目前NIDS的产品形态逐渐在发生改变。那肯定有人会问改变前和改变后的入侵检测系统有什么不一样的吗?其实它俩就是D和P的区别,NIDS前者只检测,但NIPS除了检测还经过匹配规则后追加了一个丢包或放行的动作,还有部署上的区别,NIDS比较典型的场景是部署在出口处,用来做统一的流量监控。或者在这个位置部署NIPS,不过 NIDS不一定是完全执行全流量P的功能,因为互联网服务中,除了数据丢失以外可用性是第二大严重问题,所以实现P就会面临延迟和误杀的风险,在海量IDC环境中,想要做到全线业务实时防护基本是不可能的,但又有这样的需求,例如出现了shellshock的漏洞可能需要长时间修复,在这个过程中有漏洞但暴露在外的机器既不能让它下线也不能被黑,因此就需要在前端有一层虚拟补丁,把利用这个漏洞的攻击行为做针对性的过滤,为修复漏洞赢得时间。所以P方案属于一个缓解的版本,利用DDoS引流、清洗(过滤)、回注的防护原理,将需要防护的流量迁移到清洗集群,清洗集群上的过滤规则。所以这不是商业NIPS广告宣称那么全面,是针对几条高危漏洞规则,做一层过滤。剩余的选择维持原路由,这样可以对业务的影响降至最低,尽可能让用户处于无感知状态。一般情况下不需要启用P功能,只使用D就可以,对关键区域做更深层次的关注。
但根据互联网公司的业务成长速度来得出,传统NIDS对于大型互联网公司来说有点应接不暇,主要表现在:
1、IDC数据中心机房规模稍大的很容易超过商业NIDS处理带宽的上限,即使多级部署,也无法像互联网架构做到无缝接入的水平扩展,而且部署多台最高规格商业NIDS的TCO很高。不能和基础架构一起扩展的安全解决方案最终都会受到约束。
2、硬件盒子单点的计算和存储能力有限,存储空间和CPU很容易达到盒子上限,虽然可以清理及转移存储空间但也解决不了根本问题;3、最大的缺点是规则数量会成为整个架构的瓶颈。升级或者变更成本更高,由此会对业务产生影响。
针对大规模的IDC网络,我们应该进行:
1、分层结构,所有节点全线支持水平扩展;检测与防护分离,性能及可用性大幅度提升,按需求决定防护。 报文解析与攻击识别隔离处理;
2、利用大数据集群,使规则数量不会再变成系统瓶颈,而且不局限于静态特征的规则集,能够多维度建模。做到“加规则”可以完全不影响业务。
针对不同的用户他们的需求是不同的,一部分小企业客户需要的可能是傻瓜是的解决方案,而大的互联网公司,则需要的是开放式平台。小墨建议企业可以根据自身的业务制定有效的规则,解决各种可能出现的安全问题。
关于墨者安全
墨者安全致力于安全防护、服务器高防、网络高防、ddos防护、cc防护、dns防护、防劫持、高防服务器、高防dns、网站防护等方面的服务,全网第一款指纹识别技术防火墙,自研的WAF指纹识别架构,提供任意CC和
DDoS攻击防御。