IDS/IPS

什么是 IDS/IPS？

IDS/IPS 依靠三种方法的组合来识别和应对安全威胁：

• 基于签名的检测：将网络流量与已知攻击模式的数据库进行比较。如果发现匹配，则会触发警报或采取行动。虽然这种方法可以有效抵御已知威胁，但它难以应对新出现的或不断演变的攻击模式。
• 基于异常的检测：建立正常网络行为的基线并标记可能表明存在攻击的偏差。该检测对于检测零日漏洞攻击或高级持续威胁 (APT) 特别有用。
• 行为分析：使用机器学习和人工智能来识别偏离既定规范的可疑行为，即使不存在已知特征。

IDS/IPS 实时检查网络数据包、分析流量并确定流量是合法还是恶意的。如果发现潜在威胁，IDS 会发出警报，而 IPS 会主动阻止或减轻威胁。

随着网络威胁变得越来越复杂和频繁，各组织必须采取积极主动的安全措施来保护其网络和敏感数据。而 IDS/IPS 则提供了一层重要的防御屏障，可以抵御包括以下在内的各种攻击：

• 恶意软件感染：在恶意软件在网络中传播之前检测并阻止它。
• 未经授权的访问尝试：识别并减轻未经授权的用户或内部人员的恶意入侵尝试。
• 拒绝服务 (DoS) 和分布式拒绝服务 (DDoS) 攻击：防止攻击者耗尽网络资源并破坏业务运营。
• 数据泄露：识别可能表明数据泄露或内部威胁的可疑数据传输模式。
• 零日漏洞攻击：检测传统安全解决方案可能错过的异常和新的攻击模式。

将 IDS/IPS 集成到更广层面的安全策略中可以显著降低网络威胁造成的数据泄露、服务中断和财务损失的风险。

HPE Juniper Networking 推出的 IDS/IPS，可部署于下一代防火墙产品及服务中，包括物理型、虚拟型、容器化 SRX 系列防火墙，也可通过防火墙即服务的形式部署。
凭借 IDS/IPS，组织可以根据区域、网络或应用划分流量段并定义相应的策略规则，然后在检测到入侵时针对该流量采取主动或被动防御措施。此外，该系统搭载完善且不断更新的 IPS 特征库，以保护网络免受攻击。

HPE Aruba Networking EdgeConnect SD-WAN 和 HPE Aruba Networking EdgeConnect SD-Branch 均提供统一的安全方法，即通过 IDS/IPS 在整个网络中提供实时威胁检测、预防和可见性。

IDS/IPS 功能使用基于签名的检测模型，该模型使用定期更新的签名库检查所有流量，以检测已知威胁，例如勒索软件、网络钓鱼和恶意软件。管理员可以配置宽松、中等或严格的安全态势，根据检测到的威胁允许、警告或丢弃流量。该系统可以内联模式运行以立即阻止，或以性能模式运行以进行路径外检查，从而优化网络效率。所有检测到的威胁都通过集中式安全仪表板进行记录、分类和可视化。这提供了网络范围的可见性、威胁分析和事件管理，并深入了解攻击趋势、受影响的用户、设备和流量。

威胁事件可以通过专用应用传输到 Splunk 等 SIEM 解决方案，从而实现整个 SD-WAN 结构的实时威胁关联、调查和响应。通过将 IDS/IPS 与防火墙策略相集成，HPE 可确保实现主动式零信任安全模型，以最少的人工干预保护网络免受不断演变的网络威胁。