网络安全设备介绍

网络安全设备网络安全设备 1 1、防火墙、防火墙 防火墙指的是一个有软件和硬件设备组合而成、在内部网和外部网之 间、专用网与公共网之间的界面上构造的保护屏障.它可通过监测、限制、 更改跨越防火墙的数据流，尽可能地对外部屏蔽网络内部的信息、结构和 运行状况,以此来实现网络的安全保护. 1、过滤进、出网络的数据 2、防止不安全的协议和服务 3、管理进、出网络的访问行为 4、记录通过防火墙的信息内容 5、对网络攻击进行检测与警告 6、防止外部对内部网络信息的获取 7、提供与外部连接的集中管理 1、网络层防火墙 一般是基于源地址和目的地址、应用、协议以及每个IP 包的端口来 作出通过与否的判断。防火墙检查每一条规则直至发现包中的信息与某规 则相符。如果没有一条规则能符合，防火墙就会使用默认规则，一般情况 下，默认规则就是要求防火墙丢弃该包，其次,通过定义基于 TCP 或 UDP 数据包的端口号,防火墙能够判断是否允许建立特定的连接，如Telnet、 FTP 连接。 2、应用层防火墙 针对特别的网络应用服务协议即数据过滤协议，并且能够对数据包分 析并形成相关的报告. 传统防火墙是主动安全的概念； 因为默认情况下是关闭所有的访问，然后再通过定制策略去开放允许 开放的访问。 主要是一款全面应对应用层威胁的高性能防火墙。可以做到智能化主 动防御、应用层数据防泄漏、应用层洞察与控制、威胁防护等特性。 下一代防火墙在一台设备里面集成了传统防火墙、IPS、应用识别、 内容过滤等功能既降低了整体网络安全系统的采购投入，又减去了多台设 备接入网络带来的部署成本,还通过应用识别和用户管理等技术降低了管 理人员的维护和管理成本。 防火墙部署于单位或企业内部网络的出口位置. 1、不能防止源于内部的攻击，不提供对内部的保护 2、不能防病毒 3、不能根据网络被恶意使用和攻击的情况动态调整自己的策略 4、本身的防攻击能力不够，容易成为被攻击的首要目标 定义 主要功能 主要类型 主动被动 下一代防 火墙 （NGFW) 使用方式 局限性 2 2、、IDSIDS（入侵检测系统）（入侵检测系统） 入侵检测即通过从网络系统中的若干关键节点收集并分析信息， 监控网络中是否有违反安全策略的行为或者是否存在入侵行为。入侵 定义 检测系统通常包含 3 个必要的功能组件：信息来源、分析引擎和响应 组件。 1、信息收集 信息收集包括收集系统、网络、数据及用户活动的状态和行为.入 侵检测利用的信息一般来自：系统和网络日志文件、非正常的目录和 文件改变、非正常的程序执行这三个方面。 2、信号分析 工作原理 对收集到的有关系统、网络、数据及用户活动的状态和行为等信 息，是通过模式匹配、统计分析和完整性分析这三种手段进行分析的。 前两种用于实时入侵检测，完整性分析用于事后分析. 3、告警与响应 根据入侵性质和类型，做出相应的告警与响应。 它能够提供安全审计、监视、攻击识别和反攻击等多项功能，对 内部攻击、外部攻击和误操作进行实时监控，在网络安全技术中起到 了不可替代的作用。 1、实时监测：实时地监视、分析网络中所有的数据报文，发现并 主要功能 实时处理所捕获的数据报文； 2、安全审计：对系统记录的网络事件进行统计分析,发现异常现 象，得出系统的安全状态,找出所需要的证据 3、主动响应：主动切断连接或与防火墙联动,调用其他程序处理。 1、基于主机的入侵检测系统(HIDS）：基于主机的入侵检测系统 是早期的入侵检测系统结构,通常是软件型的,直接安装在需要保护的 主机上。其检测的目标主要是主机系统和系统本地用户,检测原理是根 据主机的审计数据和系统日志发现可疑事件。 这种检测方式的优点主要有：信息更详细、误报率要低、部署灵 活。这种方式的缺点主要有：会降低应用系统的性能;依赖于服务器原 有的日志与监视能力；代价较大；不能对网络进行监测；需安装多个 针对不同系统的检测系统。 2、基于网络的入侵检测系统(NIDS)：基于网络的入侵检测方式是 主要类型目前一种比较主流的监测方式，这类检测系统需要有一台专门的检测 设备。检测设备放置在比较重要的网段内，不停地监视网段中的各种 数据包，而不再是只监测单一主机。它对所监测的网络上每一个数据 包或可疑的数据包进行特征分析，如果数据包与产品内置的某些规则 吻合，入侵检测系统就会发出警报，甚至直接切断网络连接。目前， 大部分入侵检测产品是基于网络的。 这种检测技术的优点主要有：能够检测那些来自网络的攻击和超 过授权的非法访问;不需要改变服务器等主机的配置,也不会影响主机 性能；风险低；配置简单。其缺点主要是:成本高、检测范围受局限； 大量计算，影响系统性能;大量分析数据流，影响系统性能;对加密的 会话过程处理较难;网络流速高时可能会丢失许多封包,容易让入侵者 有机可乘；无法检测加密的封包；对于直接对主机的入侵无法检测出。 入侵检测系统是一种对网络传输进行即时监视，在发现可疑传输 时发出警报或者采取主动反应措施的网络安全设备。绝大多数 IDS 系 主动被动 统都是被动的。也就是说，在攻击实际发生之前，它们往往无法预先 发出警报。 作为防火墙后的第二道防线，适于以旁路接入方式部署在具有重 使用方式 要业务系统或内部网络安全性、保密性较高的网络出口处。 1、误报率高:主要表现为把良性流量误认为恶性流量进行误报。还有 些 IDS 产品会对用户不关心事件的进行误报。 2、产品适应能力差：传统的IDS 产品在开发时没有考虑特定网络环境 下的需求，适应能力差。入侵检测产品要能适应当前网络技术和设备 的发展进行动态调整，以适应不同环境的需求。 局限性3、大型网络管理能力差：首先，要确保新的产品体系结构能够支持数 以百计的 IDS 传感器;其次,要能够处理传感器产生的告警事件；最后 还要解决攻击特征库的建立，配置以及更新问题. 4、缺少防御功能：大多数 IDS 产品缺乏主动防御功能。 5、处理性能差：目前的百兆、千兆IDS 产品性能指标与实际要求还存 在很大的差距。 3 3、、IPS(IPS(入侵防御系统）入侵防御系统） 入侵防御系统是一部能够监视网络或网络设备的网络资料传输行 定义为的计算机网络安全设备，能够即时的中断、调整或隔离一些不正常 或是具有伤害性的网络资料传输行为. 1、串行部署的防火墙可以拦截低层攻击行为，但对应用层的深层攻击 行为无能为力。 2、旁路部署的 IDS 可以及时发现那些穿透防火墙的深层攻击行为，作 为防火墙的有益补充，但很可惜的是无法实时的阻断。 3、IDS 和防火墙联动:通过 IDS 来发现，通过防火墙来阻断。但由于迄 今为止没有统一的接口规范,加上越来越频发的“瞬间攻击”（一个会 话就可以达成攻击效果，如 SQL 注入、溢出攻击等），使得IDS 与防 火墙联动在实际应用中的效果不显著。 产生背景入侵检测系统(IDS）对那些异常的、可能是入侵行为的数据进行 检测和报警,告知使用者网络中的实时状况,并提供相应的解决、处理 方法,是一种侧重于风险管理的安全产品。 入侵防御系统(IPS）对那些被明确判断为攻击行为，会对网络、 数据造成危害的恶意行为进行检测和防御，降低或是减免使用者对异 常状况的处理资源开销,是一种侧重于风