入侵防禦系統（Intrusion Prevention System，IPS）是這段時間網路安全業內比較熱門的一個詞，這種既能及時發現又能實時阻斷各種入侵行為的安全產品，自面世那天起，就受到各大安全廠商和用戶的廣泛關注。
有人認為，入侵防禦系統（IPS）就是入侵檢測系統（Intrusion Detection System，IDS）的升級產品，有了IPS，就可以替代以前的IDS系統，這也正是gartner 在2003年發表那篇著名的“IDS is dead” 的理由。
從入侵防禦系統的起源來看，這個“升級說”似乎有些道理：Network ICE公司在2000年首次提出了IPS這個概念，並於同年的9月18日推出了BlackICE Guard，這是一個串列部署的IDS，直接分析網路數據並實時對惡意數據進行丟棄處理。
但這種概念一直受到質疑，自2002年IPS概念傳入國內起，IPS這個新型的產品形態就不斷地受到挑戰，而且各大安全廠商、客戶都沒有表現出對IPS的興趣，普遍的一個觀點是：在IDS基礎上發展起來的IPS產品，在沒能解決IDS固有問題的前提下，是無法得到推廣應用的。
這個固有問題就是“誤報”和“濫報”，IDS的用戶常常會有這種苦惱：IDS介面上充斥著大量的報警資訊，經過安全專家分析後，被告知這是誤警。但在IDS旁路檢測的部署形式下，這些誤警對正常業務不會造成影響，僅需要花費資源去做人工分析。而串列部署的IPS就完全不一樣了，一旦出現了誤報或濫報，觸發了主動的阻斷響應，用戶的正常業務就有可能受到影響，這是所有用戶都不願意看到和接受的。正是這個原因，導致了IPS概念在05年之前的國內市場表現平淡。
隨著時間的推進，自2006年起，大量的國外廠商的IPS產品進入國內市場，各本土廠商和用戶都開始重新關注起IPS這一併不新鮮的“新”概念。
IPS到底是什麼？
“IPS可以阻斷攻擊，這正是IDS所做不了的，所以IPS是IDS的升級，是IDS的替代品”，可能很多人都會有這種看法。
我們先來看IPS的產生原因：
A：串列部署的防火牆可以攔截低層攻擊行為，但對應用層的深層攻擊行為無能為力。
B：旁路部署的IDS可以及時發現那些穿透防火牆的深層攻擊行為，作為防火牆的有益補充，但很可惜的是無法實時的阻斷。
C： IDS和防火牆聯動：通過IDS來發現，通過防火牆來阻斷。但由於迄今為止沒有統一的介面規範，加上越來越頻發的“瞬間攻擊”（一個會話就可以達成攻擊效果，如SQL注入、溢出攻擊等），使得IDS與防火牆聯動在實際應用中的效果不顯著。
於是就有下面的一種想法，如圖1所示。
圖1 IPS的起源
這就是IPS產品的起源：一種能防禦防火牆所不能防禦的深層入侵威脅（入侵檢測技術）的線上部署（防火牆方式）安全產品。
而為什麼會有這種需求呢？是由於用戶發現了一些無法控制的入侵威脅行為，這也正是IDS的作用。
入侵檢測系統（IDS）對那些異常的、可能是入侵行為的數據進行檢測和報警，告知使用者網路中的實時狀況，並提供相應的解決、處理方法，是一種側重於風險管理的安全產品。
入侵防禦系統（IPS）對那些被明確判斷為攻擊行為，會對網路、數據造成危害的惡意行為進行檢測和防禦，降低或是減免使用者對異常狀況的處理資源開銷，是一種側重於風險控制的安全產品。
這也解釋了IDS和IPS的關係，並非取代和互斥，而是相互協作：沒有部署IDS的時候，只能是憑感覺判斷，應該在什麼地方部署什麼樣的安全產品，通過IDS的廣泛部署，了解了網路的當前實時狀況，據此狀況可進一步判斷應該在何處部署何類安全產品（IPS等）。
IPS應該看重那些方面的功能？
有些人認為：“IPS應該具備各種擴展功能，ACL、路由、NAT，一個都不能少”。“IPS最重要的就是性能了，其他的都不重要”。
入侵防禦系統作為串接部署的設備，確保用戶業務不受影響是一個重點，錯誤的阻斷必定意味著影響正常業務，在錯誤阻斷的情況下，各種所謂擴展功能、高性能都是一句空話。這就引出了IPS設備所應該關心的重點——精確阻斷，即精確判斷各種深層的攻擊行為，並實現實時的阻斷。
精確阻斷解決了自IPS概念出現以來用戶和廠商的最大困惑：如何確保IPS無誤報和濫報，使得串接設備不會形成新的網路故障點？
而作為一款防禦入侵攻擊的設備，毫無疑問，防禦各種深層入侵行為是第二個重點，這也是IPS系統區別於其他安全產品的本質特點；這也給精確阻斷加上了一個修飾語：保障深層防禦情況下的精確阻斷，即在確保精確阻斷的基礎上，儘量多地發現攻擊行為（如SQL注入攻擊、緩衝區溢出攻擊、惡意代碼攻擊、後門、木馬、間諜軟體），這才是IPS發展的主線功能。
如何確保對深層入侵行為的準確判斷？剛剛推出天清入侵防禦系統的專業安全廠商啟明星辰有著自己獨特的技術和專利。啟明星辰的技術專家介紹說，依託多年以來在入侵檢測技術方面的深厚積累，啟明星辰獨創性地建立了柔性化檢測機制，在確保精確判定攻擊行為的基礎上，涵蓋了各種攻擊手法類型。
我們知道常用的攻擊檢測方法有兩種，一種方法是通過定義攻擊行為的數據特徵來實現對已知攻擊的檢測，其優勢是技術上實現簡單、易於擴充、可迅速實現對特定新攻擊的檢測和攔截；但僅能識別已知攻擊、抗變種能力弱。另一種方法是通過分析攻擊產生原理，定義攻擊類型的統一特徵，能準確識別基於相同原理的各種攻擊、不受攻擊變種的影響，但技術門檻高、擴充複雜、應對新攻擊速度有限。兩種檢測機制如圖2所示。
圖2 基於特徵和原理的檢測機制對比
融合“基於特徵的檢測機制”和“基於原理的檢測機制”形成的 “柔性檢測”機制，它最大的特點就是基於原理的檢測方法與基於特徵的檢測方法並存，有機組合了兩種檢測方法的優勢。這種融合不僅是一個兩種檢測方法的大融合，而且細分到對攻擊檢測防禦的每一個過程中，在抗躲避的處理、協議分析、攻擊識別等過程中都包含了動態與靜態檢測的融合，如圖3所示。
圖3 啟明星辰柔性檢測機制原理
通過運用柔性檢測機制，天清入侵防禦系統進一步增強了設備的抗躲避能力、精確阻斷能力、變形攻擊識別能力和對新攻擊應變能力，提高了精確檢測的覆蓋面。
當然，前面提到的擴展功能和高性能，也是入侵防禦系統所必需關注的內容，但也要符合產品的主線功能發展趨勢。如針對P2P的限制：P2P作為一種新興的下載手段，得到了極為廣泛的運用，但由無限制的P2P應用會影響網路的帶寬消耗，並且還隨此帶來知識產權、病毒等多種相關問題。而實現對P2P的控制和限制，需要較為深入的應用層分析，交給IPS來限制、防範，是一個比較恰當的選擇。而ACL控制、路由、NAT等，這些都是防火墻可以完成的工作，在IPS上來實現這些功能，就有畫蛇添足之嫌了。
性能表現是IPS的又一重要指標，但這裡的性能應該是更廣泛含義上的性能：包括了最大的參數表現和異常狀況下的穩定保障。也就是說，性能除了需要關注諸如“吞吐率多大？”，“轉發時延多長？”，“一定背景流下檢測率如何？”等性能參數表現外，還需要關注：“如果出現了意外情況，怎樣/多快能恢復網路的正常通訊？”，這個問題也是IPS出現之初被質疑的一個重點。串接設備出現故障和旁路設備不一樣，是會影響到正常業務運營的，而做深層分析的串接設備更加如此，在長時間做大量數據深度分析的情況下，如何確保通訊的順暢？如何確保出現異常情況後通訊的順暢？
天清入侵防禦系統通過內置硬體Watchdog、軟體監控進程，對系統的異常實時監控和處理，實現了軟體和硬體的雙BYPASS功能，在各種異常情況下確保了網路的通暢，部署後不增加網路故障點。天清IPS始終遵循最短時間優先原則，調度任務、演算法和CPU時間，具體如圖4所示。
圖4 天清IPS的性能表現
IPS的未來發展方向是什麼？
明確了IPS的主線功能是深層防禦、精確阻斷後，IPS未來發展趨勢也就明朗化了：不斷豐富和完善IPS可以精確阻斷的攻擊種類和類型，並在此基礎之上提升IPS產品的設備處理性能。
而在提升性能方面存在的一個悖論就是：需提升性能，除了在軟體處理方式上優化外，硬體架構的設計也是一個非常重要的方面，目前的ASIC/NP等高性能硬體，都是採用嵌入式指令+專用語言開發，將已知攻擊行為的特徵固化在電子固件上，雖然能提升匹配的效率，但在攻擊識別的靈活度上過於死板（對變種較難發現），在新攻擊特徵的更新上有所滯後（需做特徵的編碼化）。而基於開放硬體平臺的IPS由於採用的是高級編程語言，不存在變種攻擊識別和特徵更新方面的問題，但在性能上存在處理效率瓶頸：暫時達不到電信級骨幹網路的流量要求。
所以，入侵防禦系統的未來發展方向應該有以下兩個方面：
第一、更加廣泛的精確阻斷範圍：擴大可以精確阻斷的事件類型，尤其是針對變種以及無法通過特徵來定義的攻擊行為的防禦。
第二、適應各種組網模式：在確保精確阻斷的情況下，適應電信級骨幹網路的防禦需求。
(責任編輯：李磊)
