如何实现IPS系统深度检测

随着网络攻击技术的不断提高和网络安全漏洞的不断发现，传统防火墙技术加传统IDS的技术，已经无法应对一些安全威胁。在这种情况下，IPS系统技术应运而生，IPS系统技术可以深度感知并检测流经的数据流量，对恶意报文进行丢弃以阻断攻击，对滥用报文进行限流以保护网络带宽资源。

IPS系统如何实现深度检测和入侵抵御

对于部署在数据转发路径上的IPS系统，可以根据预先设定的安全策略，对流经的每个报文进行深度检测（协议分析跟踪、特征匹配、流量统计分析、事件关联分析等），如果一旦发现隐藏于其中网络攻击，可以根据该攻击的威胁级别立即采取抵御措施，这些措施包括（按照处理力度）：向管理中心告警；丢弃该报文；切断此次应用会话；切断此次TCP连接。

在哪里部署

进行了以上分析以后，我们可以得出结论，办公网中，至少需要在以下区域部署IPS系统，即办公网与外部网络的连接部位（入口/出口）；重要服务器集群前端；办公网内部接入层。至于其它区域，可以根据实际情况与重要程度，酌情部署。

IPS系统深度检测与入侵抵御的关键技术

高性能、高可靠性的硬件平台

依赖于对网络设备体系架构的深刻理解和强大的设计开发能力，华为3Com为IPS系统产品设计了专用的高性能硬件平台。该平台彻底抛弃了目前市面上常见的工控机架构。

协议分析与跟踪技术

通过前面的分析，我们可以看到协议分析与跟踪对IPS系统设备的重要性。与传统防火墙不同的是，IPS系统不但要分析和跟踪IP、ICMP、UDP、TCP这几种网络层、传输层的协议，而且，还要对HTTP、HTTPS、FTP、TFTP、SNMP、Telnet、SMTP、POP、DNS、RPC、LDAP、ICQ、MSN、Yahoo Messenger等众多的应用层协议进行分析、跟踪。没有对网络协议和操作系统的深刻理解，要完成这件工作是不可能的。华为3Com已经具备了在操作系统的内核级别对应用协议进行全面跟踪、深度分析的实力；而且，在引入网络处理器后，所有的逻辑检测和协议分析、跟踪都要下移到网络处理器中，采用微码实现，进一步提高系统性能。

特征匹配的性能

从海量的数据中去寻找一定的特征，在计算领域，这历来是一个高计算量、高复杂度的问题；而IPS系统的报文内容识别，恰恰要基于此工作。那么，如何解决这个CPU杀手和提高设备性能之间的矛盾呢？

华为3Com采用专用的硬件加速卡来解决这个问题。基于专门的内容查找芯片设计的硬件加速卡在系统中与CPU、网络处理器协同工作，在需要对报文进行内容搜索的情况下，为CPU和网络处理器卸载负担，使得CPU和网络处理器可以专注于报文处理和逻辑检测，从而将内容搜索对系统效率的影响降至最低。目前华为3Com设计的硬件加速卡，可以在千兆的环境下线速地处理流量。

【编辑推荐】