入侵检测系统

入侵检测系统

随着“两化”融合的不断深化，传统IT网络中的不安全因素大量“涌入”工业控制系统，给原本脆弱的工业控制系统“雪上加霜”，涉及国计民生的工业、能源、交通、水利等关键基础设施面临较大安全风险，一旦遭到破坏，可能造成城市的供电中断、饮用水污染、交通瘫痪等，影响公众生活甚至是国家安全。因此，加强工业控制系统的安全防护工作显得尤为迫切。
目前工业企业普遍采用防火墙来对边界及区域进行安全隔离，而入侵检测系统（Intrusion Detection System）作为防火墙的补充，被认为是防火墙之后的第二道安全闸门，可实时检测内部和外部攻击，在入侵攻击对网络或系统造成危害前，及时发现入侵行为并进行报警，并提供攻击信息的详细描述，以便取证分析。
入侵检测系统（以下简称“入侵检测系统”）很好的弥补了防火墙的不足，可有效监视交换机上的所有实时传输数据，提供全面专业入侵检测能力，通过协议状态检查和智能关联分析，为工业用户提供全面的信息展现和安全预警，为改善用户网络的风险控制环境提供决策依据，是整个网络体系中不可或缺的一部分。
入侵检测系统基于x86架构，使用基于多年技术积累的自主操作系统，系统由威胁检测和威胁分析两大部分组成，系统架构如下图：

图 1入侵检测系统架构
1. 硬件架构
入侵检测系统采用X86多核架构，拥有强大的计算能力和应用处理能力，足以应付入侵检测系统需要的计算需求。
2. 软件架构
入侵检测系统基于专用网络操作系统定制开发，拥有良好的稳定性、安全性，具有广泛的新特性支持。IDS采用标准的“三权分立”，严格分配管理员权限，保障了入侵检测系统自身的安全性。
f1. 超低的事件漏洞率和误报率
采用TCP/IP数据重组、目标和应用程序识别、完整的应用层有限状态追踪、应用层协议分析、先进的事件关联分析技术以及多项反IDS逃避技术，提供业界超低的误报率和漏报率。
2. 丰富的事件特征库
内置超过3000种预定义攻击特征，支持实时在线更新、离线更新等多种更新方式，保证安全事件检测的及时性和有效性。
基于语义的SQL注入检测
传统的基于特征的SQL注入检测，漏报和误报率高，比如在USER字段提交Select，将会被认作攻击行为。做编码转换、函数转换或者关键字跨域之后，攻击者很容易躲避机械的匹配字符串方式的检测。
入侵检测系统会首先构造一个可执行各种SQL语句的虚拟执行环境，通过对输入的内容进行语义分析，检测内容中可能存在的攻击行为，其工作流程如下：

图 2 SQL注入检测工作流程
4. 灵活的安全策略管理
入侵检测系统采用基于策略的检测方式，内置了多种默认安全策略集，用户可以根据需要选择最适合自己的策略，以达到最佳检测效果。用户可根据检测的类型不同而选择不同的事件集，既提高了系统的性能，又可减少误报机率。
可以根据安全类型、协议类型、系统、级别、事件来源等多个方面来灵活选择安全策略。同时对于不同的安全策略，可以自定义不同的检测级别，适用于各种不同的场景。
5. 用户身份识别
入侵检测系统提供了用户身份识别功能，将用户识别的理念引入到入侵检测系统当中，随着网络的不断发展以及BYOD的兴起，基于IP的管理越来越不能满足网络管理的要求，基于用户的身份识别将IP和真实的使用者联系起来，做到身份的有效识别和控制。提供多种用户识别手段，方便管理员更好的发现威胁和攻击行为。
6. 更精细的应用层安全检测
基于应用的识别技术，是各种应用层安全检测的基础，目前各类新的应用层出不穷，这些应用势必会带来新的、更复杂的安全风险。这些风险和应用本身密不可分，如果不结合应用来分析将无法检测这些风险。
入侵检测系统采用流检测技术对各类应用进行深入分析，搭建应用协议识别框架，准确识别大部分主流应用协议，可对基于应用识别的应用进行细粒度的管理，更好的对利用这些漏洞的攻击行为进行检测。
入侵检测系统采用旁路方式部署，网络的流量不会流经IDS，而是由其它网络设备把需要检测的流量镜像一份给入侵检测系统，不会对工业网络的正常运行造成任何影响。

图 3 入侵检测系统部署示意图