防御-day6-内容安全（入侵检测-IPS，防病毒网关-AV）

一、内容安全

1、华为---IAE引擎

核心技术

        DPI---深度包检测---主要针对完整的数据包（数据包分片，分段需要重组），之后对 数据包的内容进行识别。（应用层）

        DFI---深度流检测---一种基于流量行为的应用识别技术。这种方法比较适合判断P2P流 量。

DPI-DFI结论

1，DFI仅对流量进行分析，所以，只能对应用类型进行笼统的分类，无法识别出具体的应 用；DPI进行检测会更加精细和精准；

2，如果数据包进行加密传输，则采用DPI方式将不能识别具体的应用，除非有解密手段；但 是，加密并不会影响数据流本身的特征，所以，DFI的方式不受影响。 

2、入侵检测（IPS）

IDS --- 侧重于风险管理的设备

IPS --- 侧重于风险控制的设备

IPS的优势：

1，实时的阻断攻击；

2，深层防护---深入到应用层；

3，全方位的防护---IPS可以针对各种常见威胁做出及时的防御，提供全方位的防护；

4，内外兼防---只要是通过设备的流量均可以进行检测，可以防止发自于内部的攻击。

5，不断升级，精准防护 

入侵检测方式

        异常检测---异常检测基于一个假定，即用户行为是可以预测的，遵循一致性模式的；

        误用检测---误用检测其实就是创建了一个异常行为的特征库。我们将一些入侵行为记录下来，总结成 为特征，之