浅谈——防火墙、IDS、IPS、WAF、VPN

防火墙——网络安全的屏障，强化网络安全策略，监控审计，防止内部信息的泄露，日志记录与事件通知，防火墙技术可以帮助计算机网络于其内、外网之间构建一道相对隔绝的保护屏障。

下一代安全网关能够提供超大的并发连接数，支持静态路由、OSPF、路由负载均衡、服务器负载均衡、链路监视、Service VLAN等高级网络功能，并具有强大的抗DoS/DDoS攻击、僵尸网络阻止、IP欺骗阻止等特性，通过与其强大的网络行为攻击识别和阻止以及精细的应用控制的组合，能够为用户提供从网络层到应用层的完美保护。

防火墙功能：

1. 入侵检测功能————网络防火墙技术的主要功能之一就是入侵检测功能，主要有反端口扫描、检测拒绝服务工具、检测CGI/IIS服务器入侵、检测木马或者网络蠕虫攻击、检测缓冲区溢出攻击等功能，可以极大程度上减少网络威胁因素的入侵，有效阻挡大多数网络安全攻击。  

   
   

2. 网关路由功能————实现内网个网段之间路由和连接，内外网之间路由连接！

   
   

3. 网络地址转换功能————利用防火墙技术可以有效实现内部网络或者外部网络的IP地址转换，可以分为源地址转换和目的地址转换，即SNAT和NAT。SNAT主要用于隐藏内部网络结构，避免受到来自外部网络的非法访问和恶意攻击，有效缓解地址空间的短缺问题，而DNAT主要用于外网主机访问内网主机，以此避免内部网络被攻击。

   
   

4. 网络操作的审计监控功能————通过此功能可以有效对系统管理的所有操作以及安全信息进行记录，提供有关网络使用情况的统计数据，方便计算机网络管理以进行信息追踪。  

   
   

5. 强化网络安全服务————防火墙技术管理可以实现集中化的安全管理，将安全系统装配在防火墙上，在信息访问的途径中就可以实现对网络信息安全的监管。

安全设备篇（2）——IDS

什么是IDS

IDS是英文"Intrusion Detection Systems"的缩写，中文意思是"入侵检测系统"。

大家还记得「网络安全」安全设备篇（1）——防火墙吗？做一个形象的比喻：假如防火墙是一幢大楼的门锁，那么IDS就是这幢大楼里的监视系统。一旦小偷爬窗进入大楼，或内部人员有越界行为，只有实时监视系统才能发现情况并发出警告。

在本质上，入侵检测系统是一个典型的"窥探设备"。它不跨接多个物理网段（通常只有一个监听端口），无须转发任何流量，而只需要在网络上被动的、无声息的收集它所关心的报文即可。对收集来的报文，入侵检测系统提取相应的流量统计特征值，并利用内置的入侵知识库，与这些流量特征进行智能分析比较匹配。根据预设的阀值，匹配耦合度较高的报文流量将被认为是进攻，入侵检测系统将根据相应的配置进行报警或进行有限度的反击。

IDS模型

按入侵检测的手段，IDS的入侵检测模型可分为基于网络和基于主机两种。

1

基于主机模型

也称基于系统的模型，它是通过分析系统的审计数据来发现可疑的活动，如内存和文件的变化等。其输入数据主要来源于系统的审计日志，一般只能检测该主机上发生的入侵。这种模型有以下优点：

①性能价格比高：在主机数量较少的情况下，这种方法的性能价格比更高；

②更加细致：可以很容易地监测一些活动，如敏感文件、目录、程序或端口的存取，而这些活动很难基于协议的线索发现；

③视野集中：一旦入侵者得到了一个主机用户名和口令，基于主机的代理是最有可能区分正常活动和非法活动的；

④易于用户剪裁：每一个主机有自己的代理，当然用户剪裁更加方便；

⑤较少的主机：基于主机的方法有时不需要增加专门的硬件平台；

⑥对网络流量不敏感：用代理的方式一般不会因为网络流量的增加而丢掉对网络行为的监视。

2

基于网络模型

即通过连接在网络上的站点捕获网上的包，并分析其是否具有已知的攻击模式，以此来判别是否为入侵者。当该模型发现某些可疑的现象时，也一样会产生告警，并会向一个中心管理站点发出告警信号。这种模型有以下优点：

①侦测速度快：基于网络的监测器，通常能在微秒或秒级发现问题。而大多数基于主机的产品则要依靠最近几分钟内审计记录的分析；

②隐蔽性好：一个网络上的监测器不像主机那样显眼和易被存取，因而也不那么容易遭受攻击；

③视野更宽：基于网络的方法甚至可以作用在网络边缘上，即攻击者还没能接入网络时就被制止；

④较少的监测器：由于使用一个监测器可以保护一个共享的网段，所以不需要很多的监测器；

⑤占资源少：在被保护的设备上不占用任何资源，这点较主机模型最为突出。

IDS分类

根据模型和部署方式的不同，IDS分为基于主机的IDS、基于网络的IDS，以及由两者取长补短发展而来的新一代分布式IDS。

1

基于主机的IDS

输入数据来源于系统的审计日志，即在每个要保护的主机上运行一个代理程序，一般只能检测该主机上发生的入侵。它在重要的系统服务器、工作站或用户机器上运行，监视操作系统或系统事件级别的可疑活动（如尝试登录失败）。此类系统需要定义清楚哪些是不合法的活动，然后把这种安全策略转换成入侵检测规则。

2

基于网络的IDS

基于网络的IDS的输入数据来源于网络的信息流，该类系统一般被动地在网络上监听整个网段上的信息流，通过捕获网络数据包，进行分析，能够检测该网络段上发生的网络入侵。

3

分布式IDS

一般由多个部件组成，分布在网络的各个部分，完成相应功能，分别进行数据采集、数据分析等。通过中心的控制部件进行数据汇总、分析、产生入侵警报等。在这种结构下，不仅可以检测到针对单独主机的入侵，同时也可以检测到针对整网络上的主机的入侵。

IDS作用

1.监控、分析用户及系统活动。

2.对系统构造和弱点的审计。

3.识别反映已知进攻的活动模式并报警。

4.异常行为模式的统计分析。

5.评估重要系统和数据文件的完整性。

6.对操作系统的审计追踪管理，并识别用户违反安全策略的行为。

安全设备篇（3）——IPS

什么是IPS？

IPS是英文"Intrusion Prevention Systems"的缩写，中文意思是"入侵防御系统"，IPS实现实时检查和阻止入侵。

上文「网络安全」安全设备篇（2）——IDS提到的IDS入侵检测系统大多是被动防御，而不是主动的，在攻击实际发生之前，它们往往无法预先发出警报。而IPS入侵防御系统，则倾向于提供主动防护，其设计宗旨是预先对入侵活动和攻击性网络流量进行拦截，避免其造成损失，而不是简单地在恶意流量传送时或传送后发出警报。

IPS原理

IPS引擎原理图

IPS是通过直接嵌入到网络流量中实现主动防御的，即通过一个网络端口接收来自外部系统的流量，经过检查确认其中不包含异常活动或可疑内容后，再通过另一个端口将它传送到内部系统中。通过这个过程，有问题的数据包以及所有来自同一数据流的后续数据包，都将在IPS设备中被清除掉。

IPS拥有众多过滤器，能够防止各种攻击。当新的攻击手段被发现后，IPS就会创建一个新的过滤器。所有流经IPS的数据包都被分类，分类的依据是数据包中的报头信息，如源IP地址和目的IP地址、端口号和应用域。每种过滤器负责分析相对应的数据包。通过检查的数据包可以继续前进，包含恶意内容的数据包就会被丢弃，被怀疑的数据包需要接受进一步的检查。

IPS分类

基于主机的入侵防护(HIPS)

HIPS通过在主机/服务器上安装软件代理程序，防止网络攻击入侵操作系统以及应用程序。基于主机的入侵防护能够保护服务器的安全弱点不被不法分子所利用。基于主机的入侵防护技术可以根据自定义的安全策略以及分析学习机制来阻断对服务器、主机发起的恶意入侵。HIPS可以阻断缓冲区溢出、改变登录口令、改写动态链接库以及其他试图从操作系统夺取控制权的入侵行为，整体提升主机的安全水平。

基于网络的入侵防护(NIPS)

NIPS通过检测流经的网络流量，提供对网络系统的安全保护。由于它采用在线连接方式，所以一旦辨识出入侵行为，NIPS就可以去除整个网络会话，而不仅仅是复位会话。同样由于实时在线，NIPS需要具备很高的性能，以免成为网络的瓶颈，因此NIPS通常被设计成类似于交换机的网络设备，提供线速吞吐速率以及多个网络端口。

NIPS必须基于特定的硬件平台，才能实现千兆级网络流量的深度数据包检测和阻断功能。这种特定的硬件平台通常可以分为三类：一类是网络处理器(网络芯片)，一类是专用的FPGA编程芯片，第三类是专用的ASIC芯片。

应用入侵防护(AIP)

NIPS产品有一个特例，即应用入侵防护(Application Intrusion Prevention，AIP)，它把基于主机的入侵防护扩展成为位于应用服务器之前的网络设备。AIP被设计成一种高性能的设备，配置在应用数据的网络链路上，以确保用户遵守设定好的安全策略，保护服务器的安全。NIPS工作在网络上，直接对数据包进行检测和阻断，与具体的主机/服务器操作系统平台无关。

NIPS的实时检测与阻断功能很有可能出现在未来的交换机上。随着处理器性能的提高，每一层次的交换机都有可能集成入侵防护功能。

IPS作用

IPS是对防病毒软件和防火墙的补充，能有效阻止蠕虫、病毒、木马、拒绝服务攻击、间谍软件、VOIP攻击以及点到点应用滥用。

安全设备篇（4）——防火墙、IDS、IPS的区别

之前，小编发表过三篇文章，主要针对防火墙、IDS、IPS做了详细介绍，具体内容这里不再赘述，感兴趣的小伙伴可以去看看哦。

概念不同

防火墙和IPS属于访问控制类产品，而IDS属于审计类产品。我们可以用一个简单的比喻，描述三者的不同和关系——将网络空间比喻成一个大厦，那么防火墙相当于门锁，有效隔离内外网或不同安全域，IDS相当于监视系统，当有问题发生时及时产生警报，而IPS则是巡视和保证大厦安全的安保人员，能够根据经验，主动发现问题并采取措施。

保护内容不同

防火墙较多应用在转发、内网保护（NAT）、流控、过滤等方面；IDS和IPS主要针对一些攻击情况。一般的防火墙只能做到3-4层的保护，对于5-7层的应用保护很一般，而5-7层的保护正是IDS和IPS的长处。

部署位置不同

防火墙通常采用串行接入，部署在网络边界，用来隔离内外网；

IDS通常采用旁路接入，在网络中的位置一般选择为：尽可能靠近攻击源、尽可能靠近受保护资源，这些位置通常是：

服务器区域的交换机上；

Internet接入路由器滞后的第一台交换机上；

重点保护网段的局域网交换机上。

IPS通常采用Inline接入，在办公网络中，至少需要在以下区域部署：

办公网与外部网络的连接部位（入口/出口）；

重要服务器集群前端；

办公网内部接入层。

工作机制不同

防火墙是重要的网络边界控制设备，主要通过策略5要素（源、目的、协议、时间、动作），各厂家根据定义不同，会有所扩展，实现对网络的访问控制。

IDS主要针对已发生的攻击事件或异常行为进行处理，属于被动防护。以NIDS为例：NIDS以旁路方式，对所监测的网络数据进行获取、还原，根据签名进行模式匹配，或者进行一系列统计分析，根据结果对有问题的会话进行阻断，或者和防火墙产生联动。IDS的致命缺点在于阻断UDP会话不太灵，对加密的数据流束手无策。

IPS针对攻击事件或异常行为可提前感知及预防，属于主动防护。根据设置的过滤器，分析相对应的数据包，通过检查的数据包可以继续前进，包含恶意内容的数据包就会被丢弃，被怀疑的数据包需要接受进一步的检查。

IPS的阻断方式较IDS更为可靠，可以中断拦截UDP会话，也可以做到确保符合签名规则的数据包不漏发到被保护区域。

IPS致命的缺点是同样硬件的情况下，性能比IDS低的多。实际应用中，误杀漏杀和IDS一样，主要是签名库决定的。但是随着UDP协议的广泛使用，IPS在UDP上的误杀率可能会高于IDS。

三者在网络中相互配合，各司其职，实际使用中，需要根据具体网络需求进行评估和选择，有效发挥各设备优势，尽量避免缺点和不足，保证网络的安全运行。

安全设备篇（5）——WAF

随着WEB应用的普及，WEB 服务器以其强大的计算能力、处理性能及蕴含的较高价值逐渐成为主要攻击目标。SQL注入、网页篡改、网页挂马等安全事件，频繁发生。传统防火墙无法对应用层的攻击进行有效抵抗，例如无法对当前快速爆发和蔓延的0DAY漏洞进行快速响应和对抗，而要彻底解决此类漏洞的代码审计和代码修补往往需要较长的时间。因此，出现了保护Web应用安全的Web应用防火墙系统——WAF。

什么是WAF？

WAF是英文"Web Application Firewall"的缩写，中文意思是"Web应用防火墙"，也称为"网站应用级入侵防御系统"。WAF是集WEB防护、网页保护、负载均衡、应用交付于一体的WEB整体安全防护设备。

WAF需要部署在Web服务器的前面，串行接入，不仅在硬件性能上要求高，而且不能影响Web服务，所以HA功能、Bypass功能都是必须的。

WAF主要技术

WAF的主要技术是对入侵的检测能力，尤其是对Web服务入侵的检测能力。常见的实现形式包括代理服务、特征识别、算法识别、模式匹配。

1

代理服务

代理方式本身是一种安全网关，基于会话的双向代理，中断了用户与服务器的直接连接，适用于各种加密协议，这也是Web的Cache应用中最常用的技术。代理方式有效防止入侵者的直接进入，对DDOS攻击可以抑制，对非预料的“特别”行为也有所抑制。

2

特征识别

识别出入侵者是防护它的前提。特征就是攻击者的“指纹”，如缓冲区溢出时的Shellcode，SQL注入中常见的“真表达(1=1)”。应用信息没有“标准”，但每个软件、行为都有自己的特有属性，病毒与蠕虫的识别就采用此方式，麻烦的就是每种攻击都有自己的特征，数量比较庞大，多了也容易相像，误报的可能性也大。虽然目前恶意代码的特征指数型地增长，安全界声言要淘汰此项技术，但目前应用层的识别还没有特别好的方式。

3

算法识别

特征识别有缺点，人们在寻求新的方式。对攻击类型进行归类，相同类的特征进行模式化，不再是单个特征的比较，算法识别有些类似模式识别，但对攻击方式依赖性很强，如SQL注入、DDOS、XSS等都开发了相应的识别算法。算法识别是进行语义理解，而不是靠“长相”识别。

4

模式匹配

IDS中“古老”的技术，把攻击行为归纳成一定模式，匹配后能确定是入侵行为。协议模式是其中简单的，是按标准协议的规程来定义模式，行为模式就复杂一些。

5

最大挑战

WAF最大的挑战是识别率，这并不是一个容易测量的指标，因为漏网进去的入侵者，并非都大肆张扬，比如给网页挂马，很难察觉进来的是哪一个，不知道当然也无法统计。对于已知的攻击方式，可以谈识别率；对未知的攻击方式，你也只好等他自己“跳”出来才知道。

WAF分类

WAF从形态上可分为硬件WAF、WAF防护软件和云WAF。

1

硬件WAF

通常串行部署在Web服务器前端，用于检测、阻断异常流量。通过代理技术代理来自外部的流量，并对请求包进行解析，通过安全规则库的攻击规则进行匹配，如成功匹配规则库中的规则，则识别为异常并进行请求阻断。

2

软件WAF

通常部署在需要防护的服务器上，通过监听端口或以Web容器扩展方式进行请求检测和阻断。

3

云WAF

云WAF，也称WEB应用防火墙的云模式，这种模式让用户不需要在自己的网络中安装软件程序或部署硬件设备，就可以对网站实施安全防护，它的主要实现方式是利用DNS技术，通过移交域名解析权来实现安全防护。用户的请求首先发送到云端节点进行检测，如存在异常请求则进行拦截否则将请求转发至真实服务器。

WAF作用

WAF的作用主要包括WEB防护和防止WEB信息泄露两大部分，具体如下：

Web防护

●网络层：DDOS攻击、Syn Flood、Ack Flood、Http/Https Flood（CC攻击）、慢速攻击。

●应用层：URL黑白名单、HTTP协议规范（包括特殊字符过滤、请求方式、内容传输方式，例如：multipart/form-data，text/xml，

application/x-www-form-urlencoded）。

●注入攻击（form和URL参数，post和get）：SQL注入防御、 LDAP注入防御、 命令注入防护（OS命令，webshell等）、 XPath注入、 Xml/Json注入、XSS攻击（form和URL参数，post和get，现阶段分为三类攻击：存储式(危害大，也是一种流行方式)，反射式、基于Dom的XSS）。

●目录遍历（Path Traversal）。

●form表单数据验证和表单篡改和注入（表单验证银行卡、数据、日期等）。

●认证管理和会话劫持（cookie加密：防护会话劫持，包括cookie超时）。

●内容过滤（这儿强调上传内容过滤post form和get 参数，主要应用论坛）。

●Web服务器漏洞探测（apache版本等隐藏，站点隐藏）。

●爬虫防护（基于SRC IP，周期判断访问数，爬虫白名单除外）。

●CSRF（Cross-site request forgery）（WAF采用token方式处理能够解决）。

●篡改（包括盗链）（WAF周期爬服务器网页，进行对比验证，如果篡改发现篡改，Client访问WAF网页）。