入侵防御系统编辑本义项入侵预防系统(IPS: Intrusion Prevention System)是电脑网路安全设施，是对防病毒软件（Antivirus Programs）和防火墙(Packet Filter, Application Gateway)的补充。

入侵预防系统(Intrusion-prevention system)是一部能够监视网络或网络设备的网络资料传输行为的计算机网络安全设备，能够即时的中断、调整或隔离一些不正常或是具有伤害性的网络资料传输行为。

网路安全随着电脑的广泛应用和网路的不断普及，来自网路内部和外部的危险和犯罪也日益增多。

20年前，电脑病毒(电脑病毒)主要通过软盘传播。

后来，用户打开带有病毒的电子信函附件，就可以触发附件所带的病毒。

以前，病毒的扩散比较慢，防毒软体的开发商有足够的时间从容研究病毒，开发防病毒、杀病毒软体。

而今天，不仅病毒数量剧增，质量提高，而且通过网路快速传播，在短短的几小时内就能传遍全世界。

有的病毒还会在传播过程中改变形态，使防毒软体失效。

目前流行的攻击程序和有害代码如 DoS （Denial of Service)，DDoS (Distributed DoS)，暴力猜解(Brut-Force-Attack)，埠扫描(Portscan)，嗅探，病毒，蠕虫，垃圾邮件，木马等等。

此外还有利用软体的漏洞和缺陷钻空子、干坏事，让人防不胜防。

网路入侵方式越来越多，有的充分利用防火墙放行许可，有的则使防毒软体失效。

比如，在病毒刚进入网路的时候，还没有一个厂家迅速开发出相应的辨认和扑灭程序，于是这种全新的病毒就很快大肆扩散、肆虐于网路、危害单机或网路资源，这就是所谓Zero Day Attack。

防火墙可以根据英特网地址（IP-Addresses）或服务埠（Ports）过滤数据包。

但是，它对于利用合法网址和埠而从事的破坏活动则无能为力。

因为,防火墙极少深入数据包检查内容。

每种攻击代码都具有只属于它自己的特征 (signature), 病毒之间通过各自不同的特征互相区别，同时也与正常的应用程序代码相区别。

除病毒软体就是通过储存所有已知的病毒特征来辨认病毒的。

在ISO/OSI网路层次模型(见OSI模型) 中，防火墙主要在第二到第四层起作用，它的作用在第四到第七层一般很微弱。

而除病毒软体主要在第五到第七层起作用。

为了弥补防火墙和除病毒软体二者在第四到第五层之间留下的空档，几年前，工业界已经有入侵侦查系统(IDS: Intrusion Detection System）投入使用。

入侵侦查系统在发现异常情况后及时向网路安全管理人员或防火墙系统发出警报。

可惜这时灾害往往已经形成。

虽然，亡羊补牢，尤未为晚，但是，防卫机制最好应该是在危害形成之前先期起作用。

随后应运而生的入侵防御系统(IRS: Intrusion Response Systems) 作为对入侵侦查系统的补充能够在发现入侵时，迅速作出反应，并自动采取阻止措施。

而入侵预防系统则作为二者的进一步发展，汲取了二者的长处。

入侵预防系统也像入侵侦查系统一样，专门深入网路数据内部，查找它所认识的攻击代码特征，过滤有害数据流，丢弃有害数据包，并进行记载，以便事后分析。

除此之外，更重要的是，大多数入侵预防系统同时结合考虑应用程序或网路传输中的异常情况，来辅助识别入侵和攻击。

比如，用户或用户程序违反安全条例、数据包在不应该出现的时段出现、作业系统或应用程序弱点的空子正在被利用等等现象。

入侵预防系统虽然也考虑已知病毒特征，但是它并不仅仅依赖于已知病毒特征。

应用入侵预防系统的目的在于及时识别攻击程序或有害代码及其克隆和变种，采取预防措施，先期阻止入侵，防患于未然。

或者至少使其危害性充分降低。

入侵预防系统一般作为防火墙和防病毒软体的补充来投入使用。

在必要时，它还可以为追究攻击者的刑事责任而提供法律上有效的证据 (forensic)。

入侵预防技术* 异常侦查。

正如入侵侦查系统, 入侵预防系统知道正常数据以及数据之间关系的通常的样子，可以对照识别异常。

* 在遇到动态代码(ActiveX, JavaApplet,各种指令语言script languages等等)时，先把它们放在沙盘内，观察其行为动向，如果发现有可疑情况，则停止传输，禁止执行。

* 有些入侵预防系统结合协议异常、传输异常和特征侦查，对通过网关或防火墙进入网路内部的有害代码实行有效阻止。

* 核心基础上的防护机制。

用户程序通过系统指令享用资源 (如存储区、输入输出设备、中央处理器等)。

入侵预防系统可以截获有害的系统请求。

* 对Library、Registry、重要文件和重要的文件夹进行防守和保护。

入侵预防系统类型投入使用的入侵预防系统按其用途进一步可以划分为单机入侵预防系统(HIPS: Hostbased Intrusion Prevension System)和网路入侵预防系统(NIPS: Network Intrusion Prevension System）两种类型。

网路入侵预防系统作为网路之间或网路组成部分之间的独立的硬体设备，切断交通，对过往包裹进行深层检查，然后确定是否放行。

网路入侵预防系统藉助病毒特征和协议异常，阻止有害代码传播。

有一些网路入侵预防系统还能够跟踪和标记对可疑代码的回答，然后，看谁使用这些回答信息而请求连接，这样就能更好地确认发生了入侵事件。

根据有害代码通常潜伏于正常程序代码中间、伺机运行的特点，单机入侵预防系统监视正常程序，比如Internet Explorer，Outlook，等等，在它们（确切地说，其实是它们所夹带的有害代码）向作业系统发出请求指令，改写系统文件，建立对外连接时，进行有效阻止，从而保护网路中重要的单个机器设备，如伺服器、路由器、防火墙等等。

这时，它不需要求助于已知病毒特征和事先设定的安全规则。

总地来说，单机入侵预防系统能使大部分钻空子行为无法得逞。

我们知道，入侵是指有害代码首先到达目的地，然后干坏事。

然而，即使它侥幸突破防火墙等各种防线，得以到达目的地，但是由于有了入侵预防系统，有害代码最终还是无法起到它要起的作用，不能达到它要达到的目的。

2000年：Network ICE公司在2000年9月18日推出了业界第一款IPS 产品—BlackICE Guard，它第一次把基于旁路检测的IDS技术用于在线模式，直接分析网络流量，并把恶意包丢弃。

2002～2003年：这段时期IPS 得到了快速发展。

当时随着产品的不断发展和市场的认可，欧美一些安全大公司通过收购小公司的方式获得IPS技术，推出自己的IPS产品。

比如ISS公司收购Network ICE公司，发布了Proventia；NetScreen公司收购OneSecure公司，推出NetScreen-IDP；McAfee公司收购Intruvert公司，推出IntruShield。

思科、赛门铁克、TippingPoint等公司也发布了IPS 产品。

2005年9月绿盟科技发布国内第一款拥有完全自主知识产权的IPS产品，2007年联想网御、启明星辰、天融信等国内安全公司分别通过技术合作、OEM等多种方式发布各自的IPS产品网闸（GAP）全称安全隔离网闸。

安全隔离网闸是一种由带有多种控制功能专用硬件在电路上切断网络之间的链路层连接，并能够在网络间进行安全适度的应用数据交换的网络安全设备。

目录展开安全隔离网闸的硬件设备由三部分组成:外部处渗入，安全性无法保证。

在这种情况下，安全隔离网闸能够同时满足这两个要求，弥补了物理隔离卡和防火墙的不足之处，是最好的选择。

（二）对网络地隔离是通过网闸隔离硬件实现两个网络在链路层断开，但是为了交换数据，通过设计的隔离硬件在两个网络对应的上进行切换，通过对硬件上的存储芯片的读写，完成数据的交换。

（三）安装了相应的应用模块之后，安全隔离网闸可以在保证安全的前提下，使用户可以浏览网页、收发电子邮件、在不同网络上的数据库之间交换数据，并可以在网络之间交换定制的文件。

主要性能指标和功能性能指标安全隔离网闸的主要性能指标有那些呢？其性能指标包括：系统数据交换速率：120Mbps硬件切换时间：5ms主要功能1。

有哪些功能模块：安全隔离闸门的功能模块有：安全隔离、内核防护、协议转换、病毒查杀、访问控制、安全审计、身份认证2。

防止未知和已知木马攻击：为什么说安全隔离网闸能够防止未知和已知木马攻击？通常见到的木马大部分是基于TCP的，木马的客户端和服务器端需要建立连接，而安全隔离网闸由于使用了自定义的私有协议（不同于通用协议）。

使得支持传统网络结构的所有协议均失效，从原理实现上就切断所有的TCP连接，包括UDP、ICMP 等其他各种协议，使各种木马无法通过安全隔离网闸进行通讯。

从而可以防止未知和已知的木马攻击。

3。

具有防病毒措施：安全隔离网闸具有防病毒措施吗？作为提供数据交换的隔离设备，安全隔离网闸上内嵌病毒查杀的功能模块，可以对交换的数据进行病毒检查。

与物理隔离卡的区别安全隔离网闸与物理隔离卡最主要的区别是，安全隔离网闸能够实现两个网络间的自动的安全适度的信息交换，而物理隔离卡只能提供一台计算机在两个网之间切换，并且需要手动操作，大部分的隔离卡还要求系统重新启动以便切换硬盘。

与路由器、交换机在网络之间交换信息的区别安全隔离网闸在网路间进行的安全适度的信息交换是在网络之间不存在链路层连接的情况下进行的。

安全隔离网闸直接处理网络间的应用层数据，利用存储转发的方法进行应用数据的交换，在交换的同时，对应用数据进行的各种安全检查。

路由器、交换机则保持链路层畅通，在链路层之上进行IP包等网络层数据的直接转发，没有考虑网络安全和数据安全的问题。

与防火墙的区别防火墙一般在进行IP包转发的同时，通过对IP包的处理，实现对TCP会话的控制，但是对应用数据的内容不进行检查。

这种工作方式无法防止泄密，也无法防止病毒和黑客程序的攻击。

能取代防火墙吗？无论从功能还是实现原理上讲，安全隔离网闸和防火墙是完全不同的两个产品，防火墙是保证网络层安全的边界安全工具（如通常的非军事化区），而安全隔离网闸重点是保护内部网络的安全。

因此两种产品由于定位的不同，因此不能相互取代。

单系统的设备是安全隔离网闸吗？单系统的设备如（信息流转器）不是安全隔离网闸设备。

类似的单系统一旦系统遭受到攻击，攻击者完全有可能在单系统的两张网卡之间建立起路由，从而内部网络会完全暴露。

隔离硬件需要专用硬件吗？需要，隔离硬件一般都由GAP厂商提供，其中对高速切换装置的切换频率要求非常高。

与用1394设备连接的网闸的区别使用专用隔离硬件的安全隔离网闸的安全隔离是在硬件上实现的，在隔离硬件上固化了模拟开关，无法通过软件编程方式进行改变；而通过1394或者串口连接两台或多台系统，其上的隔离切换实质上是通过软件来实现的，其安全性和用标准以太网卡相连的两台PC无异。