从检测到预防IDS的演化与革命

 　　Gartner在去年8月的一份研究报告中认为，如今的入侵检测系统（IDS）已经难以适应客户的需要。IDS不能提供附加层面的安全，相反增加了企业安全操作的复杂性。入侵检测系统朝入侵预防系统（IPS）方向发展已成必然。实际上，可将IDS与IPS视为两类功能互斥的分离技术：IPS注重接入控制，而IDS则进行网络监控；IPS基于策略实现，IDS则只能进行审核跟踪；IDS的职责不是保证网络安全，而是告知网络安全程度几何。

　　IPS不仅仅是IDS的演化，它具备一定程度的智能处理功能，能实时阻截攻击。传统的IDS只能被动监视通信，这是通过跟踪交换机端口的信息包来实现的；而IPS则能实现在线监控，主动阻截和转发信息包。通过在线配置，IPS能基于策略设置舍弃信息包或中止连接；传统的IDS响应机制有限，如重设TCP连接或请求变更防火墙规则都存在诸多不足。

　　IPS工作原理

　　真正的入侵预防与传统的入侵检测有两点关键区别：自动阻截和在线运行，两者缺一不可。预防工具（软/硬件方案）必须设置相关策略，以对攻击自动作出响应，而不仅仅是在恶意通信进入时向网络主管发出告警。要实现自动响应，系统就必须在线运行。  当黑客试图与目标服务器建立会话时，所有数据都会经过IPS传感器，传感器位于活动数据路径中。传感器检测数据流中的恶意代码，核对策略，在未转发到服务器之前将信息包或数据流阻截。由于是在线操作，因而能保证处理方法适当而且可预知。

　　IPS检测机制