安全检测和防御系统可以实现什么功能

***防御系统（Intrusion Prevention System）是对防病毒软件和防火墙的有效补充。IPS可以监视网络中的异常信息，并且能够即时的中断、阻止、告警内外网的异常网络行为。
在WFilter NGF中，我们集成了基于snort的***防御系统，该系统主要可以实现如下三个方面的功能：

1. 保护内网的web服务器、文件服务器、邮件服务器。

2. 检测内网终端的***和恶意软件。

3. 检测内网终端的异常网络行为。

在本文中，我简单介绍下如何实现这三个方面的功能。

1. 保护内网的服务器

在企事业的内部局域网，存在ERP、CRM、OA等Web服务器、文件服务器、邮件服务器等各种服务。有些服务是发布到互联网的，容易被***。在WSG的“***检测”中，开启“系统漏洞***”和“服务器漏洞***”的选项，即可有效的检测对服务器的***。如下图：

对外网的***，可以设置“记录日志并封锁IP 10分钟”，这样一旦检测到外网***，就立刻禁止该ip的连接，从而阻止其后续的***行为。对内网的***，可以记录日志并记录告警事件，供后续查证核实。

2. 检测内网终端的***和恶意软件

病毒和***软件的肆虐，导致局域网内会存在大量的毒机和矿机。对于网管人员来说，要查杀这些毒机和矿机绝对不是一件轻松的事情。从技术层面来说，这些***程序都会存在一定的网络特征，那么***检测就可以通过这些网络特征来进行定位。网管技术人员可以通过***检测先定位到该终端，然后再到该终端上去处理。如图：

3. 检测内网终端的异常网络行为

这个功能一般用于自定义检测脚本，用于检测一些个性化的内容。比如，需要检测内网访问某个IP的事件。可以添加自定义规则的方式，如下图：

自定义规则格式：alert tcp $HOME_NET any -> 120.55.165.132 22 (msg:"SSH attempt"; sid:1000003; rev:1;)

意思是：本地（HOME_NET）的任意端口（any）到120.55.165.132的tcp 22端口，都会触发命名为“SSH attempt”的***检测事件。

综上所述，“***防御”功能非常强大，使用好该模块，可以有效的保护内网网络安全、检测内网的毒机和矿机。如果会自己编写策略，还可以实现更加强大的检测功能。