华为 NIP6000 下一代入侵防御系统

智能手机、iPad等终端大规模普及，微信、微博、Facebook、Twitter 成为最常见的网络应用，企业利用这些新的技术，大幅度提高员工效率及运营能力。同时，云计算、移动计算等新技术蓬勃发展，已经应用于企业运营的方方面面。企业网络边界变得模糊，这些技术增加了组织遭受攻击的风险，通过越来越多的安全事件，可以清楚的看到，信息安全的主要威胁发生了变化，面对新一代威胁，传统技术已很难见效。

新一代威胁最重要的特征之一是基于零日漏洞的攻击，传统的防护技术需要一个较长的时间来生成可用的签名，而在这段时间内，攻击者可能已经对目标资产造成了重大危害。同时新一代威胁具有明确的目标性，攻击者长期有目的性地针对环境变化采用定制化的攻击手段，悄然之中达到了攻击目的。不断出现的攻击事件，清楚的展现了一个事实：传统技术不能完全抵御新一代威胁。当前网络环境下IT 设施的保护，需要一套全新的方法，即针对新一代威胁的解决方案。

NIP6000系列产品在传统IPS产品的基础上进行了扩展：增加对所保护的网络环境感知能力、深度应用感知能力、内容感知能力，以及对未知威胁的防御能力，实现了更精准的检测能力，和更优化的管理体验，更好的实现对新一代威胁的检测与防护，保障客户应用和业务安全，实现对网络基础设施、服务器、客户端以及网络带宽性能的全面防护。

产品特性

全新软硬件架构，产品性能业界领先

软件匹配引擎在处理正则表达式规则的时候，性能都比较低，极大的制约了设备检测性能，华为NGIPS引擎采用了全球领先的处理器提供商Cavium的MIPS64架构处理器，可以为IPS提供高性能的硬件模式匹配引擎，同时采用全新架构的智能感知引擎，在大流量深度检测的情况下仍保持高达15Gpbs的检测性能。

NIP6000系列下一代入侵防御采用全新的软硬结合一体化架构，对有规律、大批量、高运算能力要求的报文处理，采用专用多核平台由专用的协处理器硬件处理。对小规模的运算，仍然用软件处理。这样的处理方式让整体性能更高：

• 采用异步匹配技术，模式匹配中最消耗系统资源尤其是CPU资源的核心处理完全交给硬件的匹配引擎来处理，在匹配的同时不影响CPU处理其他业务，并行的处理大大提高报文处理效率和减低时延；

• 规则的增加不影响匹配的性能，硬件引擎能满足上万条威胁签名的同时加载，而传统的IPS引擎在加载大量的签名时匹配效率严重下降，造成设备性能降低，而用硬件匹配引擎则能完美解决这个问题；

• 提供ZIP等压缩文件的硬件解压能力， IPS引擎要对压缩的网页或者文件进行检测，就要有强大的解压缩引擎，而Cavium同样提供硬件解压缩能力，可以保证对ZIP等压缩包中的文件进行高性能的IPS检测。

环境动态感知，实现策略调整智能化及日志分级管理

传统的IPS设备仅基于攻击报文的特征进行检测，却忽略了真实网络环境中受保护资产的实际情况，容易产生误报，导致管理员需要浪费大量的精力处理误报事件。NIP6000通过对环境动态的感知，实现策略智能调整和日志分级管理功能解决此问题：

• NIP6000感知受保护网络中的资产信息作为策略调整和风险评估的依据。支持手动录入、主动感知和第三方扫描软件导入资产信息，包括资产类型、操作系统、资产价值和开启的服务等；

• 根据感知的资产信息，NIP6000进行策略自动调整，基于感知到的资产信息选取合适的签名自动生成入侵防御策略，有针对性地防护，当环境有变化时，NIP6000能第一时间感知相关的变化情况，及时自动调整或提醒管理员进行相关的策略调整以应对新的风险；

• 当NIP6000检测到攻击时，从签名中提取本次攻击针对的操作系统、服务等信息。然后将提取的信息与设备中存储的实际资产信息进行比对，同时根据资产的价值确定攻击事件的风险等级，并对这些告警日志进行分级管理，通过分级管理，可以帮助管理员过滤误报攻击事件、忽略非关键事件，重点聚焦高风险攻击事件；

• 通过对环境的感知，获取所保护网络的静态安全风险，同时对攻击的实时检测，获取所保护网络的动态安全风险，通过动态和静态的风险展示，全面深刻的展示所保护网络的风险。

支持沙箱联动检测和信誉体系，APT威胁无所遁形

基于签名的威胁检测一般是针对已知漏洞的威胁检测，但是对于零日攻击和APT攻击的检测比较弱。检测APT攻击的最有效手段就是沙箱技术，通过沙箱技术构造一个隔离的威胁检测环境，然后将网络流量送入沙箱进行隔离分析并最终判断是否存在威胁：

• NIP6000从网络流量中识别并提取需要进行APT检测的文件类型，将文件送入沙箱进行威胁分析；

• 沙箱对文件进行解析，实时检测已知或未知威胁，然后沙箱将威胁检测结果反馈给NIP6000，并通过日志报表等形式展示威胁检测结果；

• 将威胁的具体攻击行为提交至云安全中心。云安全中心根据沙箱提交的威胁数据生成信誉信息和签名库并推送至NIP6000，从而提升NIP6000的快速威胁防御能力。

多重检测，全面防护

越来越多的信息资产连接到了互联网上，网络攻击和信息窃取形成巨大的产业链，这对下一代入侵防御产品的防护能力提出了更高要求。NIP6000具备全面的深度防护功能：

• 入侵防护（IPS）：超过5000种漏洞特征的攻击检测和防御。支持Web攻击识别和防护，如跨站脚本攻击、SQL注入攻击等；

• 防病毒（AV）：高性能病毒引擎，可防护500万种以上的病毒和木马，病毒特征库每日更新；

• 服务器恶意外联检测：可以对重要服务器的外联进行检测，包括端口盗用检测和非法外联行为的检测，保护重要信息资产安全；

• SSL解密：通过代理方式，对SSL加密流量进行应用层安全防护，如IPS、AV、URL过滤等；

• Anti-DDoS： 可以识别和防范SYN flood、UDP flood等100+种网络层及应用层DDoS攻击

组网应用

互联网边界防护

此种场景NIP6000一般部署于出口防火墙或路由器后端、透明接入网络。如果需要保护多条链路，可使用NIP6000的多个接口对同时接入。

• 入侵防御：防御来自互联网的蠕虫活动、针对浏览器和插件漏洞的攻击，使得企业办公网络健康运行。拦截基于漏洞攻击传播的木马或间谍程序活动，保护办公电脑的隐私、身份等关键数据信息。

• 反病毒：对内网用户从Internet下载的文件进行病毒扫描，防止内网PC感染病毒。

• URL过滤：对内网用户访问的网站进行控制，防止用户随意访问网站而影响工作效率或者导致网络威胁。

• 应用控制：对P2P、视频网站、即时通讯软件等应用流量进行合理控制，保证企业主要业务的顺畅运行。

IDS/服务器前端防护

此种场景一般采用双机部署避免单点故障。部署位置有如下两种：直路部署于服务器前端，采用透明方式接入；或者旁挂于交换机或路由器，外网和服务器之间的流量、服务器区之间的流量都先引流到NIP6000处理后再回注到主链路。

• 入侵防御：防御对Web、Mail、DNS等服务器的蠕虫活动、针对服务和平台的漏洞攻击。防御恶意软件造成服务器数据的损坏、篡改或失窃。防御针对Web应用的SQL注入攻击、各种扫描、猜测和窥探攻击

• 服务器恶意外联检测：防御服务器的恶意外联，防止价值信息外传

• 反病毒：对用户向服务器上传的文件进行病毒扫描，防止服务器感染病毒。

• DDoS攻击防范：防御针对服务器的DoS/DDoS攻击造成服务器不可用。

网络边界防护

对于大中型企业，内网往往被划分为安全等级不同的多个区域，区域间有风险隔离、安全管控的需求。如部门边界、总部和分支机构之间等，实现了网络区域的安全隔离

• 入侵防御：实现网络安全逻辑隔离，检测、防止外部网络对本网的攻击探测等恶意行为，以及外部网络的蠕虫、木马向本网蔓延；

• 违规监控：监控内部网络用户向外部网络的违规行为；

旁路监控

旁路部署在网络中监控网络安全状况也是IPS产品的一种应用场景，此种场景下IPS产品主要用来记录各类攻击事件和网络应用流量情况，进而进行网络安全事件审计和用户行为分析。在这种部署方式下一般不进行防御响应。旁挂在交换机上，交换机将需要检测的流量镜像到NIP6000进行分析和检测。

• 入侵检测：检测外网针对内网的攻击、内网员工发起的攻击，通过日志和报表呈现攻击事件供企业管理员评估网络安全状况。同时提供攻击事件风险评估功能降低管理员评估难度。

• 应用识别：识别并统计P2P、视频网站、即时通讯软件等应用流量，通过报表为企业管理员直观呈现企业的应用使用情况。

• 防火墙联动：IDS设备防御能力弱，检测到攻击后可以通知防火墙阻断攻击流量

• 满足对政策合规性要求，如等保、涉密网等政府强制标准的遵从等

关键特性

环境感知，策略调优，日志智能分级

• 全新软硬件架构，产品性能业界领先；

• 识别网络环境，构建全网资产静态安全和流量的动态安全；

• 安全策略自动调整，上线零配置，TCO降低30%；

• 日志分级管理，识别真正有效的安全风险。

产品规格

整机规格：

延伸阅读：华为 AnyOffice 下一代入侵防御系统

延伸阅读：华为USG6500下一代防火墙

延伸阅读：华为产品解决方案

下载：华为NIP6000 资料

如需了解更多，请联系我们