科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网安全频道IDS入侵检测在企业应用中的四种难题

IDS入侵检测在企业应用中的四种难题

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

虽然IDS这种智能化产品被相当广泛的企业用户所认可,但在实际应用中,却存在各种各样的实际难点和问题有待解决。本文详细分析了IDS在应用中的四大难点问题,希望对企业用户所有帮助。

作者:51CTO 来源:51CTO 2008年10月28日

关键字: 入侵检测 IDS

  • 评论
  • 分享微博
  • 分享邮件

  在过去的20年里,网络技术在不断发展,攻击者水平在不断提高,攻击工具与攻击手法日趋复杂多样,特别是以黑客为代表的攻击者对网络的威胁日益突出,他们正不遗余力地与所有安全产品进行着斗争。攻击技术和手段的不断发展促使IDS等网络安全产品不断更新换代,使得IDS产品从一个简单机械的产品发展成为智能化的产品。

  虽然这种智能化产品被相当广泛的企业用户所认可,但在实际应用中,却存在各种各样的实际难点和问题有待解决。本文详细分析了IDS在应用中的四大难点问题,希望对企业用户所有帮助。

  IDS应用难点之一:如何解决误报率问题?

  误报率一直是IDS产品的技术难点之一。很多公司都有各自不同的解决方法。

  赛门铁克的解决办法有两种:一是对IDS产品的应用范围(如作业平台)事先作一个分类。比如面向一个只有Windows平台的企业网络,则IDS包含的针对Unix平台攻击的检测特征功能就可以忽略,从而避免误报。二是从根源上解决问题,即通过互补产品来减少IDS的误报。赛门铁克已有的风险管理产品,就可以首先帮助企业查出漏洞所在,对易遭受攻击的弱点究根寻源,然后企业在堵住这些漏洞的前提下,应用IDS,其误报率会大大减少。

  东软认为,IDS的漏报和误报是一对矛盾体,其产品NetEye IDS可以在理解网络协议的基础上,对网络数据进行重组,并提供应用协议的内容恢复功能,对网络上发生的应用进行恢复和重放,不但检测攻击事件,还重现攻击的过程。这样,它不仅可以发现外部攻击,还可以发现内部用户的恶意行为。通过内容恢复,管理员可以准确了解攻击是否发生,有效地减少了误报。

  上海金诺公司的金诺网安入侵检测系统KIDS,采用安全策略优化、事件合并、事件关联和多种检测技术相结合等方法,来解决误报率问题。金诺网安KIDS采用了金诺公司新一代智能的检测技术,以基于包特征的检测技术为主体,充分结合协议状态分析、流量异常检测等技术,在保证检测到已知的最新攻击行为的前提下,及时发现一些未知的非法入侵行为,从而确保检测的准确性和广泛性。另外,KIDS也利用了TCP流重组和IP碎片重组等常见的技术,这些技术都可以有效降低系统的误报和漏报。

  如何降低端口扫描的漏报率和误报率?早期IDS采用的方法是定义一个时间段,在这个时间段内如发现了超过某一预订值的连接次数,就认为是端口扫描。这种做法的缺点是,如果扫描的时间超过了定义的时间段,但扫描的端口少于预订的连接次数,那么这种扫描将不能识别。若对采集到的长期数据进行分析,这样一些非常缓慢的扫描也逃不过IDS的监测。这种解决方法在东方龙马入侵侦测系统中有些体现。

  IDS应用难点之二:怎样判断检测速度?

  IDS的检测速度,是影响NIDS的技术难题。为了实时对网络进行入侵侦测,每个基于NIDS的吞吐量是一定的,普通的IDS产品或许可以应付一般规模的企业检测要求,但对于电信级大型企业则有困难。这方面,赛门铁克建议,如果企业财力允许,可以考虑在网络内同时安装几套IDS,各自分别负责检测一部分,这样就可以解决检测速度吞吐量不够的问题。另外,可以考虑在覆盖企业网络终端的防病毒工具上做足文章。防病毒工具中集成一些IDS的功能,让IDS在网络内的每台PC上实现,以此来解决检测速度的问题。目前赛门铁克正在做这方面的工作。

  东软的NetEye IDS提高检测速度的方法是,在操作系统的内核级别进行数据重组,对收取数据的驱动进行大量的优化,减少了系统内核到用户空间的数据拷贝,提高了系统的性能。NetEye IDS是软硬一体的系统结构,选取高性能的专用硬件,并通过大量测试,保证了硬件性能的最优化,通过选择专用的数据库,进行高效的索引,不但减轻了用户的管理负担,更极大地提高了存储效率。

  上海金诺在解决检测速度问题上,首先是将系统的硬件平台进行优化,使硬件性能达到最佳,然后是利用一些先进的技术,如高性能的网络数据包处理技术(包括金诺网安独有的零拷贝技术、零系统调用技术等)、高性能协议分析技术(包括基于协议状态的检测技术)和基于预分析的检测技术等。

  IDS应用难点之三:HIDS和NIDS,哪一个更好?

  赛门铁克认为,NIDS只检查它直接连接网段的通信,不能检测在不同网段的网络包,在使用交换以太网的环境中就会出现监测范围的局限。HIDS系统则可以检测多种网络环境下的网络包。NIDS系统为了性能目标通常采用特征检测的方法,它可以检测出普通的一些攻击,而很难实现一些复杂的需要大量计算与分析时间的攻击检测。而这方面正是HIDS的强项。NIDS系统中的传感器协同工作能力较弱,同时系统处理加密的会话过程较困难,而对于HIDS则没有这一障碍。另一方面,由于HIDS系统在反应的时间上依赖于定期检测的时间间隔,反应较慢,而且其检测实时性也没有基于网络的IDS系统好。

  鉴于此,赛门铁克建议,在实施NIDS系统的同时,在特定的敏感主机上增加代理是一个比较完善的策略。因为,HIDS与NIDS并行可以做到优势互补。网络部分提供早期警告,而基于主机的部分可提供攻击成功与否的情况分析与确认。

  尽管HIDS准确度较高,但缺点是不同的系统需要不同的引擎。系统的升级时,需要升级引擎,安装和维护不方便,同时无法发现网络上的攻击事件。而基于网络的IDS安装调试简单,不需在系统上安装任何软件,需要的引擎数少,可最早发现网络上的攻击,隐蔽性也更好。NIDS的缺点是准确度较低,同时随着网络流量的增大,处理峰值流量的难度加大。

  目前,市场上基于HIDS的产品较少,仅有赛门铁克的Intruder Alert。NIDS产品有许多,像东软、瑞星、东方龙马等公司都提供NIDS产品。此外,有些公司还推出了将HIDS和NIDS融合在一起的产品。目前金诺网安具有拥有自主知识产权的入侵检测系统——KIDS,它是一种综合的网络入侵检测系统,分别可以保护重要网段和关键的主机,真正可以为企业单位提供一种有效的安全防护系统。

  IDS应用难点之四:如何选择一个理想的IDS?

  谈到网络安全,人们首先想到的就是防病毒和防火墙。因为它门可以保护处于防火墙身后的网络不受外界的侵袭和干扰。

  目前,IDS的普及率明显不如防病毒、防火墙产品的应用比例高。

  信息安全厂商首先要从观念上教育我们的用户,针对网络威胁的增加,及时地提供实时主动防护产品IDS;另一方面,利用厂商的技术与产品优势不断满足用户的关键需求。

  如何选择合适的IDS产品?用户除了考虑误报率与检测速度这两个重要的参考指标之外,还需要用户从HIDS和NIDS各自的优缺点作互补性考虑后,才能做出妥当的选择,并且用户要提高在安全服务委托外包上的认识水平。用户可以通过考虑以下要素,来选择一个理想的IDS。

  1. 攻击检测的规则库的大小和检测的准确程度;

  2. 是否有内容恢复功能;

  3. 是否有完整网络审计、网络事件记录和全面的网络信息收集功能;

  4. 产品的性能如何;

  5. 是否集成网络分析和管理的辅助工具,如扫描器、嗅探器等;

  6. 是否自带数据库,不需第三方数据源,数据是否可自动维护;

  7. 管理维护是否足够简洁;

  8. 互操作性如何,是否可和防火墙联动;

  9. 自身安全性和隐蔽性如何;

  10. 可升级性如何。

  在用户决定购买IDS之前,建议用户应充分了解当前网络的拓扑结构,了解以下关键问题:

  1. 目前使用的交换机是否支持监听,支持的程度是怎样的?

  2. 用IDS产品,主要想保护的资源是什么?主要防范外网黑客攻击还是内网恶意用户?

  3. IDS产生的事件记录是否有管理员查看和处理检测到的攻击和异常事件?

  为了提高IDS的响应能力,目前国外比较成熟的做法是,用户将这项工作委托给其它专业的安全服务商。在国内还有一个对外包服务商的信任认知过程,而且要确保有一个与外界网络联系的实时畅通的渠道。因此,安全服务委托外包的方式,在国内还需时日。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章