防入侵，防漏洞组件作用有多大？

显示全部楼层 · 发表于 2012-6-14 16:43:21

IDS/IPS组件或者防火墙类似的组件作用到底多大？一个不安装IDS/IPS或者防火墙的的full patch的电脑和一个几乎不打补丁的但是装了IDS/IPS的电脑比较，哪个更容易遭受挂马袭击？

IDS/IPS对0Day有多大防护能力？

显示全部楼层 · 发表于 2012-6-14 17:42:45

对于已知漏洞，应该是安装了full patch的电脑防挂马好点；oday应该是IDS/IPS组件更给力吧

显示全部楼层 · 发表于 2012-6-14 19:14:24

切外{过}{滤}挂木马都不需要漏洞

切

显示全部楼层 · 发表于 2012-6-14 19:42:17

李白vs苏轼发表于 2012-6-14 19:14
切外{过}{滤}挂木马都不需要漏洞

切

不要歪楼

显示全部楼层 · 发表于 2012-6-14 19:43:51

ADSLgg 发表于 2012-6-14 17:42
对于已知漏洞，应该是安装了full patch的电脑防挂马好点；oday应该是IDS/IPS组件更给力吧

IPS/IDS如何防0Day。这是一个值得研究的问题。

显示全部楼层 · 发表于 2012-6-14 19:54:23

jefffire 发表于 2012-6-14 19:43
IPS/IDS如何防0Day。这是一个值得研究的问题。

疫苗or预防性的东西一直是安全公司追求的目标

最大的技术差距就在这里了

不同安全公司理念不同吧，个人感觉铁壳在这方面比较牛逼～

显示全部楼层 · 发表于 2012-6-14 20:00:08

jefffire 发表于 2012-6-14 19:43
IPS/IDS如何防0Day。这是一个值得研究的问题。

有一点是可以肯定的，防0day的产品/技术，几十美元/年的费用是绝对买不到的。所以我们这些个人用户只能尽量不在上网的机器上放重要资料，其余没什么可做的，想做也做不起。

显示全部楼层 · 发表于 2012-6-14 20:04:43

jefffire 发表于 2012-6-14 19:43
IPS/IDS如何防0Day。这是一个值得研究的问题。

而且，还有一个问题，就是，这些0day到底是程序员脑子发昏出错，或者干脆就是太笨，还是极其精明的专家有意植入的？如果是后者，IPS/IDS是不可能防住的。

显示全部楼层 · 发表于 2012-6-14 20:27:25

本帖最后由 wjcharles 于 2012-6-14 20:39 编辑

jefffire 发表于 2012-6-14 19:43
IPS/IDS如何防0Day。这是一个值得研究的问题。

针对NIS的话，0day貌似不都是ips防的。。。

http://bbs.kafan.cn/thread-1215671-1-1.html

·未经授权的下载保护（UXP）
基于网络的保护层内，这最后一道防线，有助于保护未知和未修补的漏洞，不使用签名（IPS定义），拦截可疑系统API调用来避免恶意软件的下载，提供了一个针对零日攻击（Zero-Day）的防护层。

还有这个

关于GEB(通用Exploit拦截引擎)
Symantec的网络保护解决方案提供额外的保护层，称为了通用Exploit封锁技术。这项技术是通过逆向工程，破译漏洞的溢出方式，收集其在数据层上的特征，提供网络级的通用防护，而不用在意是否打了补丁或者未知漏洞；其好处就是一个单一的GEB或漏洞签名(包含在IPS定义中)可以防止数以千计的攻击代码变种~

关于API的问题，可以参考这篇旧文
http://bbs.kafan.cn/forum.php?mo ... 7230&highlight=

恶意PDF文档的ShellCode在执行过程中会生成一系列的的文件如正常文档，木马程序等等，诺顿会对ShellCode所使用的API进行监控，一旦符合其规则就会禁止执行并弹出警告信息。基本上诺顿对常见的ShellCode的行为都进行了检测，没有一定的奇技淫巧ShellCode是过不了诺顿的

官方文档http://www.symantec.com/theme.jsp?themeid=star&tabID=3

显示全部楼层 · 发表于 2012-6-14 20:37:19

也有姐夫不懂的问题吗？

[讨论] 防入侵，防漏洞组件作用有多大？