为何防火墙和IPS不能有效应对DDoS攻击?
Radware专家告诫这部分企业万万不能掉以轻心，完全依靠防火墙和IPS来防范愈演愈烈的DDoS攻击。
在过去的2012年，发生了很多起DoS和DDoS攻击事件，Radware紧急响应团队（ERT）于2013年年初发布的一份年度安全报告详细描述了这些攻击事件，并且在报告中指出，在33%的DoS和DDoS攻击事件中，防火墙和IPS设备变成了主要的瓶颈设备。
答案很简单，防火墙与IPS最初并不是为了应对DDoS攻击而设计的。防火墙和IPS的设计目的是检测并阻止单一实体在某个时间发起的入侵行为，而非为了探测那些被百万次发送的貌似合法数据包的组合行为。为了更好说明这一观点，接下来的说明可以解释防火墙和IPS在有效阻止DDoS攻击时的种种缺陷。
防火墙和IPS是状态监测设备
作为状态监测设备，防火墙和IPS可以跟踪检查所有连接，并将其存储在连接表里。每个数据包都与连接表相匹配，以确认该数据包是通过已经建立的合法连接进行传输的。
一个典型的连接表可以存储成千上万个活动连接，足以满足正常的网络访问活动。但是，DDoS攻击每秒可能会发送数千个数据包。作为企业网络中处理流量的窗口设备，防火墙或IPS将会在连接表中为每一个恶意数据包创建一个新连接表项，这会导致连接表空间被快速耗尽。一旦连接表达到其最大容量，就不再允许打开新的连接，最终会阻止合法用户建立连接。
专用的DDoS攻击缓解设备使用的是一种无状态保护机制，它可以处理数百万个连接尝试，无需连接表项的介入，也不会导致其它系统资源的耗尽。
防火墙和IPS不能区分恶意用户和合法用户
诸如HTTP洪水等诸多DDoS攻击是由数百万个合法会话构成的。每个会话本身都是合法的，防火墙和IPS无法将其标记为威胁。这主要是因为防火墙和IPS不具有对数百万并发会话的行为进行全面观察与分析的能力，只能对单个会话进行检测，这就削弱了防火墙或IPS对由数百万个合法请求构成的攻击的识别能力。
防火墙和IPS在网络中的部署位置不合适
防止DDoS攻击的设备必须位于网络安全防范的最前线，但是防火墙和IPS部署在靠近被保护服务器的位置，并不是作为第一道防线使用，这将导致DDoS攻击成功入侵数据中心。专用DDoS攻击缓解设备通常部署在接入路由之前，这样可以保证尽早检测到攻击。
毫无疑问，日益泛滥的DoS及DDoS攻击以及攻击趋势的复杂化已经从根本上改变了当前的安全环境。企业急需适时调整自己的安全架构以有效应对不断增多的DoS攻击，同时所部署的安全工具也必须不断升级更新与时俱进。
ips和防火墙有哪些区别
ips和防火墙区别一：
1、基础防火墙类，主要是可实现基本包过滤策略的防火墙，这类是有硬件处理、软件处理等，其主要功能实现是限制对IP:port的访问。基本上的实现都是默认情况下关闭所有的通过型访问，只开放允许访问的策略。
2、IDS类，此类产品基本上以旁路为主，特点是不阻断任何网络访问，主要以提供报告和事后监督为主，少量的类似产品还提供TCP阻断等功能，但少有使用。
3、IPS类，解决了IDS无法阻断的问题，基本上以在线模式为主，系统提供多个端口，以透明模式工作。在一些传统防火墙的新产品中也提供了类似功能，其特点是可以分析到数据包的内容，解决传统防火墙只能工作在4层以下的问题。和IDS一样，IPS也要像防病毒系统定义N种已知的攻击模式，并主要通过模式匹配去阻断非法访问。
4、主动安全类，和前面的产品均不同，主动安全产品的特点是协议针对性非常强，比如WAF就是专门负责HTTP协议的安全处理，DAF就是专门负责数据库Sql 查询类的安全处理。在主动安全产品中通常会处理到应用级的访问流程。对于不认识的业务访问全部隔离。
在这几类产品中，就可以分辨出什么是主动安全，什么是被动安全。从安全的最基本概念来说，首先是关闭所有的通路，然后再开放允许的访问。因此，传统防火墙可以说是主动安全的概念，因为默认情况下是关闭所有的访问，然后再通过定制策略去开放允许开放的访问。但由于其设计结构和特点，不能检测到数据包的内容级别，因此，当攻击手段到达应用层面的时候，传统的防火墙都是无能为力的。IDS就不讲了，不能阻断只能是一个事后监督机制，因此在其后出现的IPS，基本上所有的IPS系统都号称能检查到数据包的内容，但犯了一个致命的错误，就是把安全的原则反过来了，变成默认开放所有的访问，只有自己认识的访问，才进行阻断。从另外一个方面，由于在线式造成的性能问题，也不能像杀毒软件一样进行全面而细致的安全审计。因此大多数的IPS在实际运行环境中都形同虚设，通常只是当作一个防DDOS的设备存在。IPS尤其对于未知的，不再其安全库内的攻击手段，基本上都是无能为力的。
在主动安全的体系中，彻底改变了IPS 的致命安全错误。其工作在协议层上，通过对协议的彻底分析和Proxy代理工作模式，同时，结合对应用的访问流程进行分析，只通过自己认识的访问，而对于不认识的访问，则全部进行阻断。比如在页面上的一个留言板，正常人登录都是填入一些留言，提问等，但黑客则完全可能填入一段代码，如果服务器端的页面存在漏洞，则当另外一个用户查看留言板的时候，则会在用户完全不知道的情况下执行这段代码，标准叫法，这叫做跨站攻击。当这段代码被执行后，用户的本地任何信息都有可能被发送到黑客的指定地址上。如果采用防火墙或者IPS，对此类攻击根本没有任何处理办法，因为攻击的手段、代码每次都在变化，没有特征而言。而在采用主动安全的系统中，则可以严格的限制在留言板中输入的内容，由此来防范此类跨站攻击。又如常见的认证漏洞，可能造成某些页面在没有进行用户登录的情况下可以直接访问，这些内容在防火墙或者IPS系统中更加无法处理了。因为他们的请求和正常的请求完全一样，只是没有经过登录流程而已，因此不能进行防护，在主动安全体系里，可以对用户的访问进行流程限定，比如访问一些内容必须是在先通过了安全认证之后才能访问，并且必须按照一定的顺序才能执行。因此，工作在流程和代理层面的主动安全设备可以进一步实现应用系统的真正安全。
ips和防火墙区别二：
IDS技术
根据采集数据源的不同，IDS可分为主机型IDS(Host-based IDS，HIDS)和网络型IDS(Network-based IDS，NIDS)。
HIDS和NIDS都能发现对方无法检测到的一些入侵行为，可互为补充。完美的IDS产品应该将两者结合起来。目前主流IDS产品都采用HIDS和NIDS有机结合的混合型IDS架构。
传统的入侵检测技术有：
ips和防火墙区别1、模式匹配
模式匹配就是将收集到的信息与已知的网络入侵和系统误用模式数据库进行比较，来发现违背安全策略的入侵行为。一种进攻模式可以利用一个过程或一个输出来表示。这种检测方法只需收集相关的数据集合就能进行判断，能减少系统占用，并且技术已相当成熟，检测准确率和效率也相当高。但是，该技术需要不断进行升级以对付不断出现的攻击手法，并且不能检测未知攻击手段。
ips和防火墙区别2、异常检测
异常检测首先给系统对象(用户、文件、目录和设备等)创建一个统计描述，包括统计正常使用时的测量属性，如访问次数、操作失败次数和延时等。测量属性的平均值被用来与网络、系统的行为进行比较，当观察值在正常值范围之外时，IDS就会判断有入侵发生。异常检测的优点是可以检测到未知入侵和复杂的入侵，缺点是误报、漏报率高。
ips和防火墙区别3、完整性分析
完整性分析关注文件或对象是否被篡改，主要根据文件和目录的内容及属性进行判断，这种检测方法在发现被更改和被植入特洛伊木马的应用程序方面特别有效。完整性分析利用消息摘要函数的加密机制，能够识别微小变化。其优点是不管模式匹配方法和统计分析方法能否发现入侵，只要攻击导致文件或对象发生了改变，完整性分析都能够发现。完整性分析一般是以批处理方式实现，不用于实时响应。入侵检测面临的问题
1、误报和漏报
IDS系统经常发出许多假警报。误警和漏警产生的原因主要有以下几点：
● 当前IDS使用的主要检测技术仍然是模式匹配，模式库的组织简单、不及时、不完整，而且缺乏对未知攻击的检测能力;
● 随着网络规模的扩大以及异构平台和不同技术的采用，尤其是网络带宽的迅速增长，IDS的分析处理速度越来越难跟上网络流量，从而造成数据包丢失;
● 网络攻击方法越来越多，攻击技术及其技巧性日趋复杂，也加重了IDS的误报、漏报现象。
2、拒绝服务攻击
IDS是失效开放(Fail Open)的机制，当IDS遭受拒绝服务攻击时，这种失效开放的特性使得黑客可以实施攻击而不被发现。
3、插入和规避
插入攻击和规避攻击是两种逃避IDS检测的攻击形式。其中插入攻击可通过定制一些错误的数据包到数据流中，使IDS误以为是攻击。规避攻击则相反，可使攻击躲过IDS的检测到达目的主机。插入攻击的意图是使IDS频繁告警(误警)，但实际上并没有攻击，起到迷惑管理员的作用。规避攻击的意图则是真正要逃脱IDS的检测，对目标主机发起攻击。黑客经常改变攻击特征来欺骗基于模式匹配的IDS。
IDS发展趋势
在安全漏洞被发现与被攻击之间的时间差不断缩小的情况下，基于特征检测匹配技术的IDS已经力不从心。IDS出现了销售停滞，但IDS不会立刻消失，而是将IDS将成为安全信息管理(SIM)框架的组成部分。在SIM框架中，IDS的作用可以通过检测和报告技术得到加强。分析人士指出，IDS的作用正转变为调查取证和安全分析。大约5年后，一致性安全管理以及内核级的安全技术将共同结束基于特征检测的IDS技术的使命。
美国网络世界实验室联盟成员Joel Snyder认为，未来将是混合技术的天下，在网络边缘和核心层进行检测，遍布在网络上的传感设备和纠正控制台通力协作将是安全应用的主流。
一些厂商通过将IDS报警与安全漏洞信息进行关联分析，着手解决IDS的缺陷。SIM厂商在实现安全信息分析的方式上开始采取更加模块化的方法，将安全漏洞管理、异常检测、网络评估、蜜罐模块与IDS模块搭配在一起，以更好地确定和响应安全事件。IPS主动防护
尽管IDS是一种受到企业欢迎的解决方案，它还是不足以阻断当今互联网中不断发展的攻击。入侵检测系统的一个主要问题是它不会主动在攻击发生前阻断它们。同时，许多入侵检测系统基于签名，所以它们不能检测到新的攻击或老式攻击的变形，它们也不能对加密流量中的攻击进行检测。
而入侵防护系统(Intrution Protection System，IPS)则倾向于提供主动性的防护，其设计旨在预先对入侵活动和攻击性网络流量进行拦截，避免其造成任何损失，而不是简单地在恶意流量传送时或传送后才发出警报。IPS 是通过直接嵌入到网络流量中而实现这一功能的，即通过一个网络端口接收来自外部系统的流量，经过检查确认其中不包含异常活动或可疑内容后，再通过另外一个端口将它传送到内部系统中。这样一来，有问题的数据包，以及所有来自同一数据流的后续数据包，都能够在IPS设备中被清除掉。
简单地理解，IPS等于防火墙加上入侵检测系统，但并不是说IPS可以代替防火墙或入侵检测系统。防火墙是粒度比较粗的访问控制产品，它在基于TCP/IP协议的过滤方面表现出色，而且在大多数情况下，可以提供网络地址转换、服务代理、流量统计等功能。
和防火墙比较起来，IPS的功能比较单一，它只能串联在网络上，对防火墙所不能过滤的攻击进行过滤。一般来说，企业用户关注的是自己的网络能否避免被攻击，对于能检测到多少攻击并不是很热衷。但这并不是说入侵检测系统就没有用处，在一些专业的机构，或对网络安全要求比较高的地方，入侵检测系统和其他审计跟踪产品结合，可以提供针对企业信息资源的全面审计资料，这些资料对于攻击还原、入侵取证、异常事件识别、网络故障排除等等都有很重要的作用。
IPS目前主要包含以下几种类型：1、基于主机的入侵防护(HIPS)，它能够保护服务器的安全弱点不被不法分子所利用;2、基于网络的入侵防护(NIPS)，它可通过检测流经的网络流量，提供对网络系统的安全保护，一旦辨识出入侵行为，NIPS就可以去除整个网络会话，而不仅仅是复位会话;3、应用入侵防护，它把基于主机的入侵防护扩展成为位于应用服务器之前的网络设备。IPS面临的挑战
IPS 技术需要面对很多挑战，其中主要有三点。
1、单点故障。设计要求IPS必须以嵌入模式工作在网络中，而这就可能造成瓶颈问题或单点故障。如果IDS出现故障，最坏的情况也就是造成某些攻击无法被检测到，而嵌入式的IPS设备出现问题，就会严重影响网络的正常运转。如果IPS出现故障而关闭，用户就会面对一个由IPS造成的拒绝服务问题，所有客户都将无法访问企业网络提供的应用。
2、性能瓶颈。即使 IPS设备不出现故障，它仍然是一个潜在的网络瓶颈，不仅会增加滞后时间，而且会降低网络的效率，IPS必须与数千兆或者更大容量的网络流量保持同步，尤其是当加载了数量庞大的检测特征库时，设计不够完善的 IPS 嵌入设备无法支持这种响应速度。绝大多数高端 IPS产品供应商都通过使用自定义硬件(FPGA、网络处理器和ASIC芯片)来提高IPS的运行效率。
3、误报和漏报。误报率和漏报率也需要IPS认真面对。在繁忙的网络当中，如果以每秒需要处理十条警报信息来计算，IPS每小时至少需要处理36000条警报，一天就是864000条。一旦生成了警报，最基本的要求就是IPS能够对警报进行有效处理。如果入侵特征编写得不是十分完善，那么“误报”就有了可乘之机，导致合法流量也有可能被意外拦截。对于实时在线的IPS来说，一旦拦截了“攻击性”数据包，就会对来自可疑攻击者的所有数据流进行拦截。如果触发了误报警报的流量恰好是某个客户订单的一部分，其结果可想而知，这个客户整个会话就会被关闭，而且此后该客户所有重新连接到企业网络的合法访问都会被“尽职尽责”的IPS拦截。
IDS和IPS将共存
虽然IPS具有很大的优势，然而美国网络世界实验室联盟成员Rodney Thayer认为，在报告、分析等相关技术完善得足以防止虚假报警之前，IPS不可能取代IDS设备。IPS可能将取代外围防线的检测系统，而网络中的一些位置仍然需要检测功能，以加强不能提供很多事件信息的IPS。现在市场上的主流网络安全产品可以分为以下几个大类：
1、基础防火墙类，主要是可实现基本包过滤策略的防火墙，这类是有硬件处理、软件处理等，其主要功能实现是限制对IP:port的访问。基本上的实现都是默认情况下关闭所有的通过型访问，只开放允许访问的策略。
2、IDS类，此类产品基本上以旁路为主，特点是不阻断任何网络访问，主要以提供报告和事后监督为主，少量的类似产品还提供TCP阻断等功能，但少有使用。
3、IPS类，解决了IDS无法阻断的问题，基本上以在线模式为主，系统提供多个端口，以透明模式工作。在一些传统防火墙的新产品中也提供了类似功能，其特点是可以分析到数据包的内容，解决传统防火墙只能工作在4层以下的问题。和IDS一样，IPS也要像防病毒系统定义N种已知的攻击模式，并主要通过模式匹配去阻断非法访问。
4、主动安全类，和前面的产品均不同，主动安全产品的特点是协议针对性非常强，比如WAF就是专门负责HTTP协议的安全处理，DAF就是专门负责数据库Sql 查询类的安全处理。在主动安全产品中通常会处理到应用级的访问流程。对于不认识的业务访问全部隔离。
在这几类产品中，就可以分辨出什么是主动安全，什么是被动安全。从安全的最基本概念来说，首先是关闭所有的通路，然后再开放允许的访问。因此，传统防火墙可以说是主动安全的概念，因为默认情况下是关闭所有的访问，然后再通过定制策略去开放允许开放的访问。但由于其设计结构和特点，不能检测到数据包的内容级别，因此，当攻击手段到达应用层面的时候，传统的防火墙都是无能为力的。IDS就不讲了，不能阻断只能是一个事后监督机制，因此在其后出现的IPS，基本上所有的IPS系统都号称能检查到数据包的内容，但犯了一个致命的错误，就是把安全的原则反过来了，变成默认开放所有的访问，只有自己认识的访问，才进行阻断。从另外一个方面，由于在线式造成的性能问题，也不能像杀毒软件一样进行全面而细致的安全审计。因此大多数的IPS在实际运行环境中都形同虚设，通常只是当作一个防DDOS的设备存在。IPS尤其对于未知的，不再其安全库内的攻击手段，基本上都是无能为力的。
在主动安全的体系中，彻底改变了IPS 的致命安全错误。其工作在协议层上，通过对协议的彻底分析和Proxy代理工作模式，同时，结合对应用的访问流程进行分析，只通过自己认识的访问，而对于不认识的访问，则全部进行阻断。比如在页面上的一个留言板，正常人登录都是填入一些留言，提问等，但黑客则完全可能填入一段代码，如果服务器端的页面存在漏洞，则当另外一个用户查看留言板的时候，则会在用户完全不知道的情况下执行这段代码，标准叫法，这叫做跨站攻击。当这段代码被执行后，用户的本地任何信息都有可能被发送到黑客的指定地址上。如果采用防火墙或者IPS，对此类攻击根本没有任何处理办法，因为攻击的手段、代码每次都在变化，没有特征而言。而在采用主动安全的系统中，则可以严格的限制在留言板中输入的内容，由此来防范此类跨站攻击。又如常见的认证漏洞，可能造成某些页面在没有进行用户登录的情况下可以直接访问，这些内容在防火墙或者IPS系统中更加无法处理了。因为他们的请求和正常的请求完全一样，只是没有经过登录流程而已，因此不能进行防护，在主动安全体系里，可以对用户的访问进行流程限定，比如访问一些内容必须是在先通过了安全认证之后才能访问，并且必须按照一定的顺序才能执行。因此，工作在流程和代理层面的主动安全设备可以进一步实现应用系统的真正安全。
另外，在通常情况下，安全访问都采用SSL进行通道连接，传统的IPS根本无法看到用户的访问，从而造成形同虚设的安全网关
如何避免XSS攻击和SQL注入
所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将（恶意）的SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击．
防护
归纳一下，主要有以下几点：
1.永远不要信任用户的输入。对用户的输入进行校验，可以通过正则表达式，或限制长度；对单引号和
双"-"进行转换等。
2.永远不要使用动态拼装sql，可以使用参数化的sql或者直接使用存储过程进行数据查询存取。
3.永远不要使用管理员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接。
4.不要把机密信息直接存放，加密或者hash掉密码和敏感的信息。
5.应用的异常信息应该给出尽可能少的提示，最好使用自定义的错误信息对原始错误信息进行包装
6.sql注入的检测方法一般采取辅助软件或网站平台来检测，软件一般采用sql注入检测工具jsky，网站平台就有亿思网站安全平台检测工具。MDCSOFT SCAN等。采用MDCSOFT-IPS可以有效的防御SQL注入，XSS攻击等。
IPS 是什么？
IPS（Intrusion Prevention System , 入侵防御系统）对于初始者来说，IPS位于防火墙和网络的设备之间。这样，如果检测到攻击，IPS会在这种攻击扩散到网络的其它地方之前阻止这个恶意的通信。IDS只是存在于你的网络之外起到报警的作用，而不是在你的网络前面起到防御的作用。
IPS（In-Plane Switching，平面转换）技术是日立于2001推出的面板技术，它也被俗称为“Super TFT”。我们知道，传统LCD显示器的液晶分子一般都在垂直-平行状态间切换，MVA和PVA将之改良为垂直-双向倾斜的切换方式，而IPS技术与上述技术最大的差异就在于，不管在何种状态下液晶分子始终都与屏幕平行，只是在加电/常规状态下分子的旋转方向有所不同—注意，MVA、PVA液晶分子的旋转属于空间旋转（Z轴），而IPS液晶分子的旋转则属于平面内的旋转（X-Y轴）。
Indiana全新的映像包管理系统(Image Packaging System，IPS)。在OpenSolaris Developer Preview版本当中包括了IPS的原型。虽然这个原型还没有实现所有的设计功能，但是我们还是可以根据这个原型来了解在下一代的Solaris操作系统中如何安装、升级和删除应用程序。IPS是一个软件生存周期管理(安装，升级和删除)的框架，它以包为单位来对软件进行管理。每个包使用一个出错管理资源标示(Fault Management Resource Identifier, FMRI)来代表。
什么是IPS（入侵防御系统）
14px; BORDER-LEFT-WIDTH: 0px; PADDING-TOP: 0px"IPS（Intrusion Prevention System 入侵防御系统）对于初始者来说，IPS位于防火墙和网络的设备之间。这样，如果检测到攻击，IPS会在这种攻击扩散到网络的其它地方之前阻止这个恶意的通信。
IDS只是存在于你的网络之外起到报警的作用，而不是在你的网络前面起到防御的作用。
目前有很多种IPS系统
，它们使用的技术都不相同。但是，一般来说，IPS系统都依靠对数据包的检测。IPS将检查入网的数据包，确定这种数据包的真正用途，然后决定是否允许这种数据包进入你的网络。
IPS 的关键技术成份包括所合并的全球和本地主机访问控制、IDS、全球和本地安全策略、风险管理软件和支持全球访问并用于管理 IPS 的控制台。如同 IDS 中一样，IPS 中也需要降低假阳性或假阴性，它通常使用更为先进的侵入检测技术，如试探式扫描、内容检查、状态和行为分析，同时还结合常规的侵入检测技术如基于签名的检测和异常检测。
同侵入检测系统（IDS）一样，IPS 系统分为基于主机和网络两种类型。
基于主机的 IPS
基于主机的 IPS 依靠在被保护的系统中所直接安装的代理。它与操作系统内核和服务紧密地捆绑在一起，监视并截取对内核或 API 的系统调用，以便达到阻止并记录攻击的作用。它也可以监视数据流和特定应用的环境（如网页服务器的文件位置和注册条目），以便能够保护该应用程序使之能够避免那些还不存在签名的、普通的攻击。
基于网络的 IPS
基于网络的 IPS 综合了标准 IDS 的功能，IDS 是 IPS 与防火墙的混合体，并可被称为嵌入式 IDS 或网关 IDS（GIDS）。基于网络的 IPS 设备只能阻止通过该设备的恶意信息流。为了提高 IPS 设备的使用效率，必须采用强迫信息流通过该设备的方式。更为具体的来说，受保护的信息流必须代表着向联网计算机系统或从中发出的数据，且在其中：
指定的网络领域中，需要高度的安全和保护。
该网络领域中存在极可能发生的内部爆发配置地址能够有效地将网络划分成最小的保护区域，并能够提供最大范围的有效覆盖率。
入侵防护系统(IPS)的原理?
通过全面的数据包侦测，TippingPoint的入侵防御系统提供吉比特速率上的应用、网络架构和性能保护功能。应用保护能力针对来自内部和外部的攻击提供快速、精准、可靠的防护。由于具有网络架构保护能力，TippingPoint的入侵防御系统保护VOIP系统、路由器、交换机、DNS和其他网络基础免遭恶意攻击和防止流量异动。TippingPoint的入侵防御系统的性能保护能力帮助客户来遏制非关键业务抢夺宝贵的带宽和IT资源，从而确保网路资源的合理配置并保证关键业务的性能。
入侵防御系统（IPS）,属于网络交换机的一个子项目，为有过滤攻击功能的特种交换机。一般布于防火墙和外来网络的设备之间，依靠对数据包的检测进行防御（检查入网的数据包，确定数据包的真正用途，然后决定是否允许其进入内网）
防火墙、IDS和IPS之间有什么区别?
现在市场上的主流网络安全产品可以分为以下几个大类：
1、基础防火墙类，主要是可实现基本包过滤策略的防火墙，这类是有硬件处理、软件处理等，其主要功能实现是限制对IP:port的访问。基本上的实现都是默认情况下关闭所有的通过型访问，只开放允许访问的策略。
2、IDS类，此类产品基本上以旁路为主，特点是不阻断任何网络访问，主要以提供报告和事后监督为主，少量的类似产品还提供TCP阻断等功能，但少有使用。
3、IPS类，解决了IDS无法阻断的问题，基本上以在线模式为主，系统提供多个端口，以透明模式工作。在一些传统防火墙的新产品中也提供了类似功能，其特点是可以分析到数据包的内容，解决传统防火墙只能工作在4层以下的问题。和IDS一样，IPS也要像防病毒系统定义N种已知的攻击模式，并主要通过模式匹配去阻断非法访问。
4、主动安全类，和前面的产品均不同，主动安全产品的特点是协议针对性非常强，比如WAF就是专门负责HTTP协议的安全处理，DAF就是专门负责数据库Sql 查询类的安全处理。在主动安全产品中通常会处理到应用级的访问流程。对于不认识的业务访问全部隔离。
在这几类产品中，就可以分辨出什么是主动安全，什么是被动安全。从安全的最基本概念来说，首先是关闭所有的通路，然后再开放允许的访问。因此，传统防火墙可以说是主动安全的概念，因为默认情况下是关闭所有的访问，然后再通过定制策略去开放允许开放的访问。但由于其设计结构和特点，不能检测到数据包的内容级别，因此，当攻击手段到达应用层面的时候，传统的防火墙都是无能为力的。IDS就不讲了，不能阻断只能是一个事后监督机制，因此在其后出现的IPS，基本上所有的IPS系统都号称能检查到数据包的内容，但犯了一个致命的错误，就是把安全的原则反过来了，变成默认开放所有的访问，只有自己认识的访问，才进行阻断。从另外一个方面，由于在线式造成的性能问题，也不能像杀毒软件一样进行全面而细致的安全审计。因此大多数的IPS在实际运行环境中都形同虚设，通常只是当作一个防DDOS的设备存在。IPS尤其对于未知的，不再其安全库内的攻击手段，基本上都是无能为力的。
在主动安全的体系中，彻底改变了IPS 的致命安全错误。其工作在协议层上，通过对协议的彻底分析和Proxy代理工作模式，同时，结合对应用的访问流程进行分析，只通过自己认识的访问，而对于不认识的访问，则全部进行阻断。比如在页面上的一个留言板，正常人登录都是填入一些留言，提问等，但黑客则完全可能填入一段代码，如果服务器端的页面存在漏洞，则当另外一个用户查看留言板的时候，则会在用户完全不知道的情况下执行这段代码，标准叫法，这叫做跨站攻击。当这段代码被执行后，用户的本地任何信息都有可能被发送到黑客的指定地址上。如果采用防火墙或者IPS，对此类攻击根本没有任何处理办法，因为攻击的手段、代码每次都在变化，没有特征而言。而在采用主动安全的系统中，则可以严格的限制在留言板中输入的内容，由此来防范此类跨站攻击。又如常见的认证漏洞，可能造成某些页面在没有进行用户登录的情况下可以直接访问，这些内容在防火墙或者IPS系统中更加无法处理了。因为他们的请求和正常的请求完全一样，只是没有经过登录流程而已，因此不能进行防护，在主动安全体系里，可以对用户的访问进行流程限定，比如访问一些内容必须是在先通过了安全认证之后才能访问，并且必须按照一定的顺序才能执行。因此，工作在流程和代理层面的主动安全设备可以进一步实现应用系统的真正安全。