主题：【原创】IT八股：闲聊信息安全 (之一.基本概念) -- 昔杨今雨

闲言少叙, 书接上文. 这第三个火坑历史悠久, 杀伤无数, 更加威名赫赫, 那就是著名的入侵检测(Intrusion Detection System). 以大众认知的普及程度来说, 信息安全产品排名防火墙, 防病毒, 不是第一就是第二, 接下来就是IDS和VPN了. IDS通常分两种: 网络入侵检测和主机入侵检测. 网络入侵检测一般并联在网络中, 监听并抓取网络中的数据包, 通过类似防病毒的指纹对照等方式, 检测是否存在对一些已知系统漏洞的已知攻击行为. 而主机入侵检测, 则是通过监视与分析主机的审计记录来检测入侵行为. 说实话, 主机入侵检测我接触得不多, 而且我觉得这玩意儿的目标效果完全可以通过使用类似Tripwire这样的系统完整性工具来实现, Tripwire这样的东东不仅可以发现入侵, 还可以阻止入侵的后果发生, 相比而言, 主机入侵检测是把力气使错了方向.

相比防病毒, IDS的技术发展可以说是相当的缓慢, 目前似乎还是停留在白名单, 黑名单的层次上, 这也难怪, 作为外挂式的检测手段, 想要实现类似防病毒里面的沙盒(Sandbox), 以目前的软硬件架构, 基本上是不可能的. 检测技术停滞不前, 而攻击手段日新月异, IDS成为火坑的种子就这么深深地埋下了, 一天天茁壮成长.

IDS我也给它四个字的评语, 叫做\"力不从心\". 这里面有两层意思, 既指厂商力不从心, 也指用户力不从心.

对厂商来说, IDS要解决的重点技术问题, 在于\"误判\"和\"漏判\". 指纹对照本身就使这两者不可避免. 网络数据千变万化, 仅仅从指纹上来判别, 合法数据被判断成非法数据的可能性非常大, 例如我们认为出现\"打铁手\"是恶意攻击领导, 那么\"天天打铁手臂吃不消\"这样的句子也会被判断成恶意数据. 而漏判更加容易理解, 一方面, 对于新的攻击手段, 没有指纹可以比照; 另一方面, 改头换面, 例如咱们的口号改为\"打Tie手\", 指纹比照对于攻击手段的变种来说也是无能为力的. 虽然IDS的判别技术并非如此简单, 但是缺乏突破性的技术使得厂商只能在螺蛳壳里做道场, 茶杯里面玩风暴, 搞来搞去也搞不出新名堂. 怎么办? 技术不够, 维护来凑, 什么东西需要靠不断的维护在凑合的时候, 这东西基本上也已经是火坑了.

对用户来说, 同样要解决\"误判\"和\"漏判\"的问题. 回顾<基本概念>里面提到的PDR模型, IDS基本属于D(监测), 这个D(t)是一个关键的指标, 要想提高系统安全性, 我们需要把D(t)尽量减小. 在实际应用中, IDS检测到入侵行为后, 通过手机, E-mail, IM等及时报警是最常见的方法, 可是误判的后果是, 管理员的手机短信转眼就满了, 千万不要小看误判的威力, 我曾经在某银行信息中心网络里面, 看着IDS监控屏上报警信息几秒钟跳一个(里面误判其实不多, 大多是一些攻击的初期准备, 例如端口扫描之类的), 想着管理员的小手机如何承受这样饱和轰炸. 可是比误判更可怕的是漏判, 千里之堤, 溃于蚁穴, 1%的漏判率在信息安全里面也是不可忍受的, 而降低漏判率必然会带来误判率的提高 (G.C.Firewall的管理者肯定了解其中的关系, 不过他们不在乎). 悟空还可以在八卦炉里找个地方猫着, 用户在这两者之间两头受气, 连个躲的地方都没有.

因此最后的结果, 往往是没人愿意去管IDS, 去机房看, 上面灰最多的往往就是IDS设备, 有的甚至机器都不开. 作为厂商, 其实我很愿意生产这样的产品, 多好啊, 又能收钱, 用户还不用, 无故障免维护, 哪里去找比这更爽的事情? 用户即使一开始会较真, 最后会明白这是给双方挖坑.

IDS的坑边树着信息安全里面的两个重要的原则, 一个是动态的原则, 信息安全不存在一成不变, 无论从用户还是从厂商的角度, 技术的持续更新必须要跟上信息安全发展的脚步; 另一个就是所谓的\"信息安全, 三分技术, 七分管理\", 在进行信息安全规划的时候, 一定要充分考虑到管理是否可以跟上的问题, 例如, 如果您还没有打算配备专职的IDS报警分析员, 那就拜托不要琢磨上IDS这样的信息安全产品.

多说两句, 我对IDS的后续的技术发展有两个思路: 一个是是否可以利用新的CPU虚拟技术来模拟Sandbox, 达到通过行为监控来实现动态检测的效果. 另一个是干脆把IDS的方向改变为专门监视内网中是否存在木马(Trojan), 把重点放在监控由内到外的数据流上面去.

----------------------华丽的分隔线(重装上阵)----------------------

这第四个火坑有两个候选人, 一个是所谓主动式的入侵防御(Intrusion Prevention System), 另一个是单点登录(Single Sign On), 最后SSO落选了, 是因为SSO虽然是火坑, 但是这个坑主要集中在工作量上, 从原理和可行性方面来看, 也就算半个火坑.

IPS概念出现得很早, 根据Wikipedia, 1990年就已经有了商用产品, 但是目前似乎又时髦起来, 原先做IDS的厂商纷纷提出自己的解决方案和产品, 包括Snort.(难道是因为被Checkpoint收购后, 也要走商业化的道路?) 从<基本概念>里面的例子, 有人想到, 既然警察叔叔来得太慢是个大问题, 干吗不直接给看门老头一把AK47, 发现有毛贼就直接突突了. 这就是IPS画的饼.

开枪从来都不是问题, 问题是向谁开枪?

如果给IPS四个字的评语, 那就是\"空中楼阁\". 可不是吗, 连误判和漏判的问题都没有解决, 你打算向谁开枪啊? IPS作为火坑来说是一整个, 对于本文来说, 和IDS难兄难弟. 大部分内容上面已经论述过了, 就不再赘述了.

----------------------华丽的分隔线(成双成对)----------------------

信息安全行业其实是一个寂寞的行业, 因为信息安全的投资一般不会小, 而且不会产生直接的效益, 干的是幕后英雄的活, 还带来很多管理上的要求. 但是信息安全产业是个不甘寂寞的产业, 每隔一段时间就会炒作出一些概念, PMI, 网闸(这玩意儿我都懒得去说它), IPS, 每个都说得天花乱坠, 俨然是潮流所向, 大势所趋. 然而细细分析, 都存在原理上或者实现上难以逾越的障碍, 其实都在给自己或者用户挖坑.

信息安全行业又是一个朝阳行业, 因为IT技术越是发展, 以数字和网络为载体的资产价值越高, 信息安全也就越重要.

预告: IT八股：闲聊信息安全 (之三.威胁来自何方)

• 【原创】IT八股：闲聊信息安全 (之四.产品点评(上))
• 【原创】IT八股：闲聊信息安全 (之四.产品点评(下))