选购入侵检测系统与入侵防御系统须知

如今企业在保护网络免受外部攻击上有很多的选择，譬如防火墙就是一个不错的选择，在大多数情况下，它能够分辨异常的数据包，因而能够及时采取措施防患于未然。

但是对于大多数企业来说，要想完全隔绝潜在的威胁，入侵检测防御系统(IDS)是不二的选择。入侵检测防御一般来说是与企业的第一道保护墙防火墙一起使用，它包含如下两种基本层次：

入侵检测系统(IDS)：入侵检测系统分析入流量来找寻异常情况。如果入侵检测系统发现异常流量，就会向管理员发出警报，这样管理员就可以及时采取措施停止正在进行的异常行为。此外，入侵检测系统还会禁止一些网络上的自动运行功能来保护网络。

入侵防御系统(IPS)：入侵防御系统与入侵检测系统有些类似，但是IPS一般是立即采取行动阻止威胁——譬如及时阻止某个IP地址或用户的访问——而不仅仅是简单的发出警报。一些IPS产品同样使用行为分析来检测和阻止潜在的有威胁的数据。IPS一般被认为是主动相应系统，这点是与IDS相对应的，IDS一般是被动采取行动。

IDS和IPS产品有丰富的配置，都是为了满足特殊的入侵检测需要。以下是一些行业内领先的入侵检测产品：

网络入侵检测和防御(NIDP)：这是入侵检测防御系统技术最司空见惯的用处，用来提供网络层级的保护。一般来说，在一个大型的网络端口上安装单一的IDS或是IPS可以扫描到所有的流量，但是这样一种设计方法将会降低整个网络的性能，这是以牺牲网络性能为代价的。因此，为了有效的监督来自于网络上各种设备的流量，在网络上不同层次的战略点上部署入侵检测防御还是很正常的。

主机入侵检测防御(HIDS)：一些企业在网络中关键的主机或是设备上安装这些系统。这种入侵检测系统检测出流和入流的信息包——但是仅仅是检测流过安装这些系统的设备的流量。

基于特征的入侵检测防御系统(SBIP)：这种入侵检测系统对于检测病毒或是其它形式的恶意软件是很有效的。这种产品将所有的入流量与数据库中已知的威胁相对比然后得出结论。与杀毒软件类似，这种以依赖于病毒特征的技术根本就无法应对层出不穷的“零天攻击”事件。但是，在应对已知威胁方面，它还是很令人满意，所以还是比较受欢迎。

基于异常行为的入侵检测防御(ABIP)：人们把这种入侵检测防御看作是天生的怀疑家。因为它们就是从正常行为中寻找不正常。它考研对网络流量实现不间断的检测然后与已知的正常行为进行比较。任何一种与非正常行为相关的网络带宽，连接端口或是设备将会使之发出警报，然后采取相应的措施保证整个网络的健康。它可以有效的应对企业面临的DDoS攻击，这种攻击一般会导致大量的计算机访问同一个网站而导致网站的瘫痪。

市面上有很多这样的产品问世，各种产品之间也存在一定的差异。企业在选购产品的时候一定不要盲目行事，否则会适得其反。应该选择最适合本企业的产品。不求最贵，但求最适合。一些大型厂商，譬如IBM，思科，TippingPoint，Juniper；国内的厂商如启明星辰、绿盟科技、H3C以及开源的IDP产品SNORT， Prelude Hybrid IDS等都是不错的选择。最终选择何种入侵检测产品还需要用户根据自己的实际情况去选择。

【相关文章】