网络安全设备概念及区别(防火-ips-ids-waf)

主要是是对网络安全设备的一个概括和解释，方便大家分清防火墙/ips/ids/utm等网络安全设备的不同和区别。

网络安全设备

• 访问控制类
  • 防火墙
    • 概念：
      • “防火墙”是指一种将内部网和公众访问网（如Internet）分开的方法，它实际上是一种建立在现代通信网络技术和信息安全技术基础上的应用性安全技术，隔离技术。
      • 防火墙主要是借助硬件和软件的作用于内部和外部网络的环境间产生一种保护的屏障，从而实现对计算机不安全网络因素的阻断。
      • 防火墙对流经它的网络通信进行扫描，这样能够过滤掉一些攻击，以免其在目标计算机上被执行。
      • 是重要的网络边界控制设备，主要通过策略5要素（源、目的、协议、时间、动作，各厂家根据定义不同，会有所扩展）实现对网络的访问控制。
    • 产品
      • ＷＡＦ
        • WAF是英文"Web Application Firewall"的缩写，中文意思是"Web应用防火墙"，也称为"网站应用级入侵防御系统"。
        • WAF是集WEB防护、网页保护、负载均衡、应用交付于一体的WEB整体安全防护设备。
        • WAF需要部署在Web服务器的前面，串行接入，不仅在硬件性能上要求高，而且不能影响Web服务，所以HA功能、Bypass功能都是必须的，而且还要与负载均衡、Web Cache等Web服务器前的常见的产品协调部署。
        • WAF主要技术
          • 是对入侵的检测能力，尤其是对Web服务入侵的检测能力。
            • 代理服务
              • 代理方式本身是一种安全网关，基于会话的双向代理，中断了用户与服务器的直接连接，适用于各种加密协议，这也是Web的Cache应用中最常用的技术。
            • 特征识别
              • 识别出入侵者是防护它的前提。
            • 算法识别
              • 特征识别有缺点，人们在寻求新的方式。
            • 模式匹配
              • 把攻击行为归纳成一定模式
  • ＩＰＳ入侵防御系统
    • 入侵防御系统(Intrusion-prevention system)是一部能够监视网络或网络设备的网络资料传输行为的计算机网络安全设备，能够及时的中断、调整或隔离一些不正常或是具有伤害性的网络资料传输行为。
    • 是电脑网络安全设施，是对防病毒软件（Antivirus Programs）和防火墙（Packet Filter, Application Gateway）的补充。
• 审计类
  • ＩＤＳ入侵检测系统
    • 入侵检测系统（intrusion detection system，简称“IDS”）是一种对网络传输进行即时监视，在发现可疑传输时发出警报或者采取主动反应措施的网络安全设备。
    • IDS主要针对已发生的攻击事件或异常行为进行处理，属于被动防护。
    • IDS是计算机的监视系统，它通过实时监视系统，一旦发现异常情况就发出警告。
      • 以信息来源的不同
        • 基于主机IDS
        • 基于网络的IDS
      • 检测方法的差异
        • 异常入侵检测
        • 误用入侵检测
    • 不同于防火墙，IDS入侵检测系统是一个监听设备，没有跨接在任何链路上，无须网络流量流经它便可以工作。
    • IDS应当挂接在所有所关注流量都必须流经的链路上。
    • IETF将一个入侵检测系统分为四个组件：
      • 事件产生器（Event generators），它的目的是从整个计算环境中获得事件，并向系统的其他部分提供此事件。
      • 事件分析器（Event analyzers），它经过分析得到数据，并产生分析结果。
      • 响应单元（Response units ），它是对分析结果作出反应的功能单元，它可以作出切断连接、改变文件属性等强烈反应，也可以只是简单的报警。
      • 事件数据库（Event databases ）事件数据库是存放各种中间和最终数据的地方的统称，它可以是复杂的数据库，也可以是简单的文本文件。
• ＵＴＭ
  • UTM是英文"Unified Threat Management"的缩写，中文意思是"统一威胁管理"，业界常称之为安全网关。
  • UTM常被定义为由硬件、软件和网络技术组成的具有专门用途的设备
    • 提供一项或多项安全功能，同时将多种安全特性集成于一个硬件设备里，形成标准的统一威胁管理平台。
  • 优点：
    • 降低了成本UTM将多个安全设备的功能集于一身，大大降低了硬件成本、人员成本、时间成本。
    • 降低工作强度UTM提供了以往多种产品的功能，并且只要插接在网络上就可以完成基本的安全防御功能，大大降低了安装、配置、运维的工作强度。
    • 降低技术复杂度UTM提供了一体化管理方式，降低了掌握和管理各种安全功能的难度以及用户误操作的可能，使安全管理人员可以通过单一设备集中进行安全防御，而不需要拥有多个单一功能的设备，每个设备都需要人去熟悉、关注和支持。对于没有专业信息安全人员及技术力量相对薄弱的组织来说，使用UTM产品可以提高这些组织应用信息安全设施的质量。
  • 缺点：
    • 抗风险能力降低虽然UTM提供了通过单一设备管理，实现多种安全功能的能力，同时也引入了一个不可避免的问题——单点故障，一旦该UTM设备出现问题，将导致所有的安全防御措施失效。UTM设备的安全漏洞也会造成相当严重的损失。
    • 内部防御薄弱由于UTM的设计原则违背了深度防御原则，虽然UTM在防御外部威胁非常有效，但面对内部威胁就无法发挥作用了。然而，造成组织信息资产损失的威胁大部分来自于组织内部，所以以网关型防御为主的UTM设备，目前尚不是解决安全问题的灵丹妙药。
    • 单一防御功能较弱UTM本质上是将防病毒、入侵检测和防火墙等N个网络安全产品功能集中于一个设备中，必然导致每一个安全功能只能获得N分之一的处理能力和N分之一的内存，因此每一个功能都较弱。
    • 性能和稳定性尽管使用了很多专门的软硬件技术用于提供足够的性能，但是在同样的空间下，实现更高的性能输出，对系统稳定性造成的影响不可避免。目前，UTM安全设备的稳定程度与传统安全设备相比，仍需不断提高，且任重道远。
  • 包含的功能：
    • 具备的基本功能：
      • 网络防火墙
      • 网络入侵检测/防御
      • 入侵预防（Intrusion Prevention）
    • 其他选配功能：
      • 防病毒网关（Gateway Anti-Virus）
      • 应用层防火墙和控制器（Application Layer Firewall and control）
      • 深度包检测（Deep packet inspection）
      • Web代理和内容过滤（Web Proxy & content filtering）
      • 数据丢失预防（DLP)
      • 安全信息和事件管理（SIEM）
      • 虚拟专用网络（VPN）
      • 网络沼泽（Network Tarpit）
• 安全运营中心（SOC）
  • SOC，全称是Security Operations Center，是一个以IT资产为基础，以业务信息系统为核心，以客户体验为指引，从监控、审计、风险和运维四个维度建立起来的一套可度量的统一业务支撑平台，使得各种用户能够对业务信息系统进行可用性与性能的监控、配置与事件的分析审计预警、风险与态势的度量与评估、安全运维流程的标准化、例行化和常态化，最终实现业务信息系统的持续安全运营。
  • 本质上，SOC不是一款单纯的产品，而是一个复杂的系统，他既有产品，又有服务，还有运维(运营)，SOC是技术、流程和人的有机结合。SOC产品是SOC系统的技术支撑平台，这是SOC产品的价值所在。
  • 主要功能：
    • 面向业务的统一安全管理
    • 全面的日志采集
    • 智能化安全事件关联分析
    • 全面的脆弱性管理
    • 主动化的预警管理
    • 主动化的网络威胁情报利用
    • 基于风险矩阵的量化安全风险评估
    • 指标化宏观态势感知
    • 多样的安全响应管理
    • 丰富灵活的报表报告
    • 流安全分析
    • 知识管理
    • 用户管理
    • 自身系统管理
    • 一体化的安全管控界面
• 信息安全和事件管理（SIEM）
  • SIEM，信息安全和事件管理，全称是security information and event management，由SEM和SIM两部分构成。
  • 什么是SIEM？SIEM软件能给企业安全人员提供其IT环境中所发生活动的洞见和轨迹记录。SIEM技术最早是从日志管理发展起来的。它将安全事件管理(SEM)——实时分析日志和事件数据以提供威胁监视、事件关联和事件响应，与安全信息管理(SIM)——收集、分析并报告日志数据，结合了起来。
  • 运作机制：
    • SIEM软件收集并聚合公司所有技术基础设施所产生的日志数据，数据来源从主机系统及应用，到防火墙及杀软过滤器之类网络和安全设备都有。收集到数据后，SIEM软件就开始识别并分类事件，对事件进行分析。
  • 目标：
    • 产出安全相关事件的报告，比如成功/失败的登录、恶意软件活动和其他可能的恶意活动。
    • 如果分析表明某活动违反了预定义的规则集，有潜在的安全问题，就发出警报。