应用层威胁和深度安全保护白皮书Word文档格式.docx
- 文档编号:15899200
- 上传时间:2022-11-16
- 格式:DOCX
- 页数:13
- 大小:624.74KB
应用层威胁和深度安全保护白皮书Word文档格式.docx
《应用层威胁和深度安全保护白皮书Word文档格式.docx》由会员分享,可在线阅读,更多相关《应用层威胁和深度安全保护白皮书Word文档格式.docx(13页珍藏版)》请在冰豆网上搜索。
面对这些问题,传统解决方案最大的问题是,防火墙工作在TCP/IP3~4层上,根本就“看”不到这些威胁的存在,而IDS作为一个旁路设备,对这些威胁又“看而不阻”,因此我们需要一个全新的安全解决方案。
在解决问题之前,我们需要先了解一下应用层威胁的形式和原理。
所谓应用层威胁,主要包括下面几种形式:
图1、应用层威胁
因为篇幅的限制,在本文中我们重点介绍一下蠕虫、间谍软件、带宽滥用这三个典型的应用层威胁。
1.1.蠕虫
蠕虫的定义是指“通过计算机网络进行自我复制的恶意程序,泛滥时可以导致网络阻塞和瘫痪”。
从本质上讲,蠕虫和病毒的最大的区别在于蠕虫是通过网络进行主动传播的,而病毒需要人的手工干预(如各种外部存储介质的读写)。
但是时至今日,蠕虫往往和病毒、木马和DDoS等各种威胁结合起来,形成混合型蠕虫。
蠕虫有多种形式,包括系统漏洞型蠕虫、群发邮件型蠕虫、共享型蠕虫、寄生型蠕虫和混和型蠕虫。
其中最常见,变种最多的蠕虫是群发邮件型蠕虫,它是通过EMAIL进行传播的,著名的例子包括“求职信”、“网络天空NetSky”、“雏鹰BBeagle”等,2005年11月爆发的“Sober”蠕虫,也是一个非常典型的群发邮件型蠕虫。
群发邮件型蠕虫的防治主要从邮件病毒过滤和防垃圾邮件上入手。
下面我们重点谈谈“系统漏洞型蠕虫”,系统漏洞型蠕虫利用客户机或者服务器的操作系统、应用软件的漏洞进行传播,成为目前最具有危险性的蠕虫。
以冲击波蠕虫为例,它就是利用MicrosoftRPCDCOM缓冲区溢出漏洞进行传播的。
系统漏洞型蠕虫传播快,范围广、危害大。
例如2001年CodeRed的爆发给全球带来了20亿美金的损失,而SQLSlammer只在10分钟内就攻破了全球!
下面是近5年来针对微软操作系统漏洞的5个最著名的蠕虫:
☑红色代码(CodeRed):
MS01-033,微软索引服务器缓冲区溢出漏洞,利用TCP80传播
☑SQLSLAMMER:
MS02-039,SQL服务器漏洞,利用UDP1434进行传播
☑冲击波(Blaster)
MS03-026,RPCDCOM服务漏洞,利用TCP135139等等进行传播
☑震荡波(Sasser):
MS04-011,LSASS本地安全认证子系统服务漏洞,利用TCP445等端口进行传播
☑Zobot
MS05-39,windowsPnP服务漏洞,利用TCP445端口进行传播
上述5个蠕虫都是臭名昭著的蠕虫,其中Zobot到2005年12月还在网络上肆虐着它的余威。
由于系统漏洞型蠕虫都利用了软件系统在设计上的缺陷,并且他们的传播都利用现有的业务端口,因此传统的防火墙对其几乎是无能为力。
实际上,系统漏洞是滋生蠕虫的温床,而网络使得他们可以恣意妄为。
图2、蠕虫的组成
1.2.间谍软件
网络安全专家对于什么是“间谍软件”一直在讨论。
根据微软的定义,“间谍软件是一种泛指执行特定行为,如播放广告、搜集个人信息、或更改你计算机配置的软件,这些行为通常未经你同意”。
严格说来,间谍软件是一种协助搜集(追踪、记录与回传)个人或组织信息的程序,通常是在不提示的情况下进行。
广告软件和间谍软件很像,它是一种在用户上网时透过弹出式窗口展示广告的程序。
这两种软件手法相当类似,因而通常统称为间谍软件。
而有些间谍软件就隐藏在广告软件内,透过弹出式广告窗口入侵到计算机中,使得两者更难以清楚划分。
间谍软件主要通过ActiveX控件下载安装、IE浏览器漏洞和免费软件绑定安装进入用户的计算机中,间谍软件的危害主要体现如下:
●间谍软件对企业已形成隐私与安全上的重大威胁。
这些入侵性应用程序搜集包括信用卡号码、密码、银行账户信息、健康保险记录、电子邮件和用户存取数据等敏感和机密的公司信息后,将之传给不知名的网站而危及公司形象与资产。
●而由间谍软件所产生的大批流量也可能消耗公司网络带宽,导致关键应用系统出现拥塞、延迟以及丢包的情况。
●许多间谍软件写得很差,在进入企业网络后可能产生新的漏洞,或是造成工作站使用时出现性能问题,如屏幕冻结、不定期变慢与通用保护错误等等。
由于间谍软件主要通过80端口进入计算机,也通过80端口向外发起连接,因此传统的防火墙无法有效抵御,必须通过应用层内容的识别进行采取相关措施。
1.3.带宽滥用
“带宽滥用”是指对于企业网络来说,非业务数据流(如P2P文件传输与即时通讯等)消耗了大量带宽,轻则影响企业业务无法正常运作,重则致使企业IT系统瘫痪。
所谓P2P,全称叫做“Peer-to-Peer”,即对等互联网络技术,也叫点对点网络技术,它让用户可以直接连接到其它用户的计算机,进行文件共享与交换。
图3、业务模型从C/S向P2P转移
P2P改变了传统的C/S架构模式,使得互联网资源共享的带宽不再受制于服务器的网卡的速度,而取决于参与共享的计算机的总的网卡带宽。
例如,英国网络流量统计公司CacheLogic表示,去年全球有超过一半的文件交换是通过BT进行的,BT占了互联网总流量的35%,使得浏览网页这些主流应用所占的流量相形见绌。
P2P的典型应用包括两类:
●文件共享型P2P应用,包括BT、eMule、eDonkey等等
●IM即时通讯软件,如QQ、MSN、Skypy等等
带宽滥用给网络带来了新的威胁和问题,甚至影响到企业IT系统的正常运作,它使用户的网络不断扩容但是还是不能满足“P2P对带宽的渴望”,大量的带宽浪费在与工作无关流量上,造成了投资的浪费和效率的降低。
另一方面,P2P使得文件共享和发送更加容易,带来了潜在的信息安全风险。
下面我们以BT为例,来谈谈P2P协议的工作过程。
下面先定义几个BT里的术语:
●种子:
所谓种子,是指一个后缀为“.torrent”的文件,里面包含关于一个文件的元信息:
如长度、哈希信息和Tracker的URL地址。
●Tracker:
顾名思义,Tracker就是跟踪者,它帮助一个文件的下载者找到相对应的对端(peer)。
典型的BT下载过程如下:
1)下载人如果想下载一个文件,首先要找到和该文件想对应的种子文件,即后缀为“.torrent”文件。
2)有了种子文件,下载人就可以去连接Tracker以下载文件。
3)Tracker可以提供给下载人一个当前正在下载该文件的对端(peer)的列表。
4)下载人去连接不同对端(peer)来下载不同的文件片断,同时它也为其他对端提供上载服务
详细协议信息,请参考http:
//bitconjurer.org/BitTorrent/protocol.html
了解了协议信息,我们就可以再考虑如何对P2P进行限流。
一般来讲,有下面两种方法。
●限制端口,这是最容易想到的办法,也是大多数传统网络设备可以做到的。
在BT实现中,提供了一个端口范围(6881~6889),可以通过这个范围的所有端口来限流,一些运营商曾采用这种方法来封杀BT。
这种方法在前期一定程度上是可用的;
因为:
BT的官方网站提供了一个默认的监听端口范围(6881~6889)。
但是,这种方法比较片面,因为通过一定的技术手段可以改变这个端口范围(网上有);
另外,BT的客户端较多,它们所采用的端口范围及实现方式各不相同(见下表)。
所以,采用这种方来对BT进行限流的效果不是很好。
BT客户端
端口范围
贪婪ABC
可以手工设置
BitComet
没有公开
BitTorrentPlus
BitTorrent
6881~6889
比特精灵BitSpirit
16881
●对协议进行深度分析
另外一个对BT限流的方法是对所有的IP包都进行深度检查,如果IP包的数据区包含BT对等协议的特征“BitTorrentprotocol”(BT协议规定),那么可以标识这是一个BT流,标识了以后,就可以采取相应的措施(CAR)对它进行限流。
下面是客户端为“贪婪ABC”时的抓包分析示例。
图4、贪婪ABC端对端建立连接的过程
因此对协议进行深度分析,是有效的对P2P进行限流的必要技术基础,而传统的网络则由于工作在TCP3层和4层之间,对此往往无能为力。
综上所述,现代网络面临越来越多的应用层安全威胁,传统的安全技术与设备已经无法独立应对,网络需要新的技术来解决这些日益猖獗的病毒、攻击、滥用引发的问题。
2.深度安全保护
面对日益猖獗的应用层威胁,入侵防御系统(IPS,IntrusionPreventionSystem)应运而生,并且以其攻击检测与实时阻断能力成为网络安全领域的明日之星。
H3C深度安全保护解决方案旗舰产品-TippingPoint系列IPS,具备对2层到7层流量的深度分析与检测能力,同时配合以精心研究的攻击特征知识库和用户规则,即可以有效检测并实时阻断隐藏在海量网络流量中的病毒、攻击与滥用行为,也可以对分布在网络中的各种流量进行有效管理,从而达到对网络上应用的保护、网络基础设施的保护和网络性能的保护。
2.1.主动式入侵防御
TippingPointIPS可以被“in-line”地部署到网络当中去,对所有流经的流量进行深度分析与检测,从而具备了实时阻断攻击的能力,同时对正常流量不产生任何影响。
基于其高速和可扩展的硬件平台,TippingPointIPS不断优化检测性能,使其能够达到与交换机同等级别的高吞吐量和低延时,同时可以对所有主要网络应用进行分析,精确鉴别和阻断攻击。
TippingPointIPS的出现使得应用层威胁问题迎刃而解。
2.2.威胁抑制引擎(TSE)
图5、威胁抑制引擎TSE
TippingPoint基于ASIC、FPGA和NP技术开发的威胁抑制引擎(TSE,ThreatSuppressionEngine)是高性能和精确检测的基础。
TSE的核心架构由以下部件有机融合而成:
●定制的ASIC
●FPGA(现场可编程门阵列)
●20G高带宽背板
●高性能网络处理器
该核心架构提供的大规模并行处理机制,使得TippingPointIPS对一个报文从2层到7层所有信息的检测可以在215微秒内完成,并且保证处理时间与检测特征数量无线性关系。
采用流水线与大规模并行处理融合技术的TSE可以对一个报文同时进行几千种检测,从而将整体的处理性能提高到空前水平。
在具备高速检测功能的同时,TSE还提供增值的流量分类、流量管理和流量整形功能。
TSE可以自动统计和计算正常状况下网络内各种应用流量的分布,并且基于该统计形成流量框架模型;
当DoS/DDoS攻击发生,或者短时间内大规模爆发的病毒导致网络内流量发生异常时,TSE将根据已经建立的流量框架模型限制或者丢弃异常流量,保证关键业务的可达性和通畅性。
此外,为防止大量的P2P、IM流量侵占带宽,TSE
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 应用 威胁 深度 安全 保护 白皮书