IPS与IDS，防火墙与WAF之间的比较和差异

在网络和安全领域中&＃xff0c;有太多的缩写词会让您发疯。

术语IPS&＃xff0c;IDS&＃xff0c;WAF等在网络安全领域可能是已知的首字母缩写&＃xff0c;但是许多新手专业人员有时很难理解这些技术背后的概念&＃xff0c;如何比较等。

在本文中&＃xff0c;我将尽力比较并分解IPS&＃xff0c;IDS&＃xff0c;防火墙和WAF之间的差异&＃xff0c;因为它们是用于网络安全保护的网络中非常流行的解决方案。

首先让我们看一下每个缩写的含义&＃xff1a;

IPS &＃61;入侵防御系统

IDS &＃61;入侵检测系统

WAF &＃61; Web应用程序防火墙

目录

它们如何适应网络

防火墙功能

入侵防御系统

入侵检测系统

WAF

IPS与IDS

防火墙与IPS / IDS

WAF与IPS / IDS

它们如何适应网络

图片是一千个字。为了快速了解如何在网络设计中使用这些解决方案/设备&＃xff0c;让我们看一下下面的拓扑&＃xff0c;其中包括网络中的所有安全解决方案&＃xff08;防火墙&＃xff0c;IPS&＃xff0c;IDS&＃xff0c;WAF&＃xff09;。

下图的目的是说明通常如何将这些安全设备放置在网络中。

专业人士应考虑自己的特定要求&＃xff0c;并决定如何实际实施自己的网络&＃xff08;例如&＃xff0c;可能不需要在同一网络中具有IPS的IDS&＃xff09;。

现在让我们简要描述每个安全设备&＃xff0c;然后在本文下面进行进一步比较。

防火墙功能

防火墙有几种类型&＃xff0c;但最常见的是硬件网络防火墙。从本文的所有网络图中可以看到&＃xff0c;由于网络防火墙是网络安全的基石&＃xff0c;因此在所有网络设计中都可以找到网络防火墙。

防火墙的核心功能是允许或阻止源主机/网络与目标主机/网络之间的通信。

基本防火墙在OSI模型的第3层和第4层工作&＃xff0c;即它们可以基于源/目标IP地址和源/目标TCP / UDP端口允许或阻止IP数据包。

此外&＃xff0c;网络防火墙是有状态的。这意味着防火墙会跟踪通过它的连接状态。

例如&＃xff0c;如果内部主机通过防火墙成功访问了Internet网站&＃xff0c;则后者会将连接保留在其连接表内&＃xff0c;从而允许来自外部Web服务器的答复数据包传递到内部主机&＃xff0c;因为它们已经属于已建立的防火墙。连接。

如今&＃xff0c;下一代防火墙一直运行到OSI模型的第7层&＃xff0c;这意味着它们能够在应用程序级别检查和控制流量。

入侵防御系统

顾名思义&＃xff0c;入侵防御系统&＃xff08;IPS&＃xff09;是一种安全设备&＃xff0c;其主要任务是防止网络入侵。

这就是为什么IPS与数据包流串联连接的原因。从上面的网络拓扑&＃xff08;带IPS的防火墙&＃xff09;可以看出&＃xff0c;IPS设备通常连接在防火墙后面&＃xff0c;但是位于通信路径的串联位置&＃xff0c;该通信路径向内部网络/从内部网络传输数据包。

为了使IPS设备在到达内部服务器之前立即阻止恶意流量&＃xff0c;需要上述放置。

通常&＃xff0c;IPS是基于签名的&＃xff0c;这意味着它具有已知恶意流量&＃xff0c;攻击和利用的数据库&＃xff0c;如果它看到匹配签名的数据包&＃xff0c;则它将阻止流量。

此外&＃xff0c;IPS可以处理统计异常检测&＃xff0c;管理员设置的规则等。

入侵检测系统

IDS&＃xff08;入侵检测系统&＃xff09;是IPS的前身&＃xff0c;本质上是被动的。如上图所示&＃xff08;带IDS的防火墙&＃xff09;&＃xff0c;该设备未与流量串联插入&＃xff0c;而是并行&＃xff08;带外放置&＃xff09;。

通过交换机的流量也同时发送到IDS进行检查。如果在网络流量中检测到安全异常&＃xff0c;则IDS只会向管理员发出警报&＃xff0c;但无法阻止流量。

与IPS相似&＃xff0c;IDS设备还主要使用已知安全攻击和漏洞利用的特征来检测入侵企图。

为了将流量发送到IDS&＃xff0c;交换设备必须配置一个SPAN端口&＃xff0c;以便复制流量并将其发送到IDS节点。

尽管IDS在网络中是被动的&＃xff08;即它不能主动阻止流量&＃xff09;&＃xff0c;但是有些模型可以与防火墙配合使用以阻止安全攻击。

例如&＃xff0c;如果IDS检测到攻击&＃xff0c;则IDS可以向防火墙发送命令以阻止特定的数据包。

WAF

WAF&＃xff08;Web应用程序防火墙&＃xff09;专注于保护网站&＃xff08;或通常的Web应用程序&＃xff09;。

它在应用程序层工作以检查HTTP Web流量&＃xff0c;以检测针对网站的恶意攻击。

例如&＃xff0c;WAF将检测SQL注入攻击&＃xff0c;跨站点脚本&＃xff0c;Javascript攻击&＃xff0c;RFI / LFI攻击等。

由于当今大多数网站都使用SSL&＃xff08;HTTP&＃xff09;&＃xff0c;因此WAF还可以通过终止SSL会话并在WAF本身上检查连接内部的流量来提供SSL加速和SSL检查。

如上图所示&＃xff08;带有WAF的防火墙&＃xff09;&＃xff0c;它被放置在网站的前面&＃xff08;通常&＃xff09;在防火墙的DMZ区域中。

有了WAF&＃xff0c;管理员可以灵活地限制对网站特定部分的Web访问&＃xff0c;提供强身份验证&＃xff0c;检查或限制文件上传到网站等。

现在&＃xff0c;让我们看一下上述安全解决方案的一些快速比较表。

IPS与IDS

防火墙与IPS / IDS

WAF与IPS / IDS