浅谈大型网络入侵检测建设（一）

一、前言

伊朗2010年被报出核工厂遭受“超级工厂”（Stuxnet）病毒攻击，蠕虫通过多个漏洞潜伏在工控系统近两年未被发现。相信诸如上述案例中的伊朗核工厂，大多网络中都会部署有各种形形色色的安全产品，杀毒软件，waf或IDS。但为什么那么大范围的攻击却依然久未被察觉？大型网络怎样才能更有效的做好入侵检测呢？本文讲介绍一些建设经验。

二、监测体系

2.1、架构选择

常规的安全产品可能是一个杀毒软件，一个IDS，一个WAF，这能解决一个单点安全问题，但如果没有全局的信息汇聚与分析，很难实现对全局态势的感知。

云计算与云安全是常被提起的概念，在大型网络中，因应用服务器对于性能消耗较为敏感，很多复杂的安全分析逻辑不易被业务部门接受，部署于主机和网络上的设备只被限制在实现提取数据功能。分析与计算在后端也就是所谓的云端来实现。

同时，采集与计算的分离带来了诸多优点：

1.?假设（几乎是必然出现）单点系统被黑客攻陷，安全策略不易被逆向与窃取，避免因策略失窃带来的，对手针对性研究绕过手法；

2.?可快速更新检测策略，减少对各子节点和探测设备的变更，避免干扰业务系统的稳定；

3.?原始数据的短时存储，便于对事件演变过程的重现，方便追溯审计，以及预研新检测逻辑的验证。

2.2、功能模块

大型网络的安全监测产品通常有各类SOC系统，分布式安全产品，以及云安全产品。产品形式千变万化，但功能模块这里将其简化如下归纳：

2.3、态势感知能力

通常SOC系统会收集各种日志，各种NIDS\HIDS 都有数据采集功能。尽可能多的采集数据对于入侵分析是很有帮助的。