1.入侵檢測(cè)系統(tǒng)(IDS)
IDS是英文“Intrusion Detection Systems”的縮寫，中文意思是“入侵檢測(cè)系統(tǒng)”。專業(yè)上講就是依照一定的安全策略，對(duì)網(wǎng)絡(luò)、系統(tǒng)的運(yùn)行狀況進(jìn)行監(jiān)視，盡可能發(fā)現(xiàn)各種攻擊企圖、攻擊行為或者攻擊結(jié)果，以保證網(wǎng)絡(luò)系統(tǒng)資源的機(jī)密性、完整性和可用性。
我們做一個(gè)比喻——假如防火墻是一幢大廈的門鎖，那么IDS就是這幢大廈里的監(jiān)視系統(tǒng)。一旦小偷進(jìn)入了大廈，或內(nèi)部人員有越界行為，只有實(shí)時(shí)監(jiān)視系統(tǒng)才能發(fā)現(xiàn)情況并發(fā)出警告。
與防火墻不同的是，IDS入侵檢測(cè)系統(tǒng)是一個(gè)旁路監(jiān)聽(tīng)設(shè)備，沒(méi)有也不需要跨接在任何鏈路上，無(wú)須網(wǎng)絡(luò)流量流經(jīng)它便可以工作。因此，對(duì)IDS的部署的要求是：IDS應(yīng)當(dāng)掛接在所有所關(guān)注的流量都必須流經(jīng)的鏈路上。在這里，“所關(guān)注流量”指的是來(lái)自高危網(wǎng)絡(luò)區(qū)域的訪問(wèn)流量和需要進(jìn)行統(tǒng)計(jì)、監(jiān)視的網(wǎng)絡(luò)報(bào)文。
IDS在交換式網(wǎng)絡(luò)中的位置一般選擇為：盡可能靠近攻擊源、盡可能靠近受保護(hù)資源。
這些位置通常是：
·服務(wù)器區(qū)域的交換機(jī)上；
·Internet接入路由器之后的第一臺(tái)交換機(jī)上；
·重點(diǎn)保護(hù)網(wǎng)段的局域網(wǎng)交換機(jī)上。
2.入侵防御系統(tǒng)(IPS)
IPS是英文“Intrusion Prevention System”的縮寫，中文意思是入侵防御系統(tǒng)。
隨著網(wǎng)絡(luò)攻擊技術(shù)的不斷提高和網(wǎng)絡(luò)安全漏洞的不斷發(fā)現(xiàn)，傳統(tǒng)防火墻技術(shù)加傳統(tǒng)IDS的技術(shù)，已經(jīng)無(wú)法應(yīng)對(duì)一些安全威脅。在這種情況下，IPS技術(shù)應(yīng)運(yùn)而生，IPS技術(shù)可以深度感知并檢測(cè)流經(jīng)的數(shù)據(jù)流量，對(duì)惡意報(bào)文進(jìn)行丟棄以阻斷攻擊，對(duì)濫用報(bào)文進(jìn)行限流以保護(hù)網(wǎng)絡(luò)帶寬資源。
對(duì)于部署在數(shù)據(jù)轉(zhuǎn)發(fā)路徑上的IPS，可以根據(jù)預(yù)先設(shè)定的安全策略，對(duì)流經(jīng)的每個(gè)報(bào)文進(jìn)行深度檢測(cè)（協(xié)議分析跟蹤、特征匹配、流量統(tǒng)計(jì)分析、事件關(guān)聯(lián)分析等），如果一旦發(fā)現(xiàn)隱藏于其中網(wǎng)絡(luò)攻擊，可以根據(jù)該攻擊的威脅級(jí)別立即采取抵御措施，這些措施包括（按照處理力度）：向管理中心告警；丟棄該報(bào)文；切斷此次應(yīng)用會(huì)話；切斷此次TCP連接。
進(jìn)行了以上分析以后，我們可以得出結(jié)論，辦公網(wǎng)中，至少需要在以下區(qū)域部署IPS，即辦公網(wǎng)與外部網(wǎng)絡(luò)的連接部位（入口/出口）；重要服務(wù)器集群前端；辦公網(wǎng)內(nèi)部接入層。至于其它區(qū)域，可以根據(jù)實(shí)際情況與重要程度，酌情部署。
IDS是英文“Intrusion Detection Systems”的縮寫，中文意思是“入侵檢測(cè)系統(tǒng)”。專業(yè)上講就是依照一定的安全策略，對(duì)網(wǎng)絡(luò)、系統(tǒng)的運(yùn)行狀況進(jìn)行監(jiān)視，盡可能發(fā)現(xiàn)各種攻擊企圖、攻擊行為或者攻擊結(jié)果，以保證網(wǎng)絡(luò)系統(tǒng)資源的機(jī)密性、完整性和可用性。
我們做一個(gè)比喻——假如防火墻是一幢大廈的門鎖，那么IDS就是這幢大廈里的監(jiān)視系統(tǒng)。一旦小偷進(jìn)入了大廈，或內(nèi)部人員有越界行為，只有實(shí)時(shí)監(jiān)視系統(tǒng)才能發(fā)現(xiàn)情況并發(fā)出警告。
與防火墻不同的是，IDS入侵檢測(cè)系統(tǒng)是一個(gè)旁路監(jiān)聽(tīng)設(shè)備，沒(méi)有也不需要跨接在任何鏈路上，無(wú)須網(wǎng)絡(luò)流量流經(jīng)它便可以工作。因此，對(duì)IDS的部署的要求是：IDS應(yīng)當(dāng)掛接在所有所關(guān)注的流量都必須流經(jīng)的鏈路上。在這里，“所關(guān)注流量”指的是來(lái)自高危網(wǎng)絡(luò)區(qū)域的訪問(wèn)流量和需要進(jìn)行統(tǒng)計(jì)、監(jiān)視的網(wǎng)絡(luò)報(bào)文。
IDS在交換式網(wǎng)絡(luò)中的位置一般選擇為：盡可能靠近攻擊源、盡可能靠近受保護(hù)資源。
這些位置通常是：
·服務(wù)器區(qū)域的交換機(jī)上；
·Internet接入路由器之后的第一臺(tái)交換機(jī)上；
·重點(diǎn)保護(hù)網(wǎng)段的局域網(wǎng)交換機(jī)上。
2.入侵防御系統(tǒng)(IPS)
IPS是英文“Intrusion Prevention System”的縮寫，中文意思是入侵防御系統(tǒng)。
隨著網(wǎng)絡(luò)攻擊技術(shù)的不斷提高和網(wǎng)絡(luò)安全漏洞的不斷發(fā)現(xiàn)，傳統(tǒng)防火墻技術(shù)加傳統(tǒng)IDS的技術(shù)，已經(jīng)無(wú)法應(yīng)對(duì)一些安全威脅。在這種情況下，IPS技術(shù)應(yīng)運(yùn)而生，IPS技術(shù)可以深度感知并檢測(cè)流經(jīng)的數(shù)據(jù)流量，對(duì)惡意報(bào)文進(jìn)行丟棄以阻斷攻擊，對(duì)濫用報(bào)文進(jìn)行限流以保護(hù)網(wǎng)絡(luò)帶寬資源。
對(duì)于部署在數(shù)據(jù)轉(zhuǎn)發(fā)路徑上的IPS，可以根據(jù)預(yù)先設(shè)定的安全策略，對(duì)流經(jīng)的每個(gè)報(bào)文進(jìn)行深度檢測(cè)（協(xié)議分析跟蹤、特征匹配、流量統(tǒng)計(jì)分析、事件關(guān)聯(lián)分析等），如果一旦發(fā)現(xiàn)隱藏于其中網(wǎng)絡(luò)攻擊，可以根據(jù)該攻擊的威脅級(jí)別立即采取抵御措施，這些措施包括（按照處理力度）：向管理中心告警；丟棄該報(bào)文；切斷此次應(yīng)用會(huì)話；切斷此次TCP連接。
進(jìn)行了以上分析以后，我們可以得出結(jié)論，辦公網(wǎng)中，至少需要在以下區(qū)域部署IPS，即辦公網(wǎng)與外部網(wǎng)絡(luò)的連接部位（入口/出口）；重要服務(wù)器集群前端；辦公網(wǎng)內(nèi)部接入層。至于其它區(qū)域，可以根據(jù)實(shí)際情況與重要程度，酌情部署。