IPS入侵防御系统

(’’0年1月第(&卷第1期

湖北教育学院学报

I>G748@>JKG<6C!4F5C5G56>JLDGM85C>4

,GH+(’’0N>@+(&$=>+1

!"#入侵防御系统

余$慧

（湖北教育学院计算机科学与工程系，武汉$%&’(’)）

摘要：由于现有安全防护系统的不足，于是研究者提出了复合现有网络安全需求的“!"#入侵防御系统”新的方案，此系统!"#能够提供实时吞吐量，深入检查数据包，并且可隔离栏载和预防来自网络的各种攻击，从而实现即时，高性能的应用安全。

关键词：!"#；入侵防御系统；网络安全

*"&’(+($$$$$$文献标识码：,$$$$$$文章编号：-’’./-01.（(’’0）’1/’’%&/’&中图分类号：

作者简介：余$慧（-2.0/），女，助教，硕士

$$现在业务系统大多是基于客户3服务器模式和!45674653!4578465网络计算模式的分布式应用，用户、程序和数据可能分布在世界的各个角落，给系统的安全管理造成了很大困难。金融、电信、政府等各大行业为了保证关键业务系统的稳定运行，确保各类重要数据不被非法人员窃取，网络安全专家采用了各种安全防护产品和方法对“网络黑客”进行防护。-现有安全防护系统存在的问题

当前网络安全防护系统按照功能主要分为三种类型的产品：网络防火墙；!9#入侵防护系统；网络防病毒系统。

通过对现有网络攻击手段的分析不难发现大多数网络攻击（蠕虫、病毒、9:#）都是通过1’端口进行的。现有的安全系统，由于都是根据早期安全问题设计出来的，都存在着各种不足，具体分析如下：

-+-网络防火墙。防火墙系统决定了哪些内部服务可以被外界访问，外界的哪些人可以访问内部的哪些可以访问的服务，以及哪些外部服务可以被内部人员访问。要使一个防火墙有效，所有来自和去往!4567465的信息都必须经过防火墙，接受防火墙的检查。防火墙必须只允许授权的数据通过，并且防火墙本身也必须能够免于渗透。但不幸的是，防火墙系统一旦被攻击者突破或迂回，就不能提供任何的保护了。同时由于为了避免防火墙对各类应用系统的正常使用造成影响，防火墙对1’、&&12等;6<端口无法禁用，所以检测功能非常有限。防火墙不能解决来自内部网络的攻击和安全问题。“外紧内松”是一般局域网络的特点，一道严密防守的防火墙其内部的网络也有可能是一片混乱。

-+(!9#入侵防护系统。我们不得不承认，!9#是一种很好的安全防护手段，但由于它有很多自身的限制，目前还存在着很多问题。入侵检测系统是采取被动监听的方式发现网络问题，但是无法主动发现网络中的安全隐患和故障。“如何解决已发现的问题”也是入侵检测系统面临的难题。入侵检测系统最初的目的是为了检测网络的攻击，但仅仅检测网络中的

员难以分清网路问题是由于攻击引起还是网络故障引起，所以管理员无法迅速地得到分析解决网路问题的最佳方法。同样，即使入侵检测能够实时地检测出攻击事件，但由于其设计原理，却无法实时地对攻击进行防护。

-+&网络防病毒系统。网络防病毒系统主要有针对=>?6@@、A=!B，;C4D>EF等各种操作系统的网络安全防护。网络防病毒系统从全方位、多层次给企业以安全防护，并且功能也十分灵活和丰富。但是由于采用软件方式，虽然控制比较灵活，但存在着性能不高的缺点。随着网络数据流量的不断增长，网络防病毒系统将无法高效的处理网络中的数据。(!"#入侵防御系统的原理及功能

目前安全系统的整合也是一个问题，如何在既可提供可靠的安全防护，又能保证网络和应用系统的性能的同时让系统保持高度的灵活性和可扩展性，给各网络安全行业带来了新的挑战。因此，在这种需求背景下，!"#入侵防御系统（以下简称!"#）应运而生。!"#能够提供实时吞吐流量，深入检查数据包，并且!"#可隔离、拦截和预防来自网络的各种攻击，从而实现即时、高性能的应用安全。

(+-!"#入侵防御系统的原理。防火墙是实施访问控制策略的系统，对流经的网络流量进行检查，拦截不符合安全策略的数据包。入侵检测技术（!9#）通过监视网络或系统资源，寻找违反安全策略的行为或攻击迹象，并发出报警。传统的防火墙旨在拒绝那些明显可疑的网络流量，但仍然允许某些流量通过，因此防火墙对于很多入侵攻击仍然无计可施。绝大多数!9#系统都是被动的，而不是主动的。也就是说，在攻击实际发生之前，它们往往无法预先发出警报。而入侵防御系统（!"#）则倾向于提供主动防护，其设计宗旨是预先对入侵活动和攻击性网络流量进行拦截，避免其造成损失，而不是简单地在恶意流量传送时或传送后才发出警报。!"#是通过直接嵌入到网络流量中实现这一功能的，即通过一个网络端口接收来自外部系统

万方数据　攻击远远无法满足目前复杂的网络应用需求。通常网络管理

$$收稿日期：(’’0/’%/’-