学习笔记:入侵检测与防御技术应用

功能介绍

NIP能够检测出多种类型的网络攻击，并能采取相应的措施保护内部网络免受恶意攻击。

Web应用防护：
• 互联网中90%的应用都架设在Web平台上，包括网上银行、网络购物、网络游戏、门户网站、企业ERP/CRM等。不论是企业内部应用或是外部网络服务均离不开Web技术，Web技术在承载重要网络应用的同时，也存在着巨大的安全风险。目前，针对Web应用漏洞的攻击已经成为主流，占Web攻击的一半以上，其中尤以SQL注入攻击和跨站脚本攻击最为突出。另外，各种扫描、猜测和窥探攻击，还有对于服务器可用性产生极大危害的DoS/DDoS攻击，严重威胁着Web应用的安全性。
• Web应用防护已成为企业网络安全防护的重心。NIP6000提供丰富的签名用来防御SQL注入攻击和XSS跨站脚本攻击，同时还提供DoS/DDoS攻击防御功能为Web服务器提供有效安全防护。而且还可以对传统单包攻击进行有效的防范。

异常流量防护：
• 通常情况下，在大中型企业、数据中心等网络中往往部署着服务器，而服务器（如邮件服务器、Web服务器等）已成为网络攻击的重点。目前有针对性的攻击往往采用大流量的DDoS类型的攻击，如常见的SYN Flood、UDP Flood、ICMP Flood、HTTP Flood、HTTPS Flood、DNS Flood和SIP Flood攻击，这些DDoS类型的攻击不仅造成网络带宽拥塞，同时还严重威胁着服务器正常提供业务，甚者造成服务器宕机。

反病毒
• NIP6000提供的反病毒功能对最容易传播病毒的文件传输与共享协议以及邮件协议进行检测和扫描，可以防范多种躲避病毒检测的机制，实现针对病毒的强大防护能力。
• 支持丰富的应用层协议和应用程序：支持对HTTP、FTP、SMTP、POP3、IMAP、NFS、SMB传输的文件进行病毒检测。
• 支持对压缩文件进行病毒扫描：支持对zip、gzip和tar压缩文件进行解压，然后再进行病毒扫描，最高可支持3层解压。
• 支持海量的病毒特征库。
o NIP6000自带的病毒特征库支持检测主流的病毒家族，可以覆盖常见的流行病毒。
• 支持针对不同流量配置不同的防护措施，支持添加应用例外和病毒例外定制病毒防护策略。
o 通过安全策略，网络管理员可以针对不同流量制定细粒度的防护策略，对不同的网络环境采取不同级别的保护。
o 同时，通过对部分常见的基于HTTP协议的应用程序设置额外的防护动作，或者根据日志将部分误报的病毒类型添加到病毒例外中，可以对反病毒策略进行灵活的调整，以保证业务的正常传输。

应用场景

• 如图所示，NIP6000的主要的应用场景有互联网边界、IDC/服务器前端、网络边界、旁路监控。

互联网边界

• 此种场景NIP6000一般部署于出口防火墙或路由器后端、透明接入网络。如果需要保护多条链路，可使用NIP6000的多个接口对同时接入。

该场景下主要关注如下功能：
o 应用控制：对P2P、视频网站、即时通讯软件等应用流量进行合理控制，保证企业主要业务的顺畅运行。
o 入侵防御：防御来自互联网的蠕虫活动、针对浏览器和插件漏洞的攻击，使得企业办公网络健康