產(chǎn)品說明-天融信網(wǎng)絡衛(wèi)士入侵防御TopIDP系列

天融信網(wǎng)絡衛(wèi)士入侵防御系統(tǒng)TopIDP系列產(chǎn)品說明天融信網(wǎng)絡衛(wèi)士入侵防御TopIDP系列產(chǎn)品說明天融信TOPSEC?北京市海淀區(qū)上地東路1號華控大廈100085電話：(86)10-82776666傳真：(86)10-82776677服務熱線：400-610-5119800-810-5119Http:// 天融信網(wǎng)絡衛(wèi)士入侵防御系統(tǒng)TopIDP系列產(chǎn)品說明PAGEi目目錄1 前言 22 網(wǎng)絡入侵檢測與防御系概況 22.1 入侵防御系統(tǒng)與防火墻 32.2 入侵防御系統(tǒng)與IDS 33 天融信網(wǎng)絡衛(wèi)士入侵防御系統(tǒng)TopIDP 33.1 產(chǎn)品概述 33.2 TopIDP體系架構 43.3 TopIDP主要功能 53.4 天融信網(wǎng)絡衛(wèi)士入侵防御系統(tǒng)TopIDP特點 63.4.1 領先的多核SmartAMP并行處理架構 63.4.2 強大的攻擊檢測能力 63.4.3 精準的應用協(xié)議識別能力 73.4.4 實用的網(wǎng)絡病毒檢測功能 73.4.5 智能的上網(wǎng)行為監(jiān)控和管理 83.4.6 立體的Web安全防護 83.4.7 精確的QOS流量控制能力 83.4.8 靈活的自定義規(guī)則能力 93.4.9 豐富的網(wǎng)絡部署方式 93.4.10 高可靠的業(yè)務保障能力 93.4.11 可視化的實時報表功能 104 天融信入侵防御系統(tǒng)TopIDP部署方案 114.1.1 典型部署 114.1.2 內(nèi)網(wǎng)部署 124.1.3 IDP.VS.IDS混合部署 135 結論 14 天融信網(wǎng)絡衛(wèi)士入侵防御系統(tǒng)TopIDP系列產(chǎn)品說明天融信公司PAGE14前言隨著計算機網(wǎng)絡與信息化技術的高速發(fā)展，越來越多的企業(yè)、政府構建了自己的互聯(lián)網(wǎng)絡信息化系統(tǒng)，互聯(lián)網(wǎng)絡已成為人們生活中必不可缺的工具，在網(wǎng)絡帶來高效和快捷的同時，網(wǎng)絡安全形勢也從早期的隨意性攻擊，逐步走向了以政治或經(jīng)濟利益為主的攻擊；攻擊的手段從早期簡單的掃描、暴力破解逐步過渡到通過緩沖區(qū)溢出、蠕蟲病毒、木馬后門、間諜軟件、SQL注入、DOS/DDoS等各種混合手段攻擊；攻擊的層面也從網(wǎng)絡層，傳輸層轉換到高級別的網(wǎng)絡應用層面；而很多黑客攻擊行為也由單個個體轉變到有組織的群體攻擊行為上，其攻擊行為有明顯的政治或經(jīng)濟訴求目的，給政府、企業(yè)的網(wǎng)絡信息業(yè)務系統(tǒng)安全造成極大隱患。同時，大量的網(wǎng)絡資源濫用充斥在整個網(wǎng)絡通路上，各種基于P2P協(xié)議的資源下載工具、網(wǎng)絡視頻、網(wǎng)絡游戲、IM視頻通訊工具等造成企業(yè)網(wǎng)絡帶寬過度消耗，影響企業(yè)正常業(yè)務系統(tǒng)運行。能否主動發(fā)現(xiàn)并防御這些網(wǎng)絡攻擊，規(guī)范終端的網(wǎng)絡行為，保護企業(yè)的信息化資產(chǎn)，保障企業(yè)業(yè)務系統(tǒng)的正常運行，是企業(yè)要面臨的重要問題。網(wǎng)絡入侵防御系概況網(wǎng)絡入侵防御系統(tǒng)，簡稱IDP（IntrusionDetectionandPreventionSystem），是串聯(lián)在計算機網(wǎng)絡中可對網(wǎng)絡數(shù)據(jù)流量進行深度檢測、實時分析，并對網(wǎng)絡中的攻擊行為進行主動防御的安全設備；入侵防御系統(tǒng)主要是對應用層的數(shù)據(jù)流進行深度分析，動態(tài)地保護來自內(nèi)部和外部網(wǎng)絡攻擊行為的網(wǎng)關設備。必須同時具備以下功能深層檢測(deeppacketinspection)串連模式(in-linemode)即時偵測(real-timedetection)主動防御(proactiveprevention)線速運行(wire-linespeed)入侵防御系統(tǒng)與防火墻入侵防御系統(tǒng)和防火墻是兩種完全獨立的安全網(wǎng)關設備。從兩個產(chǎn)品關注的安全范圍來看，防火墻更多的是進行細粒度的訪問控制，同時還提供網(wǎng)絡地址轉換、應用服務代理和身份準入控制等功能；入侵防御系統(tǒng)則重點關注網(wǎng)絡攻擊行為，尤其是對應用層協(xié)議進行分析，并主動阻斷攻擊行為。防火墻是實施訪問控制策略的系統(tǒng)，對流經(jīng)的網(wǎng)絡流量進行檢查，攔截不符合安全策略的數(shù)據(jù)包。而入侵防護系統(tǒng)(IPS)則傾向于提供主動防護，是預先對入侵活動和攻擊性網(wǎng)絡流量進行攔截，避免其造成損失，而不是簡單地在惡意流量傳送時或傳送后才發(fā)出警報。在實際部署上，企業(yè)可以根據(jù)網(wǎng)絡環(huán)境，充分發(fā)揮防火墻和IPS各自的技術優(yōu)勢，進行混合部署。入侵防御系統(tǒng)與IDS入侵檢測系統(tǒng)以旁路方式部署，被動監(jiān)聽網(wǎng)絡上所有實時傳輸數(shù)據(jù)。雖然很多IDS設備可以和防火墻進行策略聯(lián)動，在IDS發(fā)現(xiàn)攻擊行為后，通知防火墻生成阻斷規(guī)則或者以TCPReset方式對攻擊行為進行防護，但這些方式都存在滯后性。IDS更多情況下，是為用戶提供全面的信息展現(xiàn)，為改善用戶網(wǎng)絡的風險控制環(huán)境提供決策依據(jù)，同時對網(wǎng)絡中所發(fā)生的攻擊事件進行事后審計。入侵防御系統(tǒng)以在線方式部署，實時分析鏈路上的傳輸數(shù)據(jù)，對隱藏在其中的攻擊行為進行阻斷，專注的是深層防御、主動阻斷。天融信網(wǎng)絡衛(wèi)士入侵防御系統(tǒng)TopIDP產(chǎn)品概述天融信公司的網(wǎng)絡衛(wèi)士入侵防御系統(tǒng)（以下簡稱TopIDP產(chǎn)品）采用在線部署方式，能夠實時檢測和阻斷包括溢出攻擊、RPC攻擊、WEBCGI攻擊、拒絕服務、木馬、蠕蟲、系統(tǒng)漏洞等在內(nèi)的11大類超過3500種網(wǎng)絡攻擊行為，有效保護用戶網(wǎng)絡IT服務資源，使其免受各種外部攻擊侵擾。TopIDP產(chǎn)品能夠阻斷或限制p2p下載、網(wǎng)絡視頻、網(wǎng)絡游戲等各種網(wǎng)絡帶寬濫用行為，確保網(wǎng)絡業(yè)務通暢。TopIDP產(chǎn)品還提供了詳盡的攻擊事件記錄、各種統(tǒng)計報表，并以可視化方式動態(tài)展示，實現(xiàn)實時的全網(wǎng)威脅分析。TopIDP產(chǎn)品全系列采用多核處理器硬件平臺，基于先進的新一代并行處理技術架構，內(nèi)置處理器動態(tài)負載均衡專利技術，實現(xiàn)了對網(wǎng)絡數(shù)據(jù)流的高性能實時檢測和防御。TopIDP產(chǎn)品采用基于目標主機的流檢測引擎，可即時處理IP分片和TCP流重組，有效阻斷各種逃逸檢測的攻擊手段。天融信公司內(nèi)部的攻防專業(yè)實驗室通過與廠商和國家權威機構的合作，不斷跟蹤、挖掘和分析新出現(xiàn)的各種漏洞信息，并將研究成果直接應用于產(chǎn)品，保障了TopIDP產(chǎn)品檢測的全面、準確和及時有效。TopIDP產(chǎn)品除入侵防御功能外，還具有智能協(xié)議識別、P2P流量控制、網(wǎng)絡病毒防御、上網(wǎng)行為管理、惡意網(wǎng)站過濾、內(nèi)網(wǎng)監(jiān)控和web安全防御等功能，是集多種功能為一體的綜合性內(nèi)容安全設備，為用戶提供了完整的立體式網(wǎng)絡安全防護。與市場上同類入侵防御產(chǎn)品相比，TopIDP產(chǎn)品具有更高的檢測性能、更精準的檢測能力、更細的控制粒度、更豐富的安全功能、更完善的支持和服務保障，體現(xiàn)了最新的內(nèi)容安全設備和解決方案發(fā)展方向，是用戶構筑網(wǎng)絡內(nèi)容安全系統(tǒng)的理想選擇。TopIDP體系架構天融信網(wǎng)絡衛(wèi)士入侵防御產(chǎn)品TopIDP采用的是基于獨創(chuàng)專利技術（專利號：200810241123.9）打造的SmartAMP架構。這種架構將多個處理器內(nèi)核區(qū)別看待，一類運行完整的系統(tǒng)和相對復雜的任務，另一類在其上建立一種“潔凈”的系統(tǒng)環(huán)境（有時候直接叫做“裸核”環(huán)境），在這個環(huán)境中，沒有內(nèi)核之間的IPI通信開銷，也沒有任務調度和中斷，只運行單一任務（如收發(fā)數(shù)據(jù)、模式匹配等），因此獲得了極高的性能。TopIDP產(chǎn)品包括三個主要組件：入侵防御引擎、集中管理器和升級站點入侵防御引擎(ProtectEngine)入侵防御引擎用于檢測網(wǎng)絡中數(shù)據(jù)的合法性，是TopIDP產(chǎn)品的核心組件。應當以嵌入模式部署于要保護的網(wǎng)絡中。引擎內(nèi)置違反安全事件數(shù)據(jù)庫，用于存儲檢測到的安全事件信息。集中管理器(CentralManager)有兩種管理方式可供選擇，一種是通過web方式對單一引擎設備進行管理，安全事件信息存儲于引擎設備本地；另一種是通過天融信集中管理器TopPolicy產(chǎn)品對多個引擎設備進行統(tǒng)一的集中控制和管理，同時集中存儲安全事件信息。升級站點（TopIDPUpdateOnline）通過自動或手動方式，在入侵防御系統(tǒng)的升級站點，實時地更新攻擊規(guī)則庫、病毒庫、AR應用識別庫和URL過濾庫，實時保障對熱點事件的防護。TopIDP主要功能TopIDP產(chǎn)品全系列采用多核處理器硬件平臺，基于先進的新一代并行處理技術架構，實現(xiàn)了對網(wǎng)絡數(shù)據(jù)流的高性能實時檢測和防御。功能描述網(wǎng)絡適應性直連、路由、IDS監(jiān)聽及混合模式接入。多端口鏈路聚合，支持11種負載均衡算法。支持IPv6、MPLS、PPPoE網(wǎng)絡。入侵防御超過3500條攻擊規(guī)則。全面防御溢出攻擊（BufferOverflow）、RPC攻擊（RPC）、WEBCGI攻擊（WebAccess）、拒絕服務（DDOS）、木馬（TrojanHorse）、蠕蟲（VirusWorm）、掃描（Scan）、HTTP攻擊類（HTTP）、系統(tǒng)漏洞類（system）。病毒過濾基于數(shù)據(jù)流的查殺模式，實時阻斷含有網(wǎng)絡病毒的數(shù)據(jù)報文和連接。超過100萬條病毒庫、實時更新。支持HTTP、FTP、POP3、SMTP協(xié)議。上網(wǎng)行為管理內(nèi)網(wǎng)實時監(jiān)控。600多萬條URL地址分類庫，可以控制對主頁的訪問。基于應用（網(wǎng)絡視頻、聊天等）的細粒度控制，可以輕松對應用進行限流、禁止、限定時間段。Web安全Web服務器弱點掃描。無須安裝客戶端軟件，實現(xiàn)主頁防篡改，主頁恢復功能。DOS/DDOS防御支持CC攻擊防御。DNS異常包防御、DHCP攻擊防御。非法報文攻擊：tcp_sscan、ip_option等；統(tǒng)計型報文攻擊：Synflood、Icmpflood、Udpflood。支持flood閥值自學習功能，學習時間可設置。支持flood服務器閾值、服務器高壓閾值、單機閾值設置。應用識別支持網(wǎng)絡在線視頻、網(wǎng)絡游戲、股票交易、及時通訊、上傳下載、網(wǎng)絡電話等各類應用。天融信網(wǎng)絡衛(wèi)士入侵防御系統(tǒng)TopIDP特點領先的多核SmartAMP并行處理架構TopIDP產(chǎn)品應用了先進的多核處理器硬件平臺，將并行處理技術成功融入天融信自主知識產(chǎn)權的安全操作系統(tǒng)TOS（TopsecOperatingSystem）系統(tǒng)，集成多項發(fā)明專利，形成了先進的多核架構技術體系。在此基礎上的TopIDP產(chǎn)品具有高速的數(shù)據(jù)并行檢測處理和轉發(fā)能力，能夠勝任高速網(wǎng)絡的安全防護要求。圖1多核并行處理架構示意圖強大的攻擊檢測能力TopIDP產(chǎn)品的檢測引擎采用協(xié)議分析、模式識別、統(tǒng)計閥值和流量異常監(jiān)視等綜合技術手段來判斷入侵行為，可以準確地發(fā)現(xiàn)并阻斷各種網(wǎng)絡惡意攻擊。TopIDP產(chǎn)品采用了先進的基于目標系統(tǒng)的流重組檢測引擎，首先對到達的TCP數(shù)據(jù)包按照其目標服務器主機的操作系統(tǒng)類型進行流重組，然后對重組后的完整數(shù)據(jù)進行攻擊檢測，從而從根源上徹底阻斷了TCP流分段重疊攻擊行為。TopIDP全面支持DOS/DDOS防御，通過構建統(tǒng)計性攻擊模型和異常包攻擊模型，可以全面防御SYNflood、ICMPflood、UDPflood、DNSFlood，DHCPflood、Winnuke、TcpSScan以及CC等多達幾十種DOS/DDOS攻擊行為；TopIDP還可以通過自學習模式，針對用戶所需保護的服務器進行智能防御。TopIDP擁有3500多條攻擊規(guī)則，尤其是針對本地化業(yè)務系統(tǒng)，深度挖掘業(yè)務系統(tǒng)漏洞，形成防御阻斷規(guī)則后直接應用于TopIDP，更有效保護企業(yè)信息化資產(chǎn)。天融信公司的專業(yè)攻防實驗室充分與國際廠商和國家權威機構合作，不斷跟蹤、分析、研究最新發(fā)現(xiàn)的安全漏洞，天融信擁有自主知識產(chǎn)權的攻擊檢測規(guī)則庫。目前，該規(guī)則庫已經(jīng)通過國際權威組織CVE的兼容性認證，并保持至少每周一次的更新頻率。TopIDP可支持IPv6協(xié)議的攻擊檢測，完全識別IPv6封包下的攻擊檢測。精準的應用協(xié)議識別能力TopIDP產(chǎn)品能夠識別包括傳統(tǒng)協(xié)議、P2P下載、股票交易、即時通訊、流媒體、網(wǎng)絡游戲、網(wǎng)絡視頻等在內(nèi)的百多種網(wǎng)絡應用，并能夠詳細統(tǒng)計每一種應用的流量、連接數(shù)和累積傳輸字節(jié)數(shù)，使用戶很容易判斷網(wǎng)絡中的各種帶寬濫用行為，繼而采取包括阻斷、限制連接數(shù)、限制流量等各種控制手段，確保網(wǎng)絡業(yè)務通暢。TopIDP產(chǎn)品采用對應用協(xié)議交互過程進行智能分析，而非簡單依據(jù)服務端口的技術手段來判斷應用協(xié)議類型，對那些采用動態(tài)變化服務端口或者使用標準協(xié)議端口隱藏傳輸內(nèi)容的應用也可以準確識別和控制。TopIDP的智能應用協(xié)議識別能力能夠有效控制迅雷、BT等應用對網(wǎng)絡帶寬的占用，還能夠精確控制和管理內(nèi)網(wǎng)用戶的上網(wǎng)行為。實用的網(wǎng)絡病毒檢測功能TopIDP產(chǎn)品中引入了著名的karperskysafestream網(wǎng)絡病毒庫，采用基于數(shù)據(jù)流的檢測技術，能夠檢測包括木馬、后門和蠕蟲在內(nèi)的新近流行的超過100萬種網(wǎng)絡病毒。與傳統(tǒng)的防病毒網(wǎng)關不同，TopIDP產(chǎn)品并不需要依據(jù)透明代理還原文件，而是直接在數(shù)據(jù)流中檢測病毒，加之卡巴斯基限定數(shù)量的精選網(wǎng)絡病毒庫，使得TopIDP產(chǎn)品能夠以遠超過傳統(tǒng)防病毒網(wǎng)關的性能進行高速在線檢測，并能夠實時阻斷流行的各種網(wǎng)絡病毒。智能的上網(wǎng)行為監(jiān)控和管理TopIDP產(chǎn)品內(nèi)置一個龐大的URL分類庫，包括惡意網(wǎng)站過濾，違反國家法規(guī)與政策，潛在不安全的，浪費帶寬，大眾興趣，文化、時評、聊天與論壇，行業(yè)分類，計算機技術相關等8個大類，下含80多個子類，超過600萬個URL地址分類庫。TopIDP產(chǎn)品能夠統(tǒng)計分析內(nèi)網(wǎng)用戶的上網(wǎng)行為，限制對惡意網(wǎng)站或者潛在不安全站點的訪問，通過與智能應用協(xié)議識別功能相結合，可以制定有效的管理策略，實現(xiàn)內(nèi)網(wǎng)用戶的上網(wǎng)行為管理。TopIDP產(chǎn)品具備內(nèi)網(wǎng)主機監(jiān)控功能，能夠實時監(jiān)測到每一個內(nèi)網(wǎng)主機（以ip地址為標識）的各種應用流量、以及累積訪問各類URL地址的數(shù)量，在網(wǎng)絡中出現(xiàn)問題時能夠快速定位到問題源頭（內(nèi)網(wǎng)主機用戶），可以有效威懾和遏制內(nèi)網(wǎng)用戶的各種違反安全策略行為。立體的Web安全防護TopIDP內(nèi)置web弱點掃描器，可以實時分析受保護站點的安全狀態(tài)。TopIDP無需安裝客戶端，可以實現(xiàn)web網(wǎng)站防篡改功能；通過實時監(jiān)測web網(wǎng)站服務器的各級頁面是否被非法更改，TopIDP可以自動或手動獲取WEB站點的頁面信息，對web站點進行緩存，并生成唯一的數(shù)字水印，當客戶端請求頁面與緩存自學習保護的頁面進行比較，可在第一時間恢復被篡改頁面，保證web站點頁面的完整性。TopIDP內(nèi)有SQL注入防護規(guī)則，可有效阻斷SQL注入攻擊，保護web服務器數(shù)據(jù)安全。精確的QOS流量控制能力TopIDP產(chǎn)品擁有精確的QOS流量控制能力，用戶可以自由根據(jù)時間或時間段、IP地址或地址范圍等對各種不同類網(wǎng)絡應用進行多維度的限流控制，在無需增加帶寬擴容成本的前提下，最大限度提高帶寬利用率。靈活的自定義規(guī)則能力TopIDP產(chǎn)品內(nèi)置了豐富靈活的自定義規(guī)則能力，能夠根據(jù)協(xié)議、源端口、目的端口及協(xié)議內(nèi)容自行定義攻擊行為，其中協(xié)議內(nèi)容支持強大靈活的PCRE（兼容perl的正則表達式）語法格式，特定協(xié)議支持更多達10種，包括：ip、tcp、http、dns、ftp、pop3、smtp、qq、msn、imap等。借助于靈活的自定義規(guī)則能力，用戶可以輕松定義自己的應用層檢測和控制功能。豐富的網(wǎng)絡部署方式TopIDP產(chǎn)品通常以在線方式部署于網(wǎng)絡邊界區(qū)域，用于檢測和實時阻斷從外網(wǎng)到內(nèi)網(wǎng)的各種入侵行為。TopIDP產(chǎn)品還可以旁路方式部署于交換網(wǎng)絡鏡像接口，用于監(jiān)聽網(wǎng)絡流量、應用協(xié)議，分析入侵行為，此時相當于一個IDS產(chǎn)品。根據(jù)用戶需要，TopIDP產(chǎn)品還可以部署于局域網(wǎng)絡內(nèi)部，對內(nèi)網(wǎng)用戶實行監(jiān)控和上網(wǎng)行為管理，同時對受保護服務資源進行入侵防御。TopIDP產(chǎn)品也可以混合方式部署，利用內(nèi)置的防火墻功能便捷地實現(xiàn)對內(nèi)網(wǎng)的訪問控制。TopIDP產(chǎn)品提供了豐富的網(wǎng)絡部署方式，可供用戶根據(jù)實際網(wǎng)絡具體需求靈活選擇，最終達到多種功能綜合防御的目的。高可靠的業(yè)務保障能力TopIDP支持A/S、A/A的雙機備份技術，完全可以實現(xiàn)鏈路的高可用性。TopIDP擁有完備的Bypass功能。提供軟件Bypass功能；供硬件bypass功能，同時還支持外接Bypass設備。TopIDP還可以監(jiān)控設備工作環(huán)境溫度，用戶可以手動調整所監(jiān)控范圍，并自動報警，保證設備的工作情況?？梢暬膶崟r報表功能TopIDP產(chǎn)品提供了可視化的實時報表功能，可以實時顯示按發(fā)生次數(shù)排序的攻擊事件排名，使網(wǎng)絡攻擊及其威脅程度一目了然。應用配套的TopPolicy產(chǎn)品，可以實時顯示Top10攻擊者、Top10被攻擊者、Top10攻擊事件等統(tǒng)計報表，更可以顯示24小時連續(xù)變化的事件發(fā)生統(tǒng)計曲線圖。借助于可視化的實時報表功能，用戶可以輕松實現(xiàn)全網(wǎng)威脅分析。天融信網(wǎng)絡衛(wèi)士入侵