【51CTO.com独家特稿】尤记得当年Gartner曾有预测说IDS(***检测系统)必将死去,可时至今日,IDS似乎还在高端市场中占有很重要的职位。其实,曾几何时51CTO.com记者也有类似的想法,但与很多用户沟通之后发现,事实并非如此,而IDS一直战斗在反黑的第一线。
 
IDS真的会消亡么?
事实上,IDS作为网络安全的代表产品之一,其采购群体在国内主要集中在政府特殊部门和专有行业,普通用户一般不会考虑使用IDS设备。或许正是由于国内IDS市场情况相对特殊,使得IDS设备的利润相比其他网络安全产品要好一些,这或许成为众多安全厂商都愿意推出IDS的主要原因之一。
 
对于那些认为“IDS已死”的说法观点核心,无非是IPS将取代IDS。不过术业有专攻,可以肯定的说,IPS与IDS各司其职,IPS更不会取代IDS的地位和作用。在51CTO.com记者看来,IDS(***检测系统)是对传统安全产品的合理补充,帮助系统对付网络***,扩展了系统管理员的安全管理能力(包括安全审计、监视、进攻识别和响应),提高了信息安全基础结构的完整性。
 
它从计算机网络系统中的若干关键点收集信息,并分析这些信息,看看网络中是否有违反安全策略的行为和遭到袭击的迹象。可以说,IDS***检测系统被认为是防火墙之后的第二道安全闸门,在不影响网络性能的情况下能对网络进行监测,从而提供对内部***、外部***和误操作的实时保护。我们不妨来看一看IDS与其他几种安全产品执行的任务,也许大家会对IDS有一个新的认识:
 
◆IDS负责找出***特征,并将安全事件展示出来
◆IPS负责实时阻断***事件
◆UTM负责访问控制、×××,甚至限制流量
◆防火墙负责包过滤检测
 
从上面每种安全产品各自不同的作用来看,我们不难看出,几乎所有安全产品都需要对网络进行检测,而IDS的核心就是检测技术。毫无疑问,IDS,不会消亡,而且作为不可或缺的检测产品将长期战斗在反黑的第一线。
 
传统IDS亟待解决的问题
虽然IDS不可或缺,同时不得不承认的是,传统IDS也存在一些诟病,同样亟待解决一些问题:
 
误判率较高:使用IDS以后,***日志会出现很多,而网络管理员花了大量时间查找原因,却可能是没有任何***。这些误报逐渐导致网络管理员不再关心IDS的报告。51CTO.com记者认为,造成误判率较高的根本原因在于传统IDS无法将安全事件分等级、有重点、有针对性的给用户提交一份可视化的IDS报告。
 
防御效果不明显:虽然部署了IDS设备,但是很多用户发现仍然会发生数据失窃、主机被控之类的***。在记者看来,之所以防御效果不明显,是因为无法智能,实时地更新IDS***特征库,使得新型***特征,能够轻松逃过IDS的慧眼。
 
除此之外,当前网络环境复杂多变,在大量事件中,传统IDS往往不能够清晰的反映有安全事件的威胁级别,更不用说,给IT运维人员提供处理意见和建议了。基于这样的原因,很多用户对IDS技术和产品还是有些看法。此前,51CTO.com针对网络安全设备的一次大型调查中发现,有相当一部分IT经理认为部署了IDS后,实际效果并不明显。而目前用户对于传统IDS的使用方法上,通常有几点经验:首先是定期更新厂家的***特征库,其次是对IDS日志进行统计分析,第三就是目前大多数用户所做的,在***发生以后,通过IDS日志寻找可疑的日志信息,从而分析出***的来源和***造成的影响。
 
不过要做到后面两点,需要IDS提供相应的日志事件管理软件,并且配有专业分析人员。这对于很多用户来,这样势必会增加IDS的运维成本。而在启明星辰产品管理中心副总监沈颖看来,通过融入智能分析系统,并且让IDS展示出的***事件有重点,分级别的呈现在用户面前,就能解决目前众多用户的问题。
 
融入智能分析  IDS的一次浴火重生
如果能在传统IDS检测技术基础上,融入智能分析系统,将威胁事件可视化,再加以辅助处理,那么IDS可谓是一次浴火重生。
 
所谓智能分析系统是指根据众多安全专家的经验与知识,设计的一整套威胁事件智能分析的方法和算法,实现了IDS智能化的威胁检测。换句话说,如果IDS具备了智能分析系统,就意味着IDS具备安全专家长期实战积累下来的知识和经验,这将极大减少IT运维人员的工作量。
 
若想更深入的了解智能分析系统,我们不妨先来看一看安全专家处理IDS报警事件的四个步骤:
 
1、 确认需要关注的事件:从众多事件日志中排除一些无威胁事件,找出重点关注事件。
2、 事件分析:通过分析重点关注事件,排除误报的可能。
3、 事件处理:通过分析后的安全威胁事件,有针对性的进行修复或系统加固,并适当的改变IDS安全策略。
4、 统计汇报:量化事件产生的数据,提交报告辅助宏观决策。
 
如果将上面专家处理步骤标准化,智能化,开发出一套行之有效的可执行程序,使其变成智能分析系统,那么可以想象,加入智能分析系统的IDS将如虎添翼,从海量事件中,自动找出重点安全事件,同时极大地解放了IT运维人员的生产力。从下面的图片中,或许大家会理解的更深刻一些。  
 
智能分析系统示意图
图1:智能分析系统示意图
 
从图中我们不难看出智能分析系统的核心。就是将原有专家处理告警的四个步骤标准化、程序化。从威胁能力、发生频率、流行程度以及用户关注度等不同维度分析事件所带来的影响,从真正意义上解决了目前很多IDS用户的困扰,能够在海量事件中,找出重点威胁事件,这是结合了专家知识库后的智能分析系统核心价值所在。
 
此外,通过智能分析系统,将威胁事件可视化,再进行辅助处理,对于用户来说也是一件令人兴奋的事情。因为将威胁可视化可以为IT运维人员提供宏观信息,并能迅速直观发现重点关注事件。
 
打个比方,如果能够将智能分析出的重点事件分级别,有重点的展示在用户面前,那么IT运维人员就不必从海量事件信息中再查找什么应该关注,什么不应该关注;哪些不是威胁,哪些是威胁!
 
这时如果IDS还能提供辅助分析处理手段,那么就将有助于IT运维管理人员选择知识库中的经验和建议,从而大大的节约用户IT运维成本。  
 
安全事件辅助处理
图2 安全事件辅助处理
 
众所周知,国内有很多安全厂商在IDS技术和设备方面投入了很多研发力量,据记者了解,其中启明星辰在这方面取得了显著突破。据沈颖介绍,3月正式推出市场的天阗7.0威胁检测系统,就可以满足上面所述的需求。
 
从多个维度对事件进行分析,帮助用户智能的突出重点事件,并将重点威胁可视化,提供辅助处理建议,是新一代IDS——天阗7.0的优势所在。对于IDS来说,天阗7.0的问世,从某种意义上说是让威胁检测具备了人工智能,这意味着IDS只有专业人员才会使用的时代已经过去,面对海量事件无所适从的时代已经过去,告警事件不知如何处理的情况不再发生。
 
IDS的未来 机会和挑战并存
在51CTO.com记者看来,事实上,正是由于智能分析技术融入IDS的实现,才使得威胁检测的结果具有更强的可读性,从而使得威胁检测变得可视化。通过可视化的表达,简化了事件发现、处理、评估等一系列用户参与过程,这些让网络信息安全的运维也相应变得简单起来。毫不夸张的说,IDS这个信息安全老三样产品,在新世纪第二个十年之初,迎来了一次浴火重生。
 
此外,随着IT系统架构的不断演进,用户对企业网络安全需求却越来越高,以往单台设备挡天下的局面已经成为历史,IDS技术和产品的发展方向也符合这样的衍生规律,在日趋复杂的运维体系中,谁能够使复杂的事情简单化,谁就能在激烈的市场竞争中占据绝对有利态势。实现这样的目标并非难事,比如将融入智能分析系统的IDS与漏洞扫描,或是防火墙、UTM、IPS、上网行为管理设备、终端安全管理等网络安全设备联动起来,就能为企业构建起一座坚固的城墙。
 
然而,IDS技术和产品未来也将面对巨大的挑战。如果让上面的简单安全理念成为现实,满足用户不同的需求,IDS还需要不断地扩充智能分析系统,建立良好的策略分发机制,不能有丝毫的懈怠。同时,面对当前统一计算、虚拟化等新一代网络环境,安全问题依然很突出,这也是用户关注的重点,如何解决虚拟化环境中的安全问题和威胁事件处理,也将是IDS技术和产品发展必须攻克的课题之一。不过可以预见的是,随着IT系统架构不断的演进,必定会促进像IDS、UTM、防火墙等网络安全产品不断前行。
 
 
【51CTO.COM 独家特稿,转载请注明出处及作者!】
【编辑推荐】
  1. IDS***检测在企业应用中的四种难题
  2. 智能分析让你的IDS变聪明