浅析IDS与IPS:检测与防护的共生与发展( 三 )


对于国内用户担心的另一个问题----由于IPS会对攻击采取行动,因此误报带来的灾难显然要比IDS产品大 。采访人员在采访中得知,随着技术的进一步发展,这两年来主流IPS厂家的产品在精度控制上有了长足的进步 。目前避免误报漏报主要参考两方面技术:一种是并行处理检测;另一种是协议重组 。
前者是指所有流经IPS的数据包,都要被送入FPGA单元中进行过滤器(逻辑门)匹配 。由于常用的过滤器超过2000个,为了提高效率,FPGA采用并行处理的方式,实现在一个时钟周期内,完成对数据包实现所有过滤器遍历 。无疑,这样可以极大地提升IPS的处理速度,但必须实现FPGA的并行化 。
而后者则将所有流经IPS的数据包,首先经过硬件级别的预处理,这个预处理过程主要完成对数据包的重组,以便IPS能够看清楚具体的应用协议 。在此基础上,IPS根据不同应用协议的特征与攻击方式,将重组后的包进行筛选,将一些可疑数据包送入专门的特征库进行比对 。由于经过了筛选,可疑数据量大大减少,因此可以大幅度减少IPS处理的工作量,同时降低误报率,当然这个预处理的过程将会是重中之重 。
但无论采用哪种技术,目的都是为了确保提升准确性,最大程度的保护用户的网络系统 。而总结对于IPS与IDS的今后发展,套用时下流行的一句话:最大程度的保持现状,将来不排除统一的可能性 。

推荐阅读