分析

  旁路检测的典型流程是将网络上的数据报文进行全面捕获,在保证不丢包的状态下对数据报文进行分析,根据不同的预定义规则形成安全事件、告警或统计数据。因此在保持底层技术上统一、上层实现多样化的UDS检测系统则有效的扩展了检测范围,可以实现多样化的综合检测需求。同时,在未来的产品架构上也具有很好的扩展性。例如:系统对多种检测的结果进行交叉关联,集中检测可以安全事件为单位进行报警,从而为管理员提供一个清晰的层次。一次DDoS攻击事件中,异常流量模块将划分出时间范围,IDS模块提供详细的攻击类型信息,流量模块统计所产生的网络流量,不但可以计算此次安全事件的攻击强度,还可以为日后计算损失提供依据,而审计模块可以记录该攻击行为所影响的具体的应用服务,可以为日后追踪攻击源头提供证据。

  对安全事件深入分析、取证记录,可追踪溯源

  异常流量会话录播。通过异常流量的检测结果分析,当发现某种协议类型的流量异常时,启动UDS的会话录播功能,可方便安全管理人员对异常流量的审计。例如:对于未知蠕虫攻击,异常流量系统可以预警,但是因为此蠕虫为突发,异常流量系统就在第一时间内预警,所以还尚无机构为此命名,UDS系统也无法报警出具体的蠕虫名字,这样管理员可以通过系统自动记录下会话数据流,日后再确认具体蠕虫名称。

  IDS日志与安全审计日志、异常流量报警日志的交叉报表功能。被蠕虫感染或远程控制的主机,其流量分布、行为表现会不同于正常主机。通过审计或异常流量的日志发现异常主机,可以使管理员在处理IDS模块的报警时更加关注那些异常主机,提高分析的准确性。例如:对于一次安全事件,如蠕虫攻击,交叉报表可以给管理员提供一个很清晰的层次,可以通过异常流量模块来确认一次安全事件,IDS模块则提供了安全事件的具体攻击类型、蠕虫名称,流量模块可以提供安全事件产生的数据量,审计模块为确认并追踪攻击源以及受害系统提供了依据。

  IDS与主机资源信息的关联。在各种安全设备上报的攻击事件中,并非每次攻击都会对目标网络的安全构成威胁。以一次典型的针对IIS的缓冲区溢出攻击为例,如果目标主机不可达,或者其操作系统不是Windows系统、没有运行IIS服务、不存在相关的漏洞,都会导致攻击不成功。为此可以将IDS的报警与主机资源信息进行关联,判断该报警的真实性,降低IDS的误报率。UDS的精确报警功能从一定程度上解决了该类问题,如果能进一步关联漏洞扫描的结果,将会进一步增强报警的准确性。例如:入侵者对一台Linux系统发动一次unicode攻击,其实这个攻击是针对于Windows平台的,这次攻击并不能成功,如果运行环境中数据流量较大,报警较多,管理员则可以通过降低策略中的报警强度,过滤掉这些入侵企图,而记录真正有效的、有威胁的攻击。

  基于以上七大优势可以预计,一体化安全检测技术和产品将得到越来越多的关注和应用。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章