Ⅰ 什么是IDS/IPS产品
入侵检测系统(IDS)：
IDS是英文“Intrusion Detection Systems”的缩写，中文意思是“入侵检测系统”。专版业上讲就是依照一定权的安全策略，对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或者攻击结果，以保证网络系统资源的机密性、完整性和可用性。
2. 入侵防御系统(IPS)：
IPS是英文“Intrusion Prevention
System”的缩写，中文意思是入侵防御系统。
3、IPS与IDS的区别：
IPS对于初始者来说，是位于防火墙和网络的设备之间的设备。这样，如果检测到攻击，IPS会在这种攻击扩散到网络的其它地方之前阻止这个恶意的通信。而IDS只是存在于你的网络之外起到报警的作用，而不是在你的网络前面起到防御的作用。
Ⅱ IDS的主要功能有哪些
几乎所有当前市场上的网络入侵检测系统都是基于一种被动数据收集方式的协议分析
，我们可以预见，这种方式在本质上是有缺陷的。
毫无疑问，这样的入侵检测系统会监视整个网络环境中的数据流量，并且总是与一种
预定义的可疑行为模式来进行对照，甚至所谓的入侵行为分析技术也只是简单地从单位时
间状态事件技术上做了些组合工作，事实上离真正实用的复杂黑客入侵行为的剖析和理解
还有很远的距离。
对于这种检测技术的可靠性，我们可以通过自定义的三种可行性很强的攻击方式来验
证――插入攻击、逃避攻击和拒绝服务攻击。我们可以看到，当一个入侵者实施了这样的
入侵策略以后，所谓的入侵检测系统便妥协了。我们的结论是这种入侵检测系统不是放之
四海而皆准的，除非它们从根本上被重新设计过。
入侵检测系统的作用及其功能
真正实用的入侵检测系统的存在价值就是能够察觉黑客的入侵行为并且进行记录和处
理，当然，人们也会根据自己的需求提出需要强大的日志记录策略、黑客入侵诱导等等。
不同的入侵检测系统存在不同的入侵分析特征。一个企图检测Web入侵的系统可能只会
考虑那些常见的恶意HTTP协议请求；同样道理，一个监视动态路由协议的系统可能只会考
虑网络是否存在RIP欺骗攻击等等。目前国内市场上的大部分入侵检测系统使用同一个入侵
行为定义库，如著名的SNORT特征库，这说明我们在技术挖掘方面的投入还不够，事实上我
国在基础研究设施的投入上也存在严重不足。
入侵检测系统现在已经成为重要的安全组件，它有效地补充和完善了其他安全技术和
手段，如近乎快过时的基于协议和端口的防火墙。入侵检测系统为管理人员提供相应的警
告信息、报告可能发生的潜在攻击，从而抵挡了大部分“只是对系统设计好奇”的普通入
侵者。
世界上已经开发出了很多种入侵检测系统，我们可以用通用的入侵检测体系结构（CI
DF:Common Intrusion Detection Framework）来定义常见的入侵检测系统的功能组件。这
些功能组件通常包括事件产生器、分析引擎、存储机制、攻击事件对策。
许多入侵检测系统在设计之时就仅仅被考虑作为警报器。好在多数商业化的入侵检测
系统配置了可用的防御性反攻击模块，起码可以切断TCP连接或动态地更改互动防火墙过滤
规则。这样就可以阻止黑客沿着同一路径继续他的攻击行为。一些入侵检测系统还配置了
很好的攻击诱骗模块，可以为系统提供进一步的防护，也为进一步深入研究黑客行为提供
了依据。
IDS到底有那些不足
IDS的基本原理
对于比较普遍的两种入侵检测模式--基于网络的入侵检测和基于主机的入侵检测，我
们可以这样考虑：基于主机的入侵检测系统对于特定主机给予了定制性的保护，对于发生
在本地的、用户级的、特征性比较明显的入侵行为有防范作用。但是，这种模式对于发生
在网络传输层的入侵通常是无可奈何的，想让应用级特征比较强的系统同时把系统级和网
络底层技术实现得比较完善是不太现实的。虽然我们可以看到在伟大的Linux系统上实现了
Lids，毕竟象Solaris，NT这样的系统，我们能够了解的只是皮毛。
基于网络的入侵检测系统需要监视整个网络的流量，匹配可疑行为特征。它的技术实
现通常必须从网络和系统的底层入手，而且它同时保护的是网络上的一批主机，无论它们
使用的什么系统。基于网络的入侵检测系统显然不会关心某一台主机之上正在进行着什么
操作，只要这些操作数据不会扩散到网络上来。因为网络入侵检测系统是以行为模式匹配
为基础的，我们可以断定它有匹配失误的可能，有因为不能确定某种行为是入侵而将其放
行的可能。那么当一个“聪明”的入侵者骗过了这种系统，顺利地进入一台主机，该系统
的厄运开始了。
被动的网络监视器通常利用网络的混杂模式工作，它们直接从网络媒介获得网络中数
据包的拷贝，而不考虑这些包本来是不应该被它们接收的。当然，这种被动的网络底层协
议分析总是“安静地”存在于网络的某个地方，它只是根据网络媒介提供的这种特征，在
其他主机不知不觉的时候将网络数据拷贝一份。同时，需要考虑到，根据引擎端实现平台
的不同，各平台实现的网络数据包捕获机制的不同，在混杂模式下丢包的程度是不同的。
事实上，对于大多数还需要从内核读取数据的应用级包过滤系统，只能考虑以更快的方式
把数据读取到用户空间，进而发送给其它进程。 这样处理的化，要求从技术上增加用户空
间的缓冲区尺寸，如在BSD(BPF)的系统上，能够利用BIOCSBLEN ioctl调用来增加缓冲区尺
寸。
攻击IDS的原理
入侵检测系统地最重要的特征莫过于其检测的“精确性”。因此IDS要对捕获到的数据
包进行详细的分析，所以对IDS的攻击就是针对IDS在分析数据时的弱点和漏洞。
网络IDS捕获到网络上传输的数据包并进行分析，以便知道一个对象对另一个对象做了
什么。IDS总是通过网络上交换的数据包来对终端系统上发生的信息行为进行判断。假设一
个带有错误UDP校验和的IP数据包，大多数操作系统会丢弃这样的数据。某些比较陈旧的系
统也可能会接受。IDS需要了解每一个终端系统的具体情况，否则IDS按照自己的方式构造
出来的逻辑在终端系统上的应用会有不同。某些操作系统有可能会接受一个明显存在问题
的数据包，如允许一个有错误的校验和的IP包。当然，IDS如果不进行分辨，必然会丢掉这
些本来终端系统会接受的数据。
就算IDS系统知道网络都有些什么操作系统，它也没有办法通过查看一个包而知道是否
一个终端系统会接受这个包。原因很简单，CPU耗尽、内存不足都可能导致系统发生丢包现
象。
IDS全部的信息来源就是它捕获到的数据包。但是，IDS应该多了解一些关于终端系统
的网络行为，应该了解终端系统如何处理各种网络数据。但是，实际上，这是不可能的。
在处理所谓的拒绝服务攻击时，存在两种常见的情况：某些IDS系统在自己处于停机状
态时，可以保持网络正常的信息流通，这种属于“fail-open”型；另一种则是“fail-cl
osed”型，即当IDS系统出现问题时，整个网络也随之瘫痪了。
网络检测系统是被动的。它们不控制网络本身，也不会以任何方式维护网络的连接。
如果一个IDS系统是fail-open的，入侵者通过各种手段使IDS资源不可用了，那时IDS就没
有任何防范入侵的作用了。正是因为这样，IDS系统加强自身抗拒绝服务攻击的能力显得极
为重要。
当然，许多攻击方式讨论的都是针对基于嗅探模式的IDS系统。这些类型的攻击都企图
阻止协议分析，阻止特征模式匹配，阻止IDS获得足够信息以得出结论。
针对入侵检测系统弱点的攻击探讨
有时IDS系统会接受终端系统丢弃了的数据包。因为IDS认为终端系统接受并且处理了
这些数据，而事实上终端系统由于种种原因丢弃了这些数据包。一个入侵者就可以利用这
一点，制造那种他所想要入侵的主机会丢弃而IDS系统将接受并作出判断的数据包，以使I
DS与终端系统得到不同的结论。
我们可以把这种攻击称为“插入式”攻击。道理很简单，假设一个入侵者发往终端系
统的数据是attack，但是，他通过精心构造在数据流中加入了一个多余的t。对于终端系统
而言，这个t是被丢掉不被处理的；而对于IDS系统而言，它得到的最终上下文关系是attt
ack，这个结论使IDS认为这次行为并没有对终端系统形成攻击而不作处理，事实上，终端
系统已经接受了attack数据。
现在让我们来分析一下这种方式的攻击如何阻止特征分析。特征分析通常的方式是根
据固定模式判断某个特定的字串是否被存在于一个数据流中，例如，对待一个phf的HTTP攻
击，IDS通常检查这个字串的存在与否，“GET /cgi-bin/phf?”, IDS系统判断这种情况很
容易，只需要简单的子串搜索功能便可以做到，然而，但是，如果一个入侵者通过插入式
攻击的思想在这次HTTP请求中增加了这样的内容，GET /cgi-bin/pleasedontdetectthisf
orme?,里面同样包含了phf,但是在IDS看来，味道已经不一样了。
插入式攻击的的结果就是IDS系统与终端系统重组得到了不一样的内容。通常，插入式
攻击在IDS没有终端系统处理数据那么严格的时候都存在。可能好的解决方法就是让IDS系
统在处理网络中需要重组的数据的时候，作出严格的判断和处理，尽可能地与终端系统处
理地效果一个样。可是，引来了另外一个问题，这便是另一种攻击方式，相对地叫做“逃
避式“攻击模式。
相对的，有些数据包是IDS不会接受的，而终端系统却会对这些数据作出处理。当然，
IDS由于不接受某些包，而会导致与这些数据相关的上下文关系无法了解。
问题的现象是因为IDS在对数据包进行审核处理的时候过于严格，使得往往某些数据在
终端系统而言，是要进行接受重组处理的，而在IDS本身，仅仅是不作处理，导致许多攻击
在这种严格的分析引擎的鼻子地下躲过。
逃避式攻击和插入式攻击都有效地愚弄了模式匹配引擎系统。结果都是入侵者使得ID
S与终端系统接受处理了不同的数据流，在逃避式攻击中，终端系统比IDS接受了更多的内
容而遭受攻击。
还是上面的phf的例子，入侵者发送了一个HTTP请求，使得原本的GET /cgi-bin/phf？
在IDS处理的结论中变成了GET /gin/f，当然，这个结论对于大多数IDS系统来说，几乎没
有任何意义。
从技术上来看, 插入式和逃避式这两种对付检测系统的方式也不是这容易就被入侵者
所利用，因为实现这种攻击要求入侵具备相当的知识面和实践能力。
现在的许多网络协议是简单的并且容易分析的。比如一个普通的网络分析器就能够容易的
判断一个UDP DNS请求的目的。
其它的一些协议则复杂的多，在得出实际传输的内容之前，需要对许多单个的数据包
进行考虑。这样的话，网络监视器必须总是监视内容的数据流，跟踪包含在数据流中的信
息。例如，为了解析出一个TCP连接中发生了什么，必须重组这次连接中的整个数据流。
象TCP这样的协议，允许在IP最大包尺寸范围内的任意大小的数据被包含于每一个分散
的数据包中，数据可以无序地到达目的地，每个数据包都具有一个序列号来表明自己在数
据流中的位置。TCP数据流的接受者有责任重新按照序列号进行数据包的重新排序和组合，
并解析出数据发送者的意思。这有一套TCP的数据重组机制来完成。在IP层，IP也定义了一
种自己的机制，叫做“碎片“，这种机制允许主机把一个数据包切分为更小的数据分片。
每一个片都有一个标记，标记自己原来属于原始数据包的什么相对位置，叫做”偏移值“
。IP实现允许接受这样的IP碎片包，并且根据偏移值来重组原始数据包。插入式攻击通过
增加一些数据包到数据流中导致终端系统重组很困难。被插入的数据包能够改变数据流的
先后顺序，进而阻止IDS正确地处理紧跟着的正确的数据包。包的插入重叠了老的数据，在
IDS系统上重写了数据流。某些情况下，插入数据包，改变了数据流原来的意思。
逃避式攻击则是导致IDS系统在进行流重组的时候错过了其中的部分关键内容，被IDS忽略
的数据包可能对于数据流的顺序来说是至关重要的；IDS系统可能在逃避式攻击之后不知道
该如何对这些数据下结论了。许多情况下，入侵者产生整个躲避IDS系统检测的数据流是相
对简单的。
“插入式”和“逃避式”IDS攻击都不是很容易防范的，除非IDS通过了第二信息源的配合
，能够对当前监视的网络拓扑结构以及对作为被监视对象的终端系统所能够接收什么样的
数据包进行跟踪分析，否则问题依然存在，这是目前必须要提出来的对被检测网络的诠释
技术，尽可能通过配合第二信息源的方式，让IDS对它所检测的网络中的终端系统以及网络
实际环境有一个成熟的了解。如果一个攻击能够造成实现插入任意的IP数据包，那么，插
入一个UDP或者ICMP也是没有问题的。所以可以看出IDS系统在IP层实现对这两种入侵手段
的免疫将是很重要的。一个最容易的让终端系统丢弃IP数据包的方式是让数据包具有不正
确的IP头部信息。如RFC731定义。入侵者所使用的这些头部信息有问题的数据包在现实中
可能会遇到问题，除非攻击对象IDS系统处在同一个局域网之内，例如如果version域不是
4，而是其他的值，这种数据包实际上是不会被路由的。当然，对于其他的一些域值，比如
IP包长度或者IP头长度，一个不规范的长度将阻止IDS系统正确定位IP中的传输层的位置等
。
在IP头域信息中，最容易被忽略的是校验值。似乎对于一个IDS系统去校验每一个捕获的I
P数据包的校验是没有必要的。然而，一个带有病态的校验值的数据报对于大多数IP实现来
说都是不会被处理的。一个IDS系统在设计的时候考虑到有问题的校验了么？如果没有考虑
到校验的必要性，那么很难避免“插入式“攻击。TTL域表示了一个数据包在到达目的系统
的过程中需要经过多少路由器。每一次，一个路由器转发一个数据包，数据包所带的TTL信
息将会被消耗。TTL消耗尽时，包也被丢弃了。所以，入侵者可以构建一个TTL的值，使得
发送的数据包刚好可以到达IDS系统，但是TTL刚好耗尽了，数据本来应该到达的目标却没
有到。相类似的另一个问题与IP头部的DF标志有关。DF标志置位使得转发设备即便是在包
超出标准大小尺寸的时候也不要对数据进行IP分片，紧紧通知简单的丢弃掉这些包。
这两个不明确的问题的解决要求IDS系统能够了解它所监视的网络拓扑结构。
IP校验和问题很好解决；一个IDS系统可以假设如果校验和是错误的，那么数据包将会被目
标系统所不接受。而IP的选项域的存在又导致一些不同的可能性。许多操作系统可以配置
为自动拒绝源路由数据包。除非IDS了解是否一个源路由数据包的目标主机拒绝这样的数据
包，否则不可能正确处理这样情况。
对IP数据包中的源路由项进行检查或许是一个明显的必要。然而，其他的一些选项也是必
须应该考虑的。例如，“timestamp“选项要求特定的数据包的接受者在数据包里放置一个
时间戳标记。如果这个选项出现问题，处理事件戳选项的代码将强迫丢弃这个包。如果ID
S没有如同终端系统那样核实时间戳选项的话，便存在问题。
同一个LAN上的入侵者能够指引链路层的数据帧到IDS系统，不必允许作为IP目标的主机看
到这个包。如果一个入侵者知道了IDS的MAC地址，他便能将他的欺骗包发往IDS系统，LAN
上的其他系统不会处理这个数据包，但是，如果IDS不检查接受到的数据包的MAC地址，它
是不会知道发生了什么情况的。
逃避式攻击则是导致IDS系统在进行流重组的时候错过了其中的部分关键内容，被IDS忽略
的数据包可能对于数据流的顺序来说是至关重要的；IDS系统可能在逃避式攻击之后不知道
该如何对这些数据下结论了。许多情况下，入侵者产生整个躲避IDS系统检测的数据流是相
对简单的。
因为终端系统将重组IP碎片，所以IDS系统能够进行IP碎片重组也是重要的。一个不能正确
的重组碎片的IDS系统将是容易受到攻击的，入侵者仅仅通过人工生产碎片便可以愚弄IDS
。IP碎片的数据流通常有序到达。但是，协议允许碎片以任何次序到达。一个终端系统必
须能够重组无序到达的数据包分片。 IDS系统如果不能处理IP碎片无序到达这种情况的话
，也是存在问题的；一个入侵者能够故意捣乱他的碎片来逃避IDS检测。而且IDS必须在全
部的碎片都被接收到以后才进行碎片重组。当然了，接收到的分片必须被存储下来，直到
分片流可以被重组为一个完整的IP数据包。一个入侵者如果利用分片的形式来对网络进行
flooding攻击，那么IDS系统通常会资源耗尽。
每个终端系统也必须处理这个问题。许多系统根据TTL来丢弃分片，而避免这种由于大量碎
片请求造成的内存不足。许多入侵者能够刻意地通过构造病态的IP分片躲避传统的包过滤
器，他们使用的是尽可能小的分片包，因为单个的分片所包含的数据不足以达到过滤规则
的长度。另外，出现的问题是重叠的分片处理问题，可能性是这样的，具有不同尺寸和分
片先后到达系统，并且分片的数据位置处于重叠状态，既是说，如果一个分片迟于另外一
个分片达到系统，两个分片对于重组参数来说是同一个，这时新到的数据可能会覆盖掉已
经先到达的老的一些数据。这便又提出了一个问题，如果一个IDS系统没有能够以它所监视
和保护的终端系统处理分片的方式处理分片包的话，可能面对同一个数据分片流，IDS系统
将重组出于终端系统得到的安全不同的数据包。一个了解这种IDS与终端系统之间矛盾的入
侵者可能会采用这种入侵方式。对于重叠分片的取舍是更加复杂的，对于这些又冲突的分
片数据是否被采纳往往取决于他们所在的位置，而根据不同的操作系统的对IP碎片重叠情
况的不同处理也不一样。有些情况，新的数据被承认而有的时候是旧的被承认，而新的被
丢弃。当然，IDS不能正确分析这种情况，将面临“逃脱”式攻击。
IDS系统并不是处理这种重叠分片出现问题的唯一IP实现，终端系统的IP驱动程序同样会有
问题。或许正是因为IP碎片重组的困难和复杂才使得出现了那么多不正确的处理。所以，
除非一个IDS系统准确的知道它所监视的系统都是什么不同的IP驱动，否则精确地重组每一
个系统接受地数据是不可能的。
例如：Windows NT在处理重叠分片时，总是保留已有的数据。这与BSD4.4刚好相反。
IP包的选项域是应该考虑到的。当一个IP包被分片时，来自于原始数据包的选项是否应该
被携带到全部的分片中去。RFC791声明某些IP选项如（security）将出现在每一个分片里
，而其它的一些必须只出现在第一个分片中。对于严格的IP实现将丢弃那些具有不正确选
项的分片。但是IDS许多系统不是这样的。如果IDS没能象终端系统那样精确的处理这种情
况的话，将面临前面提到的两类攻击。
对于IP第四代协议，现实是任何人都可以进行IP地址伪造。使IDS系统判断出来好像是来自
多处的攻击。对于无连接的协议来说，更为严重。
在面向连接的协议中，关于一次连接回话的起源问题基于是否一个可用的连接被产生了；
象TCP这样的连接协议使用了序列号机制，这种机制提供了一种确认方法， 可是，对于无
连接协议，这种相对严格的确认机制却是没有的；可以看到，一个入侵DNS的破坏者其实可
以是来自任何地方。看来，IDS系统的管理者对于IDS系统给出的网络地址的准确性是应该
仔细考虑的。事实上，被IDS检测到的大部分攻击是通过TCP连接的。所以，IDS对TCP会话
数据流的重组能力成为关键。而假如IDS没有能够使用与它所检测的网络中的终端系统同样
的重组规则的话，将是脆弱的。对于正常的TCP连接，就像一次由远程登录发起的连接，这
很容易做到的。也存在许多实现TCP连接监视的方法。对于IDS而言，没有一个对捕获到的
TCP数据流如何进行处理的标准规范成了最主要的问题。
IDS系统为了能够重建TCP连接的信息，TCP片段使用的序列号信息是必须知道的。我们可以
把这种IDS去判断当前连接的可用序列号的过程叫“同步”。当然，在判断序列号时出现问
题，可以叫“失去同步”。当IDS系统在一次TCP连接中失去序列号同步了，就不能够对这
次连接的信息数据进行有效的重组了。在许多情况下，IDS系统由此变得不再处理这一次连
接中的任何数据信息。所以，入侵者通常把让IDS系统失去同步作为一个主要目标。
TCP标准定义了一个流控制机制，用来阻止建立连接的一方发送过多的数据到连接的另外一
方；IDS追踪TCP连接的每一方的window域的值。TCP也允许数据流中发送所谓的OOB数据（
带外数据），它利用了定义的紧急指针。
对于网络中的终端系统，与之相关的每次连接的状态信息的收集处理是没有问题的，每种
TCP实现必须管理自己的TCB――TCP控制块，以便理解那一次建立的连接情况。一个网络I
DS系统也必须能够维护它所监视的每一次连接对应的TCB。
任何网络IDS系统都定义了针对所探测到的新的TCP连接而产生TCB的机制，同时也对那些不
再有关的连接进行释放和消除工作。在讨论IDS的TCP问题中，我们独立地分析三个方面，
可以看到，在IDS处理这三种情况时可能出现问题。首先是TCP creation,通过它IDS决定对
一个新探测到地TCP连接产生TCB；其次是数据流重组，IDS根据它所维护地TCB信息对数据
流进行重组，当然这一步受到上一步地关联；再者是TCB拆卸，IDS通过它撤销一个TCB。通
过分析可以看到，“插入式”攻击的实现将影响到以上提到的几个方面，插入式攻击使得
IDS系统分不清到底什么数据事实上到达了终端系统。比如在数据流重组上下文关系中，数
据插入式攻击使得一次可靠的TCP会话监视几乎成为不可能的事；所以说IDS能够针对插入
式攻击做处理是非常重要的也是很难实现的。
对于IP协议，可以有几种不同的方法可以实现往IDS系统中插入数据包，而对于TCP，问题
会复杂一些，但是同样有一些手段能够导致IDS去主动丢弃某些特定的数据包，以达到入侵
者的目的，无论如何，如果一个IDS系统不能够以它所监视的终端相同的方式来处理TCP包
的话，对待”插入式“将受到威胁。
在一次TCP交互中，如果接收方对应回应了一个信息，那么一个TCP片段就是被认可的，我
们进一步可能分析回应的是RST信息还是ACK信息。IDS能够通过对这些认可信息的辨识判断
一个片段是否是存在问题的。包含在TCP包里面的数据能够被提取出来进行重组，而不去考
虑TCP的头域的某些部分。这种不严格的处理情况使得容易做出对于“插入式“攻击手段显
得脆弱的TCP会话监视器，所以，在处理TCP数据的时候，先严格考虑TCP头域的信息可用性
显得很重要了。一个极易被忽略的头域是“CODE“，这个头域决定了TCP片段中发送的信息
的类型。这个域是一系列二进制标志位。可以看到，某些标志位的组合是不正常的，通常
在网络中导致包被丢弃掉。另外，许多TCP实现就不去接收没有ACK位被设置的TCP片段中的
数据信息。
根据TCP的标准定义，TCP实现应该接受包含在SYN类型片段中的数据信息。而对这种定义的
理解却变成了多种味道，导致一些TCP实现没有正确地处理这类信息。如果一个IDS系统没
能考虑SYN数据，那么一个随便的“逃避式”攻击就可以对它进行威胁；反之，如果这个I
DS系统能够很好地考虑SYN数据了，在针对某些没有正确实现这种定义的终端系统的时候，
它显得当不住入侵者刻画的“插入式”攻击。
另外的经常被忽略的TCP输入处理问题是校验和，全部的TCP实现被强制性地要求验证网络
校验，许多IDS系统不能做这种检查；所以通过构建有错误校验值的TCP片段就可以简单地
插入数据包到IDS系统。
就像处理IP的选项域一样，IDS能够正确的处理TCP的选项域也是十分重要的。可是不幸的
是，由于TCP的选项域某些内容被产生和利用的时间还比较短，如timestamp、windows sc
ale这些选项；另外对于何时TCP的选项能够出现在连接的上下文中，TCP有专门的规定。某
些选项在某些连接状态或许就是不可用或者是非法的。RFC1323[13]中介绍了两个TCP的选
项，这两个选项被设计来增加TCP在高速环境下的可靠性和性能。但是规定这些选项仅仅可
以出现在非SYN的分段之中。
因为某些TCP实现会拒绝包含了这些没有见过的选项的非SYN片段，所以IDS也不可盲目的都
接受这些有选项的数据包。另外，也有一些终端系统通过忽略这些选项，继续处理这些数
据包；所以，可见IDS必须清楚地知道终端系统是如何处理各种数据包的，才能以相对于特
定的终端系统正确的处理方式来进行处理而避免如插入和逃避式攻击。
RFC1323 定义了的另外一个叫做PAWS的概念，全称是“protection against wrapped seq
uence numbers”。使用PAWS的系统将会跟踪分段中的timestamps选项；根据分段中的tim
estamps响应值判断数据包是否被丢弃，一个入侵者可以很简单的产生一个人工的timesta
mp值，目的是使得支持PAWS的TCP堆栈不用作出进一步的处理就丢弃这个数据包。IDS不仅
仅需要知道是否终端系统支持PAWS，而且还需要知道终端系统对于timestamps的threshol
d的值是什么。如果没有这些信息，IDS将会错误地处理不正确地TCP片段，或者对一个片段
的合法性作出错误的猜测。如前面提到的三点，其中TCB creation（可以叫作TCB创造）是
第一点。一个IDS系统TCB创造策略决定了IDS如何开始记录一次给定的TCP连接的数据信息
，比如象序列号等。这使得IDS可以同步一次需要监视的TCP会话。然而TCB创造是个麻烦的
问题。可以用多种方法可以被利用来判断何时打开一个TCB，但是，这些方法中的每一个似
乎证明都是有问题的。TCB创造建立一次连接的初始化状态，包括了连接序列号等信息；通
过对IDS的TCB的欺骗行为，入侵者能够破坏那些与这一次被利用的连
Ⅲ 数据库总是被攻击，怎样解决
所有这些入侵都有可能绕过前台安全系统并对数据来源发起攻击。 为了对付这类威胁，新一级别的安全脱颖而出，这就是应用安全。这种安全技术将传统的网络和操作系统级入侵探测系统(IDS)概念应用于数据库(即应用)。与通常的网络或操作系统解决方案不同的是，应用IDS提供主动的、针对SQL的保护和监视，可以保护数以千计的预先包装或自行开发的Web应用。例如，应用IDS可以监视和防护关键的数据，使那些针对数据库的攻击，如缓冲区溢出和Web应用攻击等无法对数据库造成真正的损害，而且应用IDS还可以对这些事件进行审查。 应用安全与网络和主机安全之间存在很大的区别。应用是千差万别的，但攻击的目标总是相同的，也就是入侵数据库。由于应用使用SQL与数据库进行通信，因此好的应用IDS应当能够解析SQL，并且提供一种能够理解流量的内容，且又能与应用划清界线的客观保护层。 多数应用IDS都有三个组件。第一个是基于网络或主机的传感器。网络传感器连接到交换机上的一个端口上，该端口的配置决定它可以查看到数据库内的所有流量。相比之下，主机传感器直接驻留在应用上。传感器可以收集SQL交易并对其进行解析，然后决定是否应当针对该流量发出警报。如果有必要发出警告，警告会被传递给下一个组件，即控制台服务器。这台服务器存储事件信息，并且是策略配置和升级等传感器维护活动的中心点。应用IDS中的第三个组件是Web浏览器，管理员可以利用它来修改IDS设置、实时监视事件并生成报告。 以SQL注入攻击为例，攻击者会试图绕过Web服务器定义的SQL语句，目的就是要注入自己的语句。假设要输入的用户名为Bob，口令为Hardtoguess。 当看到这些输入的内容后，数据库就会找到WebUsers 行中与之匹配的内容，然后该应用会对用户进行验证。为了入侵数据库，SQL注入攻击会欺骗应用，并使之相信自己已经提交了正确的证书。例如，攻击使用的口令是‘blah’或‘A’=‘A’，因此攻击时创建的SQL语句可能会是:SELECT * FROM WebUsers WHERE Username=‘Bob’ AND Password=‘blah’ OR‘A’=‘A’。 从逻辑上来分析‘A’=‘A’永远都是TRUE，而WHERE子句也可以匹配所有的行，就这样，攻击者在根本没有正确用户名或口令的情况下也能蒙混过关，得到验证。应用服务器会接受输入的信息并且允许攻击者通过。接下来，应用服务器会通过SQL命令从数据库中请求数据。 这只是应用层攻击的一个简单例子，而且今天的许多公司都在面临这样的威胁。
Ⅳ ids攻击是什么意思（高手回答）
IDS是电脑入侵检测系统的意思
IDS攻击就是通过发送大量的ping包（你可以简单理解为疯狂发送数据包），导致有ids的电脑系统崩溃，然后进一步可以进行其他入侵，这样由于ids崩溃就无法防御了
Ⅳ 入侵检测系统如何搭建
可以这样做：给网站加一个防护产品，比如这个：WAF类的，然扣模拟入侵，可以用工具也可以手动。然后，从这个产品的后台查看防护记录，就可以看到入侵记录
Ⅵ 漫谈如何正确使用“网络入侵检测系统”求解
随着网络安全风险系数不断提高，曾经作为最主要的安全防范手段的防火墙，已经不能满足人们对网络安全的需求。 作为对防火墙及其有益的补充，IDS（入侵检测系统）能够帮助网络系统快速发现网络攻击的发生，扩展了系统管理员的安全管理能力（包括安全审计、监视、进攻识别和响应），提高了信息安全基础结构的完整性。
IDS被认为是防火墙之后的第二道安全闸门，它能在不影响网络性能的情况下对网络进行监听，从而提供对内部攻击、外部攻击和误操作的实时保护。 伴随着计算机网络技术和互联网的飞速发展，网络攻击和入侵事件与日俱增，特别是近两年，政府部门、军事机构、金融机构、企业的计算机网络频遭黑客袭击。攻击者可以从容地对那些没有安全保护的网络进行攻击和入侵，如进行拒绝服务攻击、从事非授权的访问、肆意窃取和篡改重要的数据信息、安装后门监听程序以便随时获得内部信息、传播计算机病毒、摧毁主机等等。攻击和入侵事件给这些机构和企业带来了巨大的经济损失和形象的损害，甚至直接威胁到国家的安全。 一、存在的问题 攻击者为什么能够对网络进行攻击和入侵呢？原因在于，我们的计算机网络中存在着可以为攻击者所利用的安全弱点、漏洞以及不安全的配置，主要表现在操作系统、网络服务、TCP/IP协议、应用程序（如数据库、浏览器等）、网络设备等几个方面。正是这些弱点、漏洞和不安全设置给攻击者以可乘之机。另外，由于大部分网络缺少预警防护机制，即使攻击者已经侵入到内部网络，侵入到关键的主机，并从事非法的操作，我们的网管人员也很难察觉到。这样，攻击者就有足够的时间来做他们想做的任何事情。 那么，我们如何防止和避免遭受攻击和入侵呢？首先要找出网络中存在的安全弱点、漏洞和不安全的配置；然后采用相应措施堵塞这些弱点、漏洞，对不安全的配置进行修正，最大限度地避免遭受攻击和入侵；同时，对网络活动进行实时监测，一旦监测到攻击行为或违规操作，能够及时做出反应，包括记录日志、报警甚至阻断非法连接。 IDS的出现，解决了以上的问题。设置硬件防火墙，可以提高网络的通过能力并阻挡一般性的攻击行为；而采用IDS入侵防护系统，则可以对越过防火墙的攻击行为以及来自网络内部的违规操作进行监测和响应。 二、IDS日显重要 目前，随着IDS技术的逐渐成熟，在整个安全部署中的重要作用正在被广大用户所认可和接受。为了确保网络安全，必须建立一整套的安全防护体系，进行多层次、多手段的检测和防护。IDS就是安全防护体系中重要的一环，它能够及时识别网络中发生的入侵行为并实时报警。IDS是继“防火墙”、“信息加密”等传统安全保护方法之后的新一代安全保障技术。它监视计算机系统或网络中发生的事件，并对它们进行分析，以寻找危及机密性、完整性、可用性或绕过安全机制的入侵行为。IDS就是自动执行这种监视和分析过程的安全产品。 IDS的主要优势是监听网络流量，不会影响网络的性能。虽然在理论上，IDS对用户不是必需的，但它的存在确实减少了网络的威胁。有了IDS，就像在一个大楼里安装了监视器一样，可对整个大楼进行监视，用户感觉很踏实，用IDS对用户来说是很值得的。
Ⅶ ips和防火墙有哪些区别
ips和防火墙区别一：
1、基础防火墙类，主要是可实现基本包过滤策略的防火墙，这类是有硬件处理、软件处理等，其主要功能实现是限制对IP:port的访问。基本上的实现都是默认情况下关闭所有的通过型访问，只开放允许访问的策略。
2、IDS类，此类产品基本上以旁路为主，特点是不阻断任何网络访问，主要以提供报告和事后监督为主，少量的类似产品还提供TCP阻断等功能，但少有使用。
3、IPS类，解决了IDS无法阻断的问题，基本上以在线模式为主，系统提供多个端口，以透明模式工作。在一些传统防火墙的新产品中也提供了类似功能，其特点是可以分析到数据包的内容，解决传统防火墙只能工作在4层以下的问题。和IDS一样，IPS也要像防病毒系统定义N种已知的攻击模式，并主要通过模式匹配去阻断非法访问。
4、主动安全类，和前面的产品均不同，主动安全产品的特点是协议针对性非常强，比如WAF就是专门负责HTTP协议的安全处理，DAF就是专门负责数据库Sql 查询类的安全处理。在主动安全产品中通常会处理到应用级的访问流程。对于不认识的业务访问全部隔离。
在这几类产品中，就可以分辨出什么是主动安全，什么是被动安全。从安全的最基本概念来说，首先是关闭所有的通路，然后再开放允许的访问。因此，传统防火墙可以说是主动安全的概念，因为默认情况下是关闭所有的访问，然后再通过定制策略去开放允许开放的访问。但由于其设计结构和特点，不能检测到数据包的内容级别，因此，当攻击手段到达应用层面的时候，传统的防火墙都是无能为力的。IDS就不讲了，不能阻断只能是一个事后监督机制，因此在其后出现的IPS，基本上所有的IPS系统都号称能检查到数据包的内容，但犯了一个致命的错误，就是把安全的原则反过来了，变成默认开放所有的访问，只有自己认识的访问，才进行阻断。从另外一个方面，由于在线式造成的性能问题，也不能像杀毒软件一样进行全面而细致的安全审计。因此大多数的IPS在实际运行环境中都形同虚设，通常只是当作一个防DDOS的设备存在。IPS尤其对于未知的，不再其安全库内的攻击手段，基本上都是无能为力的。
在主动安全的体系中，彻底改变了IPS 的致命安全错误。其工作在协议层上，通过对协议的彻底分析和Proxy代理工作模式，同时，结合对应用的访问流程进行分析，只通过自己认识的访问，而对于不认识的访问，则全部进行阻断。比如在页面上的一个留言板，正常人登录都是填入一些留言，提问等，但黑客则完全可能填入一段代码，如果服务器端的页面存在漏洞，则当另外一个用户查看留言板的时候，则会在用户完全不知道的情况下执行这段代码，标准叫法，这叫做跨站攻击。当这段代码被执行后，用户的本地任何信息都有可能被发送到黑客的指定地址上。如果采用防火墙或者IPS，对此类攻击根本没有任何处理办法，因为攻击的手段、代码每次都在变化，没有特征而言。而在采用主动安全的系统中，则可以严格的限制在留言板中输入的内容，由此来防范此类跨站攻击。又如常见的认证漏洞，可能造成某些页面在没有进行用户登录的情况下可以直接访问，这些内容在防火墙或者IPS系统中更加无法处理了。因为他们的请求和正常的请求完全一样，只是没有经过登录流程而已，因此不能进行防护，在主动安全体系里，可以对用户的访问进行流程限定，比如访问一些内容必须是在先通过了安全认证之后才能访问，并且必须按照一定的顺序才能执行。因此，工作在流程和代理层面的主动安全设备可以进一步实现应用系统的真正安全。
ips和防火墙区别二：
IDS技术
根据采集数据源的不同，IDS可分为主机型IDS(Host-based IDS，HIDS)和网络型IDS(Network-based IDS，NIDS)。
HIDS和NIDS都能发现对方无法检测到的一些入侵行为，可互为补充。完美的IDS产品应该将两者结合起来。目前主流IDS产品都采用HIDS和NIDS有机结合的混合型IDS架构。
传统的入侵检测技术有：
ips和防火墙区别1、模式匹配
模式匹配就是将收集到的信息与已知的网络入侵和系统误用模式数据库进行比较，来发现违背安全策略的入侵行为。一种进攻模式可以利用一个过程或一个输出来表示。这种检测方法只需收集相关的数据集合就能进行判断，能减少系统占用，并且技术已相当成熟，检测准确率和效率也相当高。但是，该技术需要不断进行升级以对付不断出现的攻击手法，并且不能检测未知攻击手段。
ips和防火墙区别2、异常检测
异常检测首先给系统对象(用户、文件、目录和设备等)创建一个统计描述，包括统计正常使用时的测量属性，如访问次数、操作失败次数和延时等。测量属性的平均值被用来与网络、系统的行为进行比较，当观察值在正常值范围之外时，IDS就会判断有入侵发生。异常检测的优点是可以检测到未知入侵和复杂的入侵，缺点是误报、漏报率高。
ips和防火墙区别3、完整性分析
完整性分析关注文件或对象是否被篡改，主要根据文件和目录的内容及属性进行判断，这种检测方法在发现被更改和被植入特洛伊木马的应用程序方面特别有效。完整性分析利用消息摘要函数的加密机制，能够识别微小变化。其优点是不管模式匹配方法和统计分析方法能否发现入侵，只要攻击导致文件或对象发生了改变，完整性分析都能够发现。完整性分析一般是以批处理方式实现，不用于实时响应。入侵检测面临的问题
1、误报和漏报
IDS系统经常发出许多假警报。误警和漏警产生的原因主要有以下几点：
● 当前IDS使用的主要检测技术仍然是模式匹配，模式库的组织简单、不及时、不完整，而且缺乏对未知攻击的检测能力;
● 随着网络规模的扩大以及异构平台和不同技术的采用，尤其是网络带宽的迅速增长，IDS的分析处理速度越来越难跟上网络流量，从而造成数据包丢失;
● 网络攻击方法越来越多，攻击技术及其技巧性日趋复杂，也加重了IDS的误报、漏报现象。
2、拒绝服务攻击
IDS是失效开放(Fail Open)的机制，当IDS遭受拒绝服务攻击时，这种失效开放的特性使得黑客可以实施攻击而不被发现。
3、插入和规避
插入攻击和规避攻击是两种逃避IDS检测的攻击形式。其中插入攻击可通过定制一些错误的数据包到数据流中，使IDS误以为是攻击。规避攻击则相反，可使攻击躲过IDS的检测到达目的主机。插入攻击的意图是使IDS频繁告警(误警)，但实际上并没有攻击，起到迷惑管理员的作用。规避攻击的意图则是真正要逃脱IDS的检测，对目标主机发起攻击。黑客经常改变攻击特征来欺骗基于模式匹配的IDS。
IDS发展趋势
在安全漏洞被发现与被攻击之间的时间差不断缩小的情况下，基于特征检测匹配技术的IDS已经力不从心。IDS出现了销售停滞，但IDS不会立刻消失，而是将IDS将成为安全信息管理(SIM)框架的组成部分。在SIM框架中，IDS的作用可以通过检测和报告技术得到加强。分析人士指出，IDS的作用正转变为调查取证和安全分析。大约5年后，一致性安全管理以及内核级的安全技术将共同结束基于特征检测的IDS技术的使命。
美国网络世界实验室联盟成员Joel Snyder认为，未来将是混合技术的天下，在网络边缘和核心层进行检测，遍布在网络上的传感设备和纠正控制台通力协作将是安全应用的主流。
一些厂商通过将IDS报警与安全漏洞信息进行关联分析，着手解决IDS的缺陷。SIM厂商在实现安全信息分析的方式上开始采取更加模块化的方法，将安全漏洞管理、异常检测、网络评估、蜜罐模块与IDS模块搭配在一起，以更好地确定和响应安全事件。IPS主动防护
尽管IDS是一种受到企业欢迎的解决方案，它还是不足以阻断当今互联网中不断发展的攻击。入侵检测系统的一个主要问题是它不会主动在攻击发生前阻断它们。同时，许多入侵检测系统基于签名，所以它们不能检测到新的攻击或老式攻击的变形，它们也不能对加密流量中的攻击进行检测。
而入侵防护系统(Intrution Protection System，IPS)则倾向于提供主动性的防护，其设计旨在预先对入侵活动和攻击性网络流量进行拦截，避免其造成任何损失，而不是简单地在恶意流量传送时或传送后才发出警报。IPS 是通过直接嵌入到网络流量中而实现这一功能的，即通过一个网络端口接收来自外部系统的流量，经过检查确认其中不包含异常活动或可疑内容后，再通过另外一个端口将它传送到内部系统中。这样一来，有问题的数据包，以及所有来自同一数据流的后续数据包，都能够在IPS设备中被清除掉。
简单地理解，IPS等于防火墙加上入侵检测系统，但并不是说IPS可以代替防火墙或入侵检测系统。防火墙是粒度比较粗的访问控制产品，它在基于TCP/IP协议的过滤方面表现出色，而且在大多数情况下，可以提供网络地址转换、服务代理、流量统计等功能。
和防火墙比较起来，IPS的功能比较单一，它只能串联在网络上，对防火墙所不能过滤的攻击进行过滤。一般来说，企业用户关注的是自己的网络能否避免被攻击，对于能检测到多少攻击并不是很热衷。但这并不是说入侵检测系统就没有用处，在一些专业的机构，或对网络安全要求比较高的地方，入侵检测系统和其他审计跟踪产品结合，可以提供针对企业信息资源的全面审计资料，这些资料对于攻击还原、入侵取证、异常事件识别、网络故障排除等等都有很重要的作用。
IPS目前主要包含以下几种类型：1、基于主机的入侵防护(HIPS)，它能够保护服务器的安全弱点不被不法分子所利用;2、基于网络的入侵防护(NIPS)，它可通过检测流经的网络流量，提供对网络系统的安全保护，一旦辨识出入侵行为，NIPS就可以去除整个网络会话，而不仅仅是复位会话;3、应用入侵防护，它把基于主机的入侵防护扩展成为位于应用服务器之前的网络设备。IPS面临的挑战
IPS 技术需要面对很多挑战，其中主要有三点。
1、单点故障。设计要求IPS必须以嵌入模式工作在网络中，而这就可能造成瓶颈问题或单点故障。如果IDS出现故障，最坏的情况也就是造成某些攻击无法被检测到，而嵌入式的IPS设备出现问题，就会严重影响网络的正常运转。如果IPS出现故障而关闭，用户就会面对一个由IPS造成的拒绝服务问题，所有客户都将无法访问企业网络提供的应用。
2、性能瓶颈。即使 IPS设备不出现故障，它仍然是一个潜在的网络瓶颈，不仅会增加滞后时间，而且会降低网络的效率，IPS必须与数千兆或者更大容量的网络流量保持同步，尤其是当加载了数量庞大的检测特征库时，设计不够完善的 IPS 嵌入设备无法支持这种响应速度。绝大多数高端 IPS产品供应商都通过使用自定义硬件(FPGA、网络处理器和ASIC芯片)来提高IPS的运行效率。
3、误报和漏报。误报率和漏报率也需要IPS认真面对。在繁忙的网络当中，如果以每秒需要处理十条警报信息来计算，IPS每小时至少需要处理36000条警报，一天就是864000条。一旦生成了警报，最基本的要求就是IPS能够对警报进行有效处理。如果入侵特征编写得不是十分完善，那么“误报”就有了可乘之机，导致合法流量也有可能被意外拦截。对于实时在线的IPS来说，一旦拦截了“攻击性”数据包，就会对来自可疑攻击者的所有数据流进行拦截。如果触发了误报警报的流量恰好是某个客户订单的一部分，其结果可想而知，这个客户整个会话就会被关闭，而且此后该客户所有重新连接到企业网络的合法访问都会被“尽职尽责”的IPS拦截。
IDS和IPS将共存
虽然IPS具有很大的优势，然而美国网络世界实验室联盟成员Rodney Thayer认为，在报告、分析等相关技术完善得足以防止虚假报警之前，IPS不可能取代IDS设备。IPS可能将取代外围防线的检测系统，而网络中的一些位置仍然需要检测功能，以加强不能提供很多事件信息的IPS。现在市场上的主流网络安全产品可以分为以下几个大类：
1、基础防火墙类，主要是可实现基本包过滤策略的防火墙，这类是有硬件处理、软件处理等，其主要功能实现是限制对IP:port的访问。基本上的实现都是默认情况下关闭所有的通过型访问，只开放允许访问的策略。
2、IDS类，此类产品基本上以旁路为主，特点是不阻断任何网络访问，主要以提供报告和事后监督为主，少量的类似产品还提供TCP阻断等功能，但少有使用。
3、IPS类，解决了IDS无法阻断的问题，基本上以在线模式为主，系统提供多个端口，以透明模式工作。在一些传统防火墙的新产品中也提供了类似功能，其特点是可以分析到数据包的内容，解决传统防火墙只能工作在4层以下的问题。和IDS一样，IPS也要像防病毒系统定义N种已知的攻击模式，并主要通过模式匹配去阻断非法访问。
4、主动安全类，和前面的产品均不同，主动安全产品的特点是协议针对性非常强，比如WAF就是专门负责HTTP协议的安全处理，DAF就是专门负责数据库Sql 查询类的安全处理。在主动安全产品中通常会处理到应用级的访问流程。对于不认识的业务访问全部隔离。
在这几类产品中，就可以分辨出什么是主动安全，什么是被动安全。从安全的最基本概念来说，首先是关闭所有的通路，然后再开放允许的访问。因此，传统防火墙可以说是主动安全的概念，因为默认情况下是关闭所有的访问，然后再通过定制策略去开放允许开放的访问。但由于其设计结构和特点，不能检测到数据包的内容级别，因此，当攻击手段到达应用层面的时候，传统的防火墙都是无能为力的。IDS就不讲了，不能阻断只能是一个事后监督机制，因此在其后出现的IPS，基本上所有的IPS系统都号称能检查到数据包的内容，但犯了一个致命的错误，就是把安全的原则反过来了，变成默认开放所有的访问，只有自己认识的访问，才进行阻断。从另外一个方面，由于在线式造成的性能问题，也不能像杀毒软件一样进行全面而细致的安全审计。因此大多数的IPS在实际运行环境中都形同虚设，通常只是当作一个防DDOS的设备存在。IPS尤其对于未知的，不再其安全库内的攻击手段，基本上都是无能为力的。
在主动安全的体系中，彻底改变了IPS 的致命安全错误。其工作在协议层上，通过对协议的彻底分析和Proxy代理工作模式，同时，结合对应用的访问流程进行分析，只通过自己认识的访问，而对于不认识的访问，则全部进行阻断。比如在页面上的一个留言板，正常人登录都是填入一些留言，提问等，但黑客则完全可能填入一段代码，如果服务器端的页面存在漏洞，则当另外一个用户查看留言板的时候，则会在用户完全不知道的情况下执行这段代码，标准叫法，这叫做跨站攻击。当这段代码被执行后，用户的本地任何信息都有可能被发送到黑客的指定地址上。如果采用防火墙或者IPS，对此类攻击根本没有任何处理办法，因为攻击的手段、代码每次都在变化，没有特征而言。而在采用主动安全的系统中，则可以严格的限制在留言板中输入的内容，由此来防范此类跨站攻击。又如常见的认证漏洞，可能造成某些页面在没有进行用户登录的情况下可以直接访问，这些内容在防火墙或者IPS系统中更加无法处理了。因为他们的请求和正常的请求完全一样，只是没有经过登录流程而已，因此不能进行防护，在主动安全体系里，可以对用户的访问进行流程限定，比如访问一些内容必须是在先通过了安全认证之后才能访问，并且必须按照一定的顺序才能执行。因此，工作在流程和代理层面的主动安全设备可以进一步实现应用系统的真正安全。
另外，在通常情况下，安全访问都采用SSL进行通道连接，传统的IPS根本无法看到用户的访问，从而造成形同虚设的安全网关
Ⅷ 防火墙/UTM、USG、IDS、ACE、NPE、EG、WG）在网络安全方面应用的联系和区别
其实我也不知道.
防火墙主要是防御/DDoS攻击、ARP欺骗攻击、TCP报文标志位不合法攻击、Large ICMP报文攻击、地址扫描攻击和端口扫描攻击等多种恶意攻击.
UTM是统一威胁管理。除了有防火墙的防御功能，可以通过购买产品服务库，来做不同的管理应用。说白了就是除了防御还能有效的控制上网者的行为。比如 对QQ 迅雷等软件做限制。
USG也是防火墙。除了USG低调的几款，其他的USG设备都可以购买服务库，实现UTM的特性。另外USG还有路由安全网关，这个主要是做路由的。但是还带防火墙功能。
IDS是入侵检测系统，主要是对依照一定的安全策略，通过软、硬件，对网络、系统的运行状况进行监视。说简单些，防火墙是用来防御的，IDS就是用来监控的，来发现各类攻击以保证网络系统资源的机密性、完整性和可用性。
ACE,NPE,EG就不懂了。
WG是锐捷出的防火墙。主要用途是保护门户网站不受篡改的。就是web防火墙。
防火墙/UTM我是基于H3C出品的来说的。
USG是基于华赛出品来说的。
IDS其实在H3C产品系列里面是 IPS。
防火墙也好，UTM也好，USG也好并不能百分之百的防护病毒的攻击。只能通过策略，最大程度的防御。
Ⅸ 如何防范服务器被攻击
不管哪种DDoS攻击，，当前的技术都不足以很好的抵御。现在流行的DDoS防御手段——例如黑洞技术和路由器过滤，限速等手段，不仅慢，消耗大，而且同时也阻断有效业务。如IDS入侵监测可以提供一些检测性能但不能缓解DDoS攻击，防火墙提供的保护也受到其技术弱点的限制。其它策略，例如大量部署服务器，冗余设备，保证足够的响应能力来提供攻击防护，代价过于高昂。
黑洞技术
黑洞技术描述了一个服务提供商将指向某一目标企业的包尽量阻截在上游的过程，将改向的包引进“黑洞”并丢弃，以保全运营商的基础网络和其它的客户业务。但是合法数据包和恶意攻击业务一起被丢弃，所以黑洞技术不能算是一种好的解决方案。被攻击者失去了所有的业务服务，攻击者因而获得胜利。
路由器
许多人运用路由器的过滤功能提供对DDoS攻击的防御，但对于现在复杂的DDoS攻击不能提供完善的防御。
路由器只能通过过滤非基本的不需要的协议来停止一些简单的DDoS攻击，例如ping攻击。这需要一个手动的反应措施，并且往往是在攻击致使服务失败之后。另外，现在的DDoS攻击使用互联网必要的有效协议，很难有效的滤除。路由器也能防止无效的或私有的IP地址空间，但DDoS攻击可以很容易的伪造成有效IP地址。
基于路由器的DDoS预防策略——在出口侧使用uRPF来停止IP地址欺骗攻击——这同样不能有效防御现在的DDoS攻击，因为uRPF的基本原理是如果IP地址不属于应该来自的子网网络阻断出口业务。然而，DDoS攻击能很容易伪造来自同一子网的IP地址，致使这种解决法案无效。
防火墙
首先防火墙的位置处于数据路径下游远端，不能为从提供商到企业边缘路由器的访问链路提供足够的保护，从而将那些易受攻击的组件留给了DDoS攻击。此外，因为防火墙总是串联的而成为潜在性能瓶颈，因为可以通过消耗它们的会话处理能力来对它们自身进行DDoS攻击。
其次是反常事件检测缺乏的限制，防火墙首要任务是要控制私有网络的访问。一种实现的方法是通过追踪从内侧向外侧服务发起的会话，然后只接收“不干净”一侧期望源头发来的特定响应。然而，这对于一些开放给公众来接收请求的服务是不起作用的，比如Web、DNS和其它服务，因为黑客可以使用“被认可的”协议（如HTTP）。
第三种限制，虽然防火墙能检测反常行为，但几乎没有反欺骗能力——其结构仍然是攻击者达到其目的。当一个DDoS攻击被检测到，防火墙能停止与攻击相联系的某一特定数据流，但它们无法逐个包检测，将好的或合法业务从恶意业务中分出，使得它们在事实上对IP地址欺骗攻击无效。
IDS入侵监测
IDS解决方案将不得不提供领先的行为或基于反常事务的算法来检测现在的DDoS攻击。但是一些基于反常事务的性能要求有专家进行手动的调整，而且经常误报，并且不能识别特定的攻击流。同时IDS本身也很容易成为DDoS攻击的牺牲者。
作为DDoS防御平台的IDS最大的缺点是它只能检测到攻击，但对于缓和攻击的影响却毫无作为。IDS解决方案也许能托付给路由器和防火墙的过滤器，但正如前面叙述的，这对于缓解DDoS攻击效率很低，即便是用类似于静态过滤串联部署的IDS也做不到。
DDoS攻击的手动响应
作为DDoS防御一部份的手动处理太微小并且太缓慢。受害者对DDoS攻击的典型第一反应是询问最近的上游连接提供者——ISP、宿主提供商或骨干网承载商——尝试识别该消息来源。对于地址欺骗的情况，尝试识别消息来源是一个长期和冗长的过程，需要许多提供商合作和追踪的过程。即使来源可被识别，但阻断它也意味同时阻断所有业务——好的和坏的。