联想网御入侵防护系统 

产品概述

 联想网御凭借在入侵检测技术、防火墙技术、应用分析等方面深厚的积累，倾力打造出了业内首款“内外兼修”的入侵防护系统（以下简称“IPS”）。联想网御IPS基于VSP通用安全平台、USE统一安全引擎和高速ASIC特征比对引擎，综合采用会话状态检测、应用层完全分析、误用检测、异常检测、网络审计等分析与检测技术，实现了 “入侵检测、入侵实时阻断、七层防火墙、抗DoS攻击、上网行为管理、带宽管理”六大功能，配合实时更新的入侵攻击特征库，做到了对网络数据流从高效阻止非法行为（净化）到按需限制合法行为（优化）的全面管理。

产品组成

联想网御IPS产品组成图

联想网御IPS产品由检测引擎硬件平台和LEMS软件两部分组成。

检测引擎：对网络数据包进行收集和检测分析后，可依据设定的安全策略对违反预设策略的事件实施阻断或限制等动作，同时实时向LEMS( Leadsec Extensible Management System) Server传送报警信息和事件过程记录。依据设备处理性能的不同，分为多款机型，以适应不同的网络需求。

    LEMS软件：安装于主机平台上构建LEMS Server，收集事件及日志记录，可集中管理多台IPS检测引擎。网络管理员可通过网络中任意主机的网络浏览器(LEMS Client)连接到LEMS Server，实现对检测引擎设备的管理、安全策略的设定、事件及日志的审计等操作。

产品优势

高速的ASIC比对引擎

通过采用ASIC硬件加速，配合多核处理器架构和平台结构的优化，联想网御IPS具有了超强的检测性能。

联想网御采用能直接比对特征码格式的ASIC硬件加速器，比对速度高达4Gbps。相对于一般只对报文內容进行文字搜索的作法，

ASIC比对引擎同时整合了传输层的特征內容，减少了处理器额外比对和有效降低了误判。除能对入侵攻击、异常数据流进行比对

外，还支持对P2P/IM等应用程序进行检查。

 

联想网御IPS引擎平台体系结构图

实时的入侵检测保护

联想网御IPS采用USE统一安全引擎，具备协议异常分析、会话状态识别、动态异常流量管理和七层应用行为识别等功能，同时配

合零时差更新的特征库和自定义检测特征功能，可检测阻断各种网络攻击行为，包括病毒、蠕虫、木马、间谍软件、广告软件、

可疑代码、端口扫描、非法连接等。

强大的抗DoS/DDoS

联想网御IPS提供多种DoS/DDoS检测及预防机制，可双向阻断TCP/UDP/IGMP/ICMP/IP Flooding、UDP/ICMP Smurfing等各种类型

的DoS/DDoS攻击。在ASIC比对引擎的配合下，联想网御高端IPS对于TCP SYN Flooding可抵挡900Mbps攻击流量。联想网御IPS保

证了网络在遭受DoS/DDoS攻击之时，合法用户仍能顺畅享用网络服务。

完善的上网行为管理

       联想网御IPS是基于软件行为和数据内容，而不是基于协议端口号，来识别即时聊天、P2P软件、非法隧道等应用。凭借

公司应用分析团队对应用软件的不断跟踪分析，联想网御IPS拥有了完善的上网行为管理功能。

l  P2P软件管理：可对Thunder（迅雷）、eMule、BitTorrent等超过100种以上P2P软件进行阻断、限流等管理，实现网络带宽资

源的合理分配；

l  即时聊天管理：可对MSN、QQ、Skype等10多类聊天软件进行管理（包括登陆、文字聊天、文件传输、语音、视频等分项管理

），从而大幅提升员工的工作效率；

l  非法隧道管理：可对VNN、SoftEther、HTTP-Tunnel、Tor等各种VPN虚拟通道软件进行控管，实现阻止企业信息外泄。

 

精准的带宽管理功能

       联想网御IPS采取七层深度数据包分析技术，可做到应用程序级别的流量管理。可针对VLAN、源/目的IP地址、应用协议

端口、七层应用软件（如P2P、FTP、PPlive、PPStream等），实现网络传输带宽或网络传输总量两种不同流量限制，可精准到

1Kbps。

产品特性与功能

分类	特性/功能	详细描述
产品架构	硬件架构	采用 ASIC硬件架构，ASIC比对引擎硬件对特征实现高速比对
	操作系统	采用VSP通用安全平台，自主研发的操作系统确保设备自身的安全性
入侵检测与防护	入侵检测引擎	采用高性能的USE统一安全引擎
	工作模式	支持多种工作模式，可作IDS并联使用，同时支持串联监听模式
	对数据包的处理方式	支持丢弃数据包、中断连机、事件监视/记录 (可选择记录数据包内容，如Sniffer一般)、限制连接传输带宽、限制传输总量等多种处理方式
	事件特征库	事件特征数量在2，400条以上
	防护攻击类型	支持对黑客入侵、病毒、间谍软件等多种攻击防护
	协议分析	支持100种以上协议的分析
	防御操作系统漏洞攻击	可针对Windows、Unix、Linux等操作系统的弱点进行防御，弱点类型包含了Stack and Heap Buffer overflow、Format string error、Memory access error、Memory corruption、 Access control and Design weakness等等
	扫描攻击防护	可实时阻断攻击者利用对IP地址和协议端口的扫描寻找服务器漏洞
	间谍软件	可通过监测下载可执行程序、ActiveX、Java applet等可疑的活动，实现阻止通过广告、浏览器漏洞、自定义ActiveX插件等渠道安装间谍软件
	策略时间管理	可自定单个策略的运行时间
抗DoS/DDoS攻击	DoS/DDoS防护	支持双向阻断TCP/UDP/IGMP/ICMP/IP Flooding、UDP/ICMP Smurfing等各种类型的DoS/DDoS的攻击，支持的类型包括XDoS、SUPERDDoS、FATBOY等50种以上
		支持基于限制访问单位时间内访问特定服务次数来，阻断未知类型的DoS/DDoS攻击，如针对Web、DNS等服务的攻击
七层防火墙	普通防火墙功能	支持状态检测防火墙功能，支持基于网络接口、源/目的IP地址、协议、时间等自定义访问控制策略
	Web访问检查	可基于URL、内容等制定黑白名单来对Web访问进行过滤，从而实现对网页资料上传、色情网站访问等操作的管理限制
	Web系统攻击防御	可针对IIS、Apache等不同的Web 服务器程序弱点进行防御，并可追踪管理Web服务器对数据库的存取行为，如可禁止外部SQL注入请求
上网行为管理	聊天应用管理	能够基于软件行为、数据内容，而不是基于协议端口号，来识别常见的加密型或非加密型聊天应用，可进行管理、拦截、限流等操作； 能根据不同需求，进行多层次软件控制，不仅可禁止实时聊天程序，还可对它的登陆、文字聊天、传输文件、实时语音、实时视频等进行分项管理； 拥有完善的实时聊天程序特征识别库，支持的聊天程序包括MSN、QQ、Yahoo Messenger、Skype、AIM、TM、Google Talk、PoPo Build、iChat等10多类；并可对基于Web的聊天进行登陆和禁止管理控制，如MSN、Yahoo、ICQ、Google Talk、AIM、eBuddy.com、iLoveIM.com 等
	P2P下载管理	能够基于软件行为、数据内容，而不是基于协议端口号，来识别加密型或非加密型P2P应用，可进行阻断、限流等操作； 拥有完善的P2P特征识别库，支持的常用P2P软件包括Thunder （迅雷）、eMule、WinMX、Skype、eDonkey、BitTorrent、Mldonkey等30余种
	在线游戏管理	对QQGame、OurGame、Cga.com.cn Game、Popkart Game等在线游戏，支持阻断管理
带宽管理	流量整形	可针对VLAN、源/目的IP地址、应用协议端口、七层应用软件（如P2P、FTP等），实现网络传输带宽或网络传输总量两种不同流量限制，可精准到1Kbps
可靠性	双机热备	基于HA网络物理接口，可实现在设备宕机、端口坏等故障下的主机和从机间的及时切换
	旁路保护	支持硬件Bypass、软件Bypass的功能，以避免在任何情况下，因本系统无法正常运作而造成网络中断的情形；硬件Bypass功能，使设备在硬件掉电时，实现旁路保护；软件Bypass功能使设备在系统软件出现故障时，实现旁路保护，可实现启动或关闭管理
灵活的管理	管理方式	基于Java的B/S管理架构，支持图形界面和命令行管理方式，全中文图形管理界面
	高效的集中管理	支持通过专用的安全管理系统，实现全局拓扑生成、集中日志审计、集中设备监控等安全管理
	直观的状态显示	具有显示攻击事件百分比的仪表盘、显示协议流量的柱状图、安全事件趋势分析的曲线图、实时事件列表等多种实时状态显示，方便分析网络的现状和趋势
	设备升级	支持通过线升级和本地文件升级方式，来对特征库、管理软件、设备操作系统实现升级
	报警	可实时通过LEMS、邮件、syslog进行报警
日志审计	报表	内置多样化的报表模版，自动定时生成和自定义来生成报表；支持HTML、PDF、CSV等文件格式；可利用邮件或FTP等形式定时外传报表
	事件查询	可根据事件类型、虚拟设备、时间、源/目的IP、攻击名称等信息进行快速问题定位

典型应用

方案一：网络外联安全管理解决方案

    此方案中，联想网御IPS 部署于局域网防火墙之前，可解决以下两大安全问题：

l  抵御来自于外联网针对防火墙和局域网的攻击。防火墙往往是攻击的重点对象，一旦防火墙遭到攻击，将会造成网络中断。有了联想网御IPS 的保护，除了对各种暴力攻击能有效阻挡之外，基于对所有数据包进行详细的应用层分析，使黑客利用合法形式进行的非法存取攻击也无所遁形。

l  实现局域网对外联网存取应用的有效管理。基于对软件行为的分析，联想网御 IPS可识别IM / VoIP / P2P / FTP 等各种网络应用，可制定各种管理策略，如特定访问对象限制、应用功能选择性禁止、网络带宽限制、流量传输总量限制等等。使企业实现网络弹性管理，从而提高员工工作效率和落实企业管理制度。

网络外联安全管理解决方案网络拓扑图

方案二：服务区安全防护解决方案

    此方案中，联想网御IPS 部署于服务器安全区域边界，可解决以下两大安全问题：

l  可抵御DoS/DDoS、蠕虫、病毒、端口扫描等针对服务器进行的攻击威胁，并可追踪管理Web服务器对数据库的存取行为，如可禁止外部SQL注入请求。

l  重要服务器的操作系统或应用软件补丁更新之前，均需经历长时间严格的测试。在漏洞发现和修补的时间间隔内，服务器很容易遭受到黑客的攻击。联想网御对高风险漏洞做到了漏洞发现和攻击特征库发布时间的“零日”间隔，IPS可以实时拦截针对相应漏洞的攻击，为服务器提供“虚拟补丁”。

 

服务区安全防护解决方案网络拓扑图