网络安全--安全设备（三）IPS

一、IPS基础

（1）IPS是什么？

入侵防御系统（IPS）是一种网络安全设备，旨在监视网络流量并根据预定义的规则或策略检测和阻止可能的网络攻击。IPS可以部署在关键节点如网络边界、数据中心、云环境、边界防火墙等位置部署，以防止来自外部和内部网络的攻击。

（2）入侵防御系统（IPS）的底层原理

1. 流量监控：IPS系统首先对网络流量进行实时监控，收集并分析网络中传输的数据包，以识别网络流量的行为特征，例如协议类型、端口号、数据包大小、源和目的地址等。

2. 攻击检测：IPS设备使用签名数据库来比对已知的攻击模式，这些签名类似于病毒定义文件，检测可能的网络攻击行为。例如网络扫描、DDoS攻击、SQL注入攻击、漏洞利用、缓冲区溢出攻击、木马、蠕虫等等。IPS可以使用特定的签名或启发式算法来检测攻击，也可以利用机器学习等先进技术进行更复杂的分析。

3. 攻击阻止：一旦IPS检测到潜在的攻击行为，它会立即采取行动来阻止攻击。这些措施可能包括丢弃攻击数据包、阻止攻击源地址的进一步通信等。

4. 漏洞管理：防止攻击者利用关键漏洞进行攻击，例如Apache Struts、Drupal、远程访问、VPN、Microsoft Exchange、Microsoft SMB、操作系统、浏览器和IoT系统中的关键漏洞。IPS还可以对系统中已知的漏洞进行管理，通过修补这些漏洞来减少攻击者利用它们进行攻击的机会。

5. 日志记录和分析：IPS系统会记录和分析网络流量和事件日志，这有助于安全团队识别网络攻击和异常行为，并提供相关的安全报告和警报。

总的来说，IPS是一种重要的网络安全工具，主要实现了防止攻击、检测网络流量、监测系统调用和文件、自动阻止攻击、提供高网络和系统安全性、辅助安全管理（IPS可以提供详细的安全事件报告和日志，辅助安全管理人员进行安全事件的分析和管理。）

（3）IPS工作流程

IPS（入侵防御系统）的工作流程通常包括以下几个关键步骤：

1. 流量捕获：IPS系统首先需要捕获网络流量。这可以通过将IPS设备部署在网络的关键节点上实现，如网络边界、服务器前端或内部网络段。

2. 流量分析：捕获到的流量会被IPS系统分析。这一步骤涉及到对数据包的深入检查，包括但不限于源地址、目的地址、端口号、协议类型以及负载内容。