订阅数:84301最近总有些朋友跟我聊起IPS的发展的问题，IPS应该具备哪些功能，IPS今后技术发展方向，IPS能解决什么问题，IPS跟IDS如何区分定位......，最近我接触了不少IPS的用户，根据跟他们的接触交流，了解到他们的一些对IPS的实际期望，主要分为两部分：
其一，是IPS的有效 控制。这也是IPS区别于IDS的最重要的一点，IDS追求大而全，即最大限度发现攻击行为，让用户最全面了解网络风险；而IPS作为网关设备，要追求精 确阻断，即少而精的入侵防御，不能因为误报阻断导致正常业务中断。另一方面，IPS更注重对网络应用的控制，譬如P2P下载、在线流媒体、聊天工具、股 票、网游等应用，不到要能够及时了解网络中哪些节点、哪些机器或者哪些人在做这方面的网路应用，而且还要可以对这些应用进行有效的控制，所以有效控制将是IPS的一个重要支柱点；
其二，是IPS的有效呈现。我们不但希望IPS可以对网络应用进行有效控制，同时也希望通过IPS清晰了解自己的网络应用状况，譬如我的网络流量曲线，都 有谁、哪些IP什么时间在线聊天或者游戏或者炒股或者P2P了，我希望了解我的带宽占用中排在前10名的网络应用是什么，我希望得到上班时间内网络聊天排名前10位的IP等等，换句话说，就是要求IPS的日志查询灵活，报表内容丰富、各式多样方便
入侵防御能力是IPS永恒的本能，但是有效控制和有效呈现将是IPS今后的发展趋势
今天参加了“2006存储中国峰会”，主要是想了解一下国家的相关政策、存储发展方向、存储市场情况、存储产品发展等方面信息，总体感觉各嘉宾的主题演讲还是比较精彩的，尤其是国务院信息化办公室司长赵小凡的演讲更是精彩，以下是断断续续记录下来的一些演讲的亮点或观点：
>国务院信息化办公室的“34号文”已经在解密过程中，预计今年上半年即可发布
>信息的重要性包括：1）信息资源作为生产要素、无形资产、社会财富，与能源、材料等物质资源同等重要；2）信息资源的是不可替代的；3）......没记下来
>关于信息资源市场——信息资源可作为商品进行交换
>在国内，政府是最大的信息资源拥有者，政府对信息资源的利用分为机构内部使用、机构间共享、对外共享（如电子政务等）
————国务院信息化办公室 赵小凡
>NAS、虚拟存储、加密存储 ——IBM 候淼
>快速存储（快速将DATA整合，上升为knowledge）、绿色存储（节约能源） ——EMC 杜国强
>已经有早期的为服务器服务转变为以存储为核心的应用
>努力打造成熟的存储服务，方便犹如自来水、电 —— 富士通 周一平
>存储一体化管理，存储、榕灾的目的不是备份而是恢复 ——Commvault 徐永兴
<其他>
比较佩服EMC 的杜国强的演讲，虽然普通话很不标准，但是他的逻辑思维很清晰，通俗易懂，各种数据、例子应用的非常好，100%说明了他想要阐明的观点，唯一感到不足的是他有一个让人感觉很不舒服的口头禅“所谓的”，什么“所谓的信息化办公室”、“所谓的IBM”......，一方面让所说对象觉得不受尊重，另一方面让听者觉得挺好的东西在他看来都是浪有虚名
还有就是感觉主办方有一点听恶心的，就是中午饭自己解决，拿着一张兑换卷，必须等到下午5~6点才能兑换50元餐费，可谓“目的诚可贵，做法遭人嫌”
最近碰到的一个项目，对IDS提出了很“另类”的的需求，明确在招标要求中提出了以下2点：
1、支持异常MAC地址检查功能
2、支持监控和封禁网络中常见应用服务事件监控，例如收发邮件、数据库应用、网络聊天、流媒体、P2P软件、BT下载、网络游戏等；支持在不同时间应用的监控和封禁
其实要只是标书应答也就算了，关键是要测试功能实现，这着实让我头疼了一番。
开始的时候，测试方要求演示一下产品界面上的“MAC地址检查”功能相关菜单，我晕，真的是拿IDS当内网管理用了？我只好强调IDS的价值在于它的检测与报警能力，我们没有相关菜单，只能通过报警的方式检查MAC地址的异常状况，于是最后采用的测试用例是：修改MAC地址，察看IDS的是否能正确报警。测试结果OK
至于“支持监控和封禁网络中常见应用服务事件监控”更是内网管理产品的功能了，我在想，对IDS提出这样的要求实属强人所难，IDS的控制都是通过发reset包来实现的，然而IDS往往是接在交换机的镜像口，基本不支持发包，所以说控制、阻断功能基本无法实用，最后协商采用防火墙联动的方式来实现。测试OK
虽说这些需求对于IDS来说有些勉为其难，但是可以看出用户对终端防护方面的需求呼声，希望这对内网管理市场是一个好兆头。
已经从PM出来半年多了，之所以要写这篇小文章，有两个原因，其一就是此时此刻出差在外，事办完了，还有些富裕时间；其二就是将以前的一些自己的做事方法记录下来，以便他日参考。言归正传......
对于一个新产品，公司没有自己的历史数据，销售人员也很难把握的情况下，作为产品经理，该如何制定新产品的来年销售计划，也就是销售目标（任务）？在市场营销、产品管理、MBA等书籍中会有很多种分析方法，但是就个人认为有2种最简单，可操作性强的方法：
一、顺推法
所谓顺推，就是从大盘入手，逐步细分，最终得到自己的产品应该占有的份额。
1、预测新产品的07年市场规模
新产品没有自己的历史数据，但是可以从全国乃至全球的同类产品的市场份额中逐步分解，得到新产品的历史销售规模（有连续3年以上的数据最），根据历史增长率和业界增长率估算出07年的规模，譬如某类产品（如放垃圾邮件产品）全国销售的历史数据如2004年8000万、2005年1.23亿、2006年1.80亿，就是说大概有50%增长率，而IT也的年增长率大概在30%左右，则我们可以用平均值40%来计算该产品07年的销售规模，大约2.52亿。
2、对同一领域的竞争产品进行分析
从历年的各竞争厂家的格局（市场瓜分率），来将07年的份额进行分摊，然后确立自己的一个竞争目标（或者是参照厂商、或者是市场占有份额目，得到自己的产品应该在07年做到销售目标。还是上面的例子，假如该产品大概有20个竞争品牌，A占40%、B20%、C15%、其他25%，如果我们分析觉得自己的公司规模、产品质量、营销能力都跟C差不多，或者说要强一些，那么我们就应该将C作为我们的目标，我们的产品07年的份额达到10~15%，则新产品07年的销售额计划就出来了，2520~3780万。
3、目标的可行性分析
从公司整体实力，产品差异化，等方面分析一下这个目标的可行性，然后还要给出具体实现目标的方法手段。
二、逆推法
所谓逆推法，就是从各个单元分析，最终汇总得到新产品销售额。这里边还可以具体分成2种操作方法：
1、销售估算法
即逐一走访或者电话调查公司直属的销售人员和代理商，让他们自己对该产品的来年销售额进行估算，然后汇总得到公司全年的销售计划。这种方法操作起来比较难，尤其是跟销售人员打交道，爱理不理的态度很让人难受，这就得考验产品经理的个人魅力了，但是这却是一种比较实际的行之有效的计划额，因为销售人员一般都会量力而估，不会有太多的水分。
2、需求估算法
就是从产品需求方面进行分析，最终得到新产品的销售计划。还是以垃圾邮件产品为例，我么可以这么来考虑，全国大概有多少邮件服务器？（这个从每年的中国互联网用户分析报告中都有），每个省、地区有多少？并根据该地区的经济水平和IT化水平估算出购买防垃圾邮件产品的比率会有多少？目前大概会有多少是已经购买了该类产品？......等等，从各方面详细分析后，我们也能汇总得到全国该类产品的销售总额。
后边的分析方法就跟顺推法一样即可。
没有绝对的安全，这是由安全的相对性所决定的，那么IDS作为网络安全的一个工具，我们应该如何正确看待它的检测能力呢？曾经碰到一些用户，他们认为IDS的检测率达到100%是最好的，而且那这个当作一个关键指标来衡量一个IDS产品的好坏，这就往往使得检测率测试成为IDS竞标测试中除了性能测试之外的一个重中之重。但是从专业角度考虑，我们有必要要求IDS的检测率达到100%吗？答案显然是否定的。
IDS本身就是一个检测类产品，它的检测源就是网络中传输的数据报文，且不说网络中的数据量之大，导致IDS分析延迟，就是承载这些网络流量的设备（包括交换机、路由器、HUB之类的）也会出现丢包现象，所以要求IDS保持的100%检测率是不现实的。假如有些产品的宣传资料上声称其检测率100%，那也只能理解为在某个时点进行的某些攻击测试时全部检测成功，不代表该产品在任何时候的检测率都是100%，所以我认为将检测率作为一个硬性指标来衡量IDS产品的好坏不可取，那么我们应该如何选择一款好的IDS产品呢？个人认为以下几点考虑到了即可：
1、IDS产品的性能指标
2、IDS安装、使用的难易程度（是否易用？）
3、IDS的报表分析能力
4、IDS厂家的研发实力（考察IDS产品的持续更新维护能力）
5、IDS的特征库更新频率（考察厂家对攻击、漏洞的研究能力和经验积累）
6、IDS的售后服务能力
只要以上这几点都能经受考验，那用户就可以放心使用它的产品了。
IDS （入侵检测系统）可以发现各种入侵事件，但是海量的报警信息，加上IDS 的报警消息的描述过于专业化，使得非“行家”看不懂，很多IDS 管理员对报警“麻木”以待，一些严重的攻击事件也就“瞒天过海”，这也是“IDS 无用论”产生的重要因素。所以 在解决了IDS报警细、全、准的同时，推出宏观的入侵监测模块——异常流量监测系统就显得非常重要了，以图形化的方式呈现整个网络的流量，用户只需关注流量异常的节点就可以发现重大规模的网络攻击事件，如自动化攻击的蠕虫、恶意代码 等。
大规模网络攻击一般表现前兆期、爆发期、稳定期以及消亡期四个阶段，特别是自动化攻击的蠕虫、恶意代码，如果能够在爆发期以前就能够及时发现、预警，对于后期的治理和降低损失是非常有利的。自动化蠕虫、恶意代码等在爆发前需要做大量的探测，扩大其可利用传染、控制途径，因此特定的网络流量时间走势和流量分布会发生明显的变化，就能够在第一时间迅速发现网络流量的异常，并做出及时而准确的流量异常报警和安全响应。
异常流量监测系统通过旁路侦听的方式对网络数据流进行采集、分析和识别，实时监视网络系统的运行状态，并记录网络中的实时流量信息，发现网络流量的异常变化，并可以对带有具体特征的恶意流量进行有效提取和连续性监测，对于用户把握具体的攻击事件产生的异常流量的威胁程度或地址分布具有独特的价值。网络流量的变化过程的相关信息自动进行存储，通过分析可以形成详细的分析报表。
例如，一般的网络带宽占用都比较均匀，假如通过流量监测系统发现某一IP 的流量突然剧增，则可能是该主机在进行网络扫描，或者该主机正在对外大量传播网络蠕虫，这样管理员即可针对性的对该主机进行检查，以避免恶意扫描攻击或者大规模蠕虫传播等事件的发生。
异常流量监测系统可以通过使用单独的硬件化流量引擎来进行流量监测，也可以作为网络入侵检测系统的附加模块进行结合使用，是对网络入侵检测系统的有效补充，也是入侵管理中一个重要组成部分。
对异常流量监测系统的管理控制是可以和网络入侵检测系统的管理控制中心进行同台管理。针对流量监测所需要的连续性观测是通过单独的流量监测中心来完成，提供了多样化的流量显示方式，并产生异常流量的报警信息和异常流量查看。
Powered by Haiwit
