科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网网络频道如何解决IDS问题?

如何解决IDS问题?

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

再比如在异常检测中,各种协议变体、过多的IP分片和异常TCP分段都有可能导致IDS误报。为了弥补这些缺陷,IDS与新一代智能化的网络交换设备联动成为最佳选择。IDS与网络交换设备联动,可以降低IDS误报漏报率、主动防御、准确事件定位和响应、 优化IDS性能。

作者:中国IT实验室 2007年9月13日

关键字: IDS IPS IDS/IPS 入侵检测 入侵防御

  • 评论
  • 分享微博
  • 分享邮件

著名评估机构Gartner认为,IDS对网络安全几乎没有意义。传统的IDS系统误报太多,且不能检查出未知的威胁。它在高速环境中容易受到威胁,在连续模式匹配方案中也有困难。为此,Gartner建议用户放弃IDS,转而把资金投向防火墙等更好的策略。

IDS存在的隐患

误报漏报率太高。IDS常用的检测方法有特征检测、异常检测、状态检测、协议分析等。而这些检测方式都存在缺陷。比如异常检测通常采用统计方法来进行检测。而统计方法中的阈值难以有效确定,太小的值会产生大量的误报,太大的值又会产生大量的漏报。而在协议分析的检测方式中,一般的IDS只简单地处理了常用的如HTTP、FTP、SMTP等,其余大量的协议报文完全可能造成IDS漏报,如果考虑支持尽量多的协议类型分析,成本将是用户无法承受的。再比如在异常检测中,各种协议变体、过多的IP分片和异常TCP分段都有可能导致IDS误报。

没有主动防御能力。IDS技术是一种预设置式的工作方式,特征分析式工作原理。检测规则的更新总是落后于攻击手段的更新,所以这永远是亡羊补牢,被动防守。

缺乏准确定位和处理机制。IDS仅能识别IP地址,无法定位IP地址,不能识别数据来源。IDS系统在发现攻击事件的时候,只能关闭网络出口和服务器等少数端口,但这样关闭同时会影响其他正常用户的使用。缺乏更有效的响应处理机制。

性能普遍不足。现在市场上的IDS产品大多采用的是特征检测技术,这类产品是专门为小于100M的共享式网络环境设计的。现在,这种IDS产品已经不能适应交换技术和高带宽环境的发展,在大流量冲击、多IP分片情况下都可能造成IDS的瘫痪或丢包,形成DoS攻击。

联动思想应运而生

IDS是否真的没有存在的必要呢?显然不是,如果把防火墙比作大门的话,那么IDS设备就如同监控系统。显然,无论大门如何坚固,我们都不能拆除内部监控系统。那么面对IDS的不足,我们该如何应对呢?

换个角度来考虑这个问题,可以看到,各种相关网络安全的黑客和病毒都是依赖网络平台进行,而如果在网络平台上就能切断黑客和病毒的传播途径,那么就能更好地保证安全。这样,网络设备与IDS设备联动思想就应运而生。

为了弥补这些缺陷,IDS与新一代智能化的网络交换设备联动成为最佳选择。

IDS与网络交换设备联动是指,交换机在运行的过程中,将各种数据流的信息上报给安全设备,IDS系统可根据上报信息和数据流内容进行检测,并发现网络安全事件的时候,进行有针对性的动作,并将这些对安全事件反应的动作发送到交换机上,由交换机来实现精确端口的关闭和断开。

这种智能交换机的主要特点,应该是能支持认证、端口镜像、强制流分类、进程数控制、端口反查等功能,同时具备线速交换、稳定商用等特性。IDS与网络交换设备联动,可以降低IDS误报漏报率、主动防御、准确事件定位和响应、 优化IDS性能。

IDS作为网络安全系统必不可少的一部分,应用领域在迅速扩大,技术走向也日益明朗,从IDS(入侵检测)向IPS(入侵防御)发展成为必然,但目前并没有完善的IPS解决方案和设备。

港湾网络智能交换设备已经与多家IDS系统进行了互通测试,并在海关、电子政务等网络中开始实际应用。港湾网络认为,在IDS向IPS发展历程中,通过智能交换机对IDS的补充,是一个非常实际而且不会给用户带来任何额外投资的理想过渡方案。

  

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章