网络入侵检测系统NIPS方案汇报

1、网络入侵检测系统NIPS方案汇报1 卖什么？2 卖给谁？3 怎么卖？安全威胁新变化NIPS解决方案安全威胁对象的变化近年，随着客户安全意识的不断提高，关键业务服务器前的安全措施逐渐完善，黑客的攻击思路也发生较大的变化：由以前直接攻击服务器转向安全防护能力较弱的客户端，并以此为跳板向内网逐渐渗透先通过PDF存在的CVE-漏洞攻陷内网主机，再通过该主机搜集核心服务器的IP地址、数据库类型、操作系统版等信息，为进一步的入侵做准备；迅雷被爆内置恶意程序暴风影音多次被爆存在0 day漏洞据IBM2009年-2013年全球威胁类型调查报告显示，应用程序漏洞在以每年30%比例增长僵尸网络的危害越来越大相对于

2、服务器区，内部主机侧的安全防护措施明显较低，一旦内部主机被中木马，下一步的动作就是进行回连，下载恶意软件以便于黑客进行控制；黑客经常操纵沦为“肉鸡”的主机进行非法操作，如近期某高校客户，就因为被黑客操纵发起DDOS攻击，而被网监频繁点名批评；危害：法律风险、名誉受损危害：瘫痪、无法正常提供服务报警调查、通报控制命令僵尸主机某高校某知名站点互联网黑客控制服务器DDOS攻击购物新闻网监体育娱乐拖库事件、敏感数据泄露事件频发近年，随着CSDN、圆通等泄密事件频繁发生，内网安全问题的短板暴漏一览无遗；黑客的多阶段攻击，使得基于边界、系统漏洞的防护手段不能面面俱到如何保证即使被入侵后自己的敏感数据、文件

3、不被非法窃取就是企业目前急需解决的问题；CSDN系列泄密事件如家、七天开房信息泄漏圆通、申通客户信息泄漏2011年12月2013年9月2013年10月1.2、NIPS解决方案关键功能汇报产品特点汇报产品主要功能概述内网安全防护1、客户端安全防护2、敏感数据/文件防护3、服务器异常外联防护4、僵尸网络防护传统攻击防护1、溢出攻击防护2、木马后门、蠕虫防护3、DDOS攻击防护4、VOIP攻击、P2P攻击Web安全防护1、防端口扫描、暴力破解2、防止SQL注入、跨站3、防止回连及控制信道1、内置2300多条应用规则2、精准识别和有效流控3、控制针对人、时间、应用应用管理NIPS客户端安全防护增强客户

4、端安全的防护力度：随着黑客攻击思路的变化，攻击对象慢慢由服务器转向客户端上的应用程序；签名规则从3800多条增加到6800多条，新增签名类型多为客户端应用程序漏洞防护；新增签名基本覆盖市面多数应用程序漏洞，如pdf、word、excel、Adobe Flash、IE等服务器防护客户端防护Word漏洞Pdf漏洞Flash漏洞浏览器 漏洞6800多条攻击规则僵尸网络防护1、挂马2、访问4、回连及下载信誉库NIPS3、被感染安全云访问行为回连行为多角度全面防护僵尸网络：1、内置僵尸网络控制服务器地址，防止回连以及对僵尸控制程序的的下载；2、内置恶意Web地址，在客户端被感染前切断访问行为；3、攻防研

5、究院+共享云端信誉情报，增强防护能力；入侵者用户A用户B敏感数据和文件安全防护精准识别外传的文件类型以及敏感数据：可识别文件类型分文档类如word、excel、pdf、ppt等、压缩文件类、图像类、音频、视频、程序等；敏感数据包含身份证号码、银行卡号、电话号码；身份证号码手机号码银行卡号NIPS敏感文件敏感数据服务器敏感数据识别敏感文件识别服务器异常防护正常请求访问异常外联，产生告警服务器异常外联：1、NIPS具备服务器智能学习功能；2、可以根据需要灵活自定义学习时间；3、目前服务器异常外联只产生告警而不会阻断；服务器异常学习服务器异常防护传统攻击防护后端强大的攻防研究团队，定期更新签名规则来

6、对传统攻击进行防护；作为MAPP成员，提前知道漏洞信息、以及补丁发布情况，能提前防护；目前签名特征库达6400多条，且每周至少保持更新一次签名特征库；溢出攻击蠕虫病毒木马后门DDoS攻击P2P攻击VOIP攻击混合型攻击攻防团队每周至少更新一次传统攻击方式微软MAPP合作成员NIPS提前了解漏洞信息Web安全防护防止端口/服务扫描弱口令保护/防暴力破解防止应用层信息及漏洞扫描强化的web防护防SQL、OS等注入攻击XSS攻击、CSRF攻击防目录遍历攻击 多对象漏洞利用服务器漏洞攻击防护终端漏洞攻击防护DOS攻击应用层DOS攻击上行病毒木马清洗切断webshell流量切断Botnet控制流量探测阶

7、段攻击阶段控制阶段用户/黑客Web应用服务器NSFOCUS NIPS 随着业务向互联网转型，越来越多的企业提供对外Web服务，而针对Web的攻击手段也越来越多；在Web攻击的三个主要阶段，NIPS提供有针对性的签名规则保护Web业务安全；应用流量控制特征库识别应用流量控制上班时间做与工作无关的事情，大大影响工作效率，以及影响正常的业务流量针对性的对不同应用类型赋予相应的带宽，保证业务顺利开展的同时而不影响工作效率目前应用特征库数量多达2300多条，基本覆盖中国主流的互联网应用类型；掌握网络带宽使用状况张三李四王五绿盟应用程序库数据流数据流数据流1.2、NIPS解决方案关键功能汇报产品特点汇报心

8、跳线Bypass交换机电路控制器电路控制器两种通讯状态，缺省为正常状态，BYPASS时切换通讯链路。内置看门狗定时器（Watch-dog-timer WDT），用来控制一个继电器组，实现两个以太网端口的物理路由，并在这两种状态中切换通讯可靠性高-完善的BYPASS解决方案外置BYPASS交换机（NSF-BS）设备故障：光信号绕过故障设备，保持光网络畅通故障排除：光信号重新切回NIPS可靠的网络设计便利的远程管理、调试和维护NORMALBYPASSNSFOCUS NIPS出现软件或硬件故障，而无法发出心跳信号时，NSF-BS执行切换动作，使光信号绕开故障设备，从而保持光网络畅通，避免因为单点故障

9、而导致全网中断。NIPS网络适应性强NIPS NIPS 流量同步互联网分支机构服务器主主模式主主模式网络适应性：NIPS支持非对称路由环境，保障能接收完整的流程，减少漏报事件发生；除此之外还支持IPV6、MPLS、VLAN Trunk、QINQ环境中的部署；MPLS、TrunkBGP、OSPFQinQIPV6产品型号丰富处理性能300M ISP/大型数据中心大型企业总部SOHO/中、小型企业大型分支/中型企业600M 1000M 2000M 4000M 6000M 8000M 10G 20G N300A-01N300A-02N600AN1000AN2000BN2000AN4000AN6000A

10、N8000AT9020AT9010A简单易用开箱上架加电进界面选规则做策略使用零配置配置提示规则模板强大的攻防团队漏洞分析、攻击分析、协议分析漏洞特征库生成攻防研究团队生成攻击特征库和协议库攻防研究团队漏洞特征库生成严格的攻防验证规则测试中心特征库上网发布技术支持部门及时更新的特征库配合强大的检测引擎，实现有效防护Openssl心血漏洞2014年4月8日 下午曝出2014年4月9日上午9点官网发布“心血”补丁包Apache Struts2补丁绕过漏洞2014年4月26日 上午曝出2014年4月26日晚6点官网发布防绕过补丁包24小时内解决管理方便NIPS 一级安全中心Server二级安全中心N

11、IPSDevice Web管理客户端BrowserNIPS NIPS 集中管理&分级管理无需安装客户端B/S/D三层架构大范围分布式部署统一分级策略集中日志管理私有升级中心SSO单点登录集中管理&分级管理支持ArcSight通用事件格式CEF支持SNMP V1、V2、V3支持SNMP Trap协议外发日志支持SYSLOG协议外发日志与SOC系统无缝融合HTTPSSSH单点登录HTTPSConsole灵活的响应告警阻断隔离多样化的响应方式：根据安全事件的危害程度高低，可以通过NIPS制定灵活的响应方式提供攻击隔离功能，设备检测到第一次攻击后会阻断后续该地址的访问连接；恶意流量第一次攻击后续访问可

12、调整时间智能化的隔离响应：通过阻断该地址后续的访问，可以有效降低内部设备的安全风险；客户可根据被防护对象的重要程度灵活调整隔离防护的时间；中止会话2 卖给谁？1 卖什么3 怎么卖？IPS典型部署内部数据中心互联网广域网NIPS 网管中心NIPS 部门A关键业务部门ESPC部门BNIPS NIPS 部署位置互联网出口处广域网边界处关键业务部门核心服务器前应用于局域网/园区网汇聚交换机核心交换机IPS细分场景IPS价值互联网出口实时发现和阻断企业敏感数据的外发，保护企业的机密信息安全，避免泄露造成的损失挂马的恶意网页防护，确保用户上网安全防范来自互联网的木马、蠕虫、病毒等进入内网防范来自互联网针对

13、内部用户终端应用的攻击P2P等网络滥用流量限制，保证关键业务顺畅应用于数据中心核心交换机IPS生产生产办公托管数据库细分场景IPS价值数据中心及网站系统漏洞防护,提供虚拟补丁功能，提高服务器自身的防护能力防范恶意攻击者对数据中心的敏感信息窃取、服务器被控制后的非法外联SQL注入、跨站等基于Web的安全防护保护数据中心的业务安全、业务连续性和业务性能。应用于广域网边界分局总局数据中心内网内网内网内网ESPCIPSIPSIPSIPS细分场景IPS价值广域网边界防护蠕虫造成的垃圾流量，保护广域网有限的带宽防范一些低安全级别和安全状况差的分支上的病毒、木马等通过广域网向其他分支或总部扩散而给全网造成安

14、全威胁防范一些安全管理松散的分支机构可能存在误用的或恶意的用户通过广域网发起漏洞扫描探测和攻击3 怎么卖？1 卖什么2 卖给谁？向用户传递重要信息竞争分析成功案例分享IPS的必要性：必备产品，网络安全建设离不开IPS攻击威胁在增加：攻击方法复杂化、攻击目的明确化传统产品不能解决问题防火墙是一道门：有“合法”身份就能进入网络IDS是监控探头：监视并记录进入网络主体的行为IPS是安检系统：发现进入者暗藏风险，并阻止进入等级保护等合规性要求信息1IPS是必须的逆向思维：如果没有IPS，发生攻击或蠕虫病毒爆发时会出现什么现象？防火墙入侵检测系统入侵防护系统信息2选择IPS关键要看攻防研究能力核心要素：

15、解决问题关键要素：成熟可靠增值要素：简单易用其他要素：价格便宜、服务周到准确、及时检测并阻断入侵攻击不能成为网络故障点不能成为网络瓶颈设备管理、策略管理、日志管理、升级管理购买商品的考虑要素购买IPS的考虑要素信息3NIPS是最好的-技术领先广泛的国际技术合作领先的攻防技术研究2000年开始攻防技术研究全面支持IPv619,000条纯中文漏洞信息库48个漏洞被CVE收录国内第一个加入微软MAPP计划CSA云安全联盟亚太第一个企业成员Stopbadware国内唯一战略合作伙伴全球四强，亚太唯一NSS Labs认证国内唯一出口入侵检测技术第一个入侵防护类EAL3认证身份识别2005年，发布国内第一

16、款完全自主知识产权IPS20092013连续5年国内NIPS市场占有率排名第一20092011连续3年获Frost & Sullivan市场领导者奖国内最大IPS成功案例库，数千家用户遍布各个行业信息4NIPS是最好的-产品成熟信息5 资质和认证计算机软件著作权EAL3认证销售许可证北京市自主创新产品军用信息安全产品认证（军B级）涉密产品型号证书NSS ApprovedCVE兼容性证书信息6NIPS核心价值网络安全感知感知攻击事件感知异常状况感知应用构成业务系统保护提升安全性客户端防护实现主动防御资源保护提高投资回报率法规遵从增强企业合规能力27层深度入侵防护服务器非法外联防护敏感数据保护提高

17、工作效率提高带宽利用率提高设备使用寿命非法下载外发信息核查等级保护、分级保护IM/P2P/邮件/下载等传递木马Web信誉防挂马网站僵尸网络防护3 怎么卖？1 卖什么2 卖给谁？向用户传递重要信息竞争分析成功案例分享总体概述NIPS产品技术门槛普遍较高，非专业厂商普遍都存在投入不足：启明星辰NIPS有2条产品线，一条是X86架构（由自研的NIDS转过来的），一条是Cavium架构（由USG产品线包装的IPS产品）迪普，前身是H3C IPS产品国内维护组，2010年后自研IPS。其产品线继承H3C网络厂商特性，网络转发性能高，扩容便捷，但在漏洞研究、IPS规则防护准确性上缺乏投入。天融信，2010

18、年开始从自研的UTM产品线上包装IPS产品，但是延续了早期OEM的产品规则库，产品性能、规则库都比较完善，是未来主要竞争对手。网神，OEM台湾播威公司的IPS产品，特征库升级慢。控标点引导规格控标1U规格，百兆NIPS支持光口，目前只有我司NIPS N300A-02支持4SFP接口，竞争对手百兆产品均无光口；2U规格N2000B，支持万兆接口，性价比高，迫使竞争对手采用更高端的万兆设备应标；接口控标，招标文件中需明确接口类型（GE口/SFP口，非Combo），同时需要标注管理接口数量，N系列产品均是独立的管理接口，非业务口。1U规格N600A，支持接口扩展，最大支持14个GE或6GE+8SFP

19、，接口数最多；N2000A，支持接口扩展，最大支持32千兆接口，同规格接口最多；N4000A及以上型号，支持接口扩展，同规格中万兆接口+千兆接口最多；性能控标引导客户关注应用层性能，特别是以http流量为背景的前提下，测试NIPS的检测率；规避产品整机网络层性能，我司全线产品因架构原因。引导客户在相同的接口下，一对口或两对口性能与Cavium平台无较大差异。根据客户应用的确认，在相同接口下的性能测试，对我司比较有利；控标点引导我司主导项目中，需要加强引导的几个控标点：品牌控标多产品同一品牌；IPv6 ready资质+IPv6 全国教育网100所高校IPv6网络实际部署项目（提供合同复印件控标）

20、；案例控标根据实际情况，要求在某某省某某行业超过一百万的应用案例不少于几个；资质控标NIPS万兆EAL3资质，启明、天融信、迪普具备NIDS万兆“军用信息安全产品认证证书”军C+级，启明、天融信暂无万兆，可控可加分；IDC连续5年国内市场第一的资质，我司独有；可控可加分NSS Lab测评资质，我司独有；可控可加分亚太区连续2年唯一入围Gartner的厂商；可控可加分多产品联合资质控标，可用waf、扫描器的资质请大家关注最新的招投标模板，我们针对NSS LAB查询、CVE查询、及NIPS销售许可证做了截图控标点引导正文.第四章 竞争分析我司主导项目中，需要加强引导的几个控标点：功能控标（V5.6

21、.8版本）零配置上线模板（出厂默认自带模板，无需配置直接上线）；支持USB离线升级，可快速恢复系统，降低维护成本；支持web信誉库（65万+恶意站点库），非URL库，需提供防挂马的技术说明，并提供配置截图，同时提供网站说明；支持防僵尸网络，提供配置界面；支持防病毒模块，可支持10层压缩文件查杀；（仅用于控标）支持防病毒模块白名单设置，需要同时满足文件名称、类型及病毒名称的白名单设置；（仅用于控标）功能控标（V5.6.9版本，2014年7月初发布，V568可免费升级）敏感数据感知功能（出厂自带，目前国内友商我司独有，需要提供截图）服务器异常外联（出厂自带功能，目前国内友商我司独有，需要提供截图控

22、标）支持工控协议的识别和防护，目前只有我司具备；新增信誉库对未知威胁进行防护的功能（该信誉库是由总部的信誉服务器下发到IPS中的，信誉值是由另一款TAC产品生产后上传到我司云端信誉服务器的）公司&产品动态：产品重心转向UTM，IPS研发投入减少。产品线：NDP（源自IDS，X86架构）和NIPS（源自UTM，Cavium多核架构）组成，NDP即将受控销售，IPS产品线以NIPS为主。2011年推出万兆产品7060E/8060E如何引导身份识别技术，可以精准防护和记录，是下一代入侵防护技术的基础；UTM不能代替IPS，两种产品从技术起源到应用场景都不一样。启明自从上市以后，老板热衷于房地产等其他

23、业务，安全业务投入减少、人员流失，产品发展缓慢，服务支持不到位；2011年启明没有任何一款产品进入央采目录。如何控标功能：身份识别、IPS/IDS混合工作模式，Web信誉、服务器异常防护，敏感数据防护、工控防护IDC排名：连续5年进入前3名：只有；或作为加分项；产品成熟度：要求产品上市超过X年，启明2007年发布，我司2005年发布；或作为加分项；NSS Labs认证可做加分项注意事项如果已被启明引导为UTM，可考虑用SG应标启明NIPS为Cavium多核架构，设备转发性能比较高我公司厂商资质弱于启明星辰（CMMI3、涉密集成甲级资质）与启明的竞争策略公司&产品产品线：自研X86平台，模块化设

24、计，支持万兆接口，最高端号称40Gbps动态：贺卫东离开天融信后，于海波广罗旧部，欲图东山再起。如何引导IPS产品最关键的是入侵检测技术和攻防研究技术。身份识别技术，可以精准防护和记录，是下一代入侵防护技术的 基础；强调的攻防研究能力，48个自主发掘漏洞被CVE组织收录，维护国内最大中文漏洞信息库超过19,000条。防火墙厂商做不好IPS；2007年OEM韩国ZIMCOM、2009年才在防火墙上增加SNORT模块推出自研IPS。公司内部动荡，人员流失，产品升级、维护支持存在问题。如何控标功能：用户身份识别、Web信誉、服务器异常防护，敏感数据防护、工控防护；IDC排名：连续5年进入前3名：只有

25、、或作为加分项；产品成熟度：要求产品上市超过X年，天融信2007年发布，我司2005年发布；或作为加分项；技术实力：要求提供自主发掘漏洞证明NSS Labs认证、 CSA成员可做加分项注意事项天融信IPS号称是多核平台，但实际是X86多核平台与天融信的竞争策略公司&产品动态：2008年成立，总部在杭州，在北京设立市场部和分研发中心。目前员工500+，其中研发接近一半。脱胎于H3C，产品线比较齐全。2012年5月因违反保密协议，被微软取消MAPP成员资格。产品线：全线采用RMI多核平台，性能比较高，最高端的号称12G（应该是转发性能）。如何引导要强调IPS产品最关键的是入侵检测技术和攻防研究能力

26、，性能再好挡不住攻击也只能是摆设。身份识别技术，可以精准防护和记录，是下一代入侵防护技术的基础；强调的攻防研究能力，47个自主发掘漏洞被CVE组织收录，维护国内最大中文漏洞信息库超过19,000条；迪普公司成立时间短，在入侵检测技术和攻防研究上都没有积累；如何控标厂商资质：厂商资质（MAPP、安全服务、应急处理、风险评估等）；功能：用户身份识别、Web信誉、服务器异常防护，敏感数据防护、工控防护；IDC排名：迪普尚未进入过IDC排名产品成熟度：要求产品上市超过X年，迪普2008年才成立，我司2005年发布；或作为加分项；技术实力：要求提供自主发掘漏洞证明NSS Labs认证做加分项注意事项要注

27、意强调攻防研究最关键，弱化性能与迪普的竞争策略3 怎么卖？1 卖什么2 卖给谁？向用户传递重要信息竞争分析成功案例分享入侵检测/防御系统-政府行业应用某省电子政务外网（114台）背景情况：完善整个某省电子政务外网平台安全建设，满足不同单位安全接入的需求，以实现统一的、集中的安全管控策略。部署及策略：省-地市-区县3级网络平台，部署在电子政务外网接入区域，确保接入数据的安全性。入侵检测/防御系统-教育行业应用华南理工大学安全防护项目背景情况：多链路接入，4-6G大流量检测，P2P应用复杂。部署及策略：高校网络出口部署一台N8000A，采用多路防护+1路监听，并开启IPV6检测，实现IPV6协议漏

28、洞检测，加载web信誉库，实现防挂马，全面防护保障出口安全。人行内联网入侵检测及防护 Extranet内联区域NIPS 核心区 NIPS 在线部署于外联区入口处 外联单位为非信任域，需要加强监控检查 对攻击及病毒蠕虫等自动进行阻断 安全区域隔离NIDS 方案及策略：内联网部署了本系统，全国十二个省，使用总部、省、地市三级部署方式，共部署本系统156台，实现了对骨干节点的24小时全天候检测。人民银行在入侵检测体系的基础之上建立了网络安全应急响应流程，包括事件鉴别（类别，级别和影响范围）、事件处理（解决事件，恢复系统）和事件总结（事件追查）等流程。入侵检测/防御系统-行业应用中国银行：已经采购了6

29、台此类系统，用来进行重要业务系统、互联网出口、外/内联区、网银区的信息安全防护；中国农业银行：农业银行总部及分支共采购了此类系统30余台。实时安全防护业务网、网银系统、办公网等的入侵攻击等行为：华夏银行：已经部署了30余台本系统，防护网银系统、办公网、互联网出口等的入侵攻击等行为招商银行入侵检测/防御产品采购（73台）防护外/内互联区域、互联网区、业务服务器区的威胁广泛的客户群运营商金融能源政府企业其它NIPS产品核心功能产品定位：在线部署的主动防御产品，能够精确识别并实时阻断针对服务器、客户端的入侵攻击，以及各种混合威胁，保障客户网络信息资产的安全。内网安全防护1、客户端安全防护2、敏感数据

30、/文件防护3、服务器异常外联防护4、僵尸网络防护传统攻击防护1、溢出攻击防护2、木马后门、蠕虫防护3、DDOS攻击防护4、VOIP攻击、P2P攻击Web安全防护1、防端口扫描、暴力破解2、防止SQL注入、跨站3、防止回连及控制信道应用管理NIPS1、内置2200多条应用规则2、精准识别和有效流控3、控制针对人、时间、应用NSFOCUS NIPS-关键功能通过服务器的自学习功能或手动设置服务器正常外联行为，建立合法连接，能够检测服务器异于该合法连接的非法外联行为，及时产生告警信息通知网络管理人员，从而检测是否存在跳转等攻击行为。增加了针对主流客户端应用程序的攻击签名规则，如Word、Excel、PDF、Firefox等，增强了客户终端应用程序的安全防护能力。基于实时的信誉机制，结合企业级和全球信誉库，可有效检测恶意URL、僵尸网络，保护用户在访问被植入木马等恶意代码的网站地址时不受侵害，第一时间有效拦截Web威胁，并能及时发现网络中可能出现的僵尸网络主机和C&C连接。能够识别并阻断特定格式文件的外发，同时能够检测出文件中包含的敏感数据，进行告警和阻断，保护企业敏感数据，防止敏感数据泄露造成的损失公司&产品动态：产品重心转向UTM，IPS研发投入减少。产品线：NDP（源自I