入侵防御系统 (IPS) 是一种网络安全工具，可监控网络流量并对其进行分析以查找恶意活动或违反策略的迹象。如果检测到此类活动，则 IPS 可以采取各种措施来防止活动成功。这些操作可能包括阻止流量、向安全管理员发送警报或隔离违规流量。IPS 也称为入侵检测系统 (IDS)，旨在实时检测和预防安全威胁，而不是等待检测到威胁并在事后进行处理。这使得IPS 成为整体安全策略的重要组成部分，因为它可以帮助保护网络和系统免受可能无法检测到的攻击。
符合 PCI DSS 合规性的 IPS
PCI DSS 代表支付卡行业数据安全标准。它制定了安全标准，以确保所有接受、处理、存储或传输信用卡信息的公司都保持安全的环境。PCI DSS 由支付卡行业安全标准委员会 (PCI SSC) 开发，该委员会由主要支付卡品牌（Visa、Mastercard、American Express、Discover 和 JCB）组成。这些标准旨在帮助保护持卡人数据免遭未经授权的访问、使用或披露。为遵守PCI DSS，公司必须满足安全要求，包括网络架构、安全管理和访问控制。
PCI DSS 要求 11.4
PCI DSS 要求 11.4 指出，组织必须采用检测和预防技术来减轻网络入侵。组织可以使用 IPS 来监控其网络活动，并在检测到任何可疑活动时向安全管理员发出警报以满足此要求，并实施主动安全措施来阻止威胁。
根据 PCI DSS 要求 11.4，组织必须实施控制以检测和防止网络入侵、保护持卡人数据环境 (CDE) 并维护其系统的安全性。这些控件包括：
- 使用 IPS 技术监控和保护网络免受安全威胁。
- 监控 CDE 中的所有流量以及 CDE 中的关键点，以识别潜在的安全问题。
- 提醒员工注意潜在的安全威胁。
- 保持入侵检测和防御引擎、签名和基线为最新，以确保组织的安全系统有效。
符合 GDPR 的 IPS
通用数据保护条例 (GDPR) 是欧盟法律中关于欧盟 (EU) 和欧洲经济区 (EEA) 内所有个人的数据保护和隐私的条例。它还解决了将个人数据导出到欧盟和欧洲经济区以外的问题。GDPR 加强和扩大了个人控制其数据收集、使用和共享方式的权利，并对处理个人数据的组织规定了多项新义务。
GDPR 要求组织采取适当的技术和组织措施来保护个人数据免遭未经授权的访问、使用或披露。IPS 可以通过实时检测和预防安全威胁来帮助组织满足这一要求。这有助于通过阻止试图从组织系统中泄露数据的流量来确保个人数据的机密性。
符合 HIPAA 要求的 IPS
健康保险流通与责任法案 (HIPAA) 是一项美国联邦法律，它制定了保护某些健康信息的标准。HIPAA 旨在确保受保护健康信息 (PHI) 的隐私和安全，同时允许在患者护理或其他授权目的必要时适当使用和披露此信息。
HIPAA 适用于范围广泛的组织和个人，包括医疗保健提供者、健康计划和医疗保健信息交换所，以及代表他们处理 PHI 的业务伙伴。HIPAA 规定了处理 PHI 的若干要求，包括保护数据的物理、技术和管理保障措施的要求。
违反 HIPAA 可能导致适用实体及其业务伙伴受到民事和刑事处罚。HIPAA 还赋予个人在认为不正确时请求访问其 PHI 和更正的权利。HIPAA 安全规则 164.306 规定了处理 PHI 的组织的安全义务，包括：
- 确保电子 PHI 的机密性、完整性和可用性。
- 防止预期的 PHI 滥用和其他安全威胁。
- 确保所有员工都遵守 HIPAA 要求。
入侵防御系统 (IPS) 对于HIPAA 合规性很重要，因为它们可以帮助涵盖的实体及其业务伙伴保护相关的健康信息。
如何为受监管行业选择入侵防御系统
检测能力
具有强大检测能力的 IPS 更有可能识别和阻止范围更广的威胁，这有助于更好地保护网络或系统。有几个因素会影响 IPS 的检测能力，包括它旨在检测的威胁类型、它用于分析流量的算法和技术，以及可能的定制和调整级别。一些 IPS 产品提供范围广泛的检测选项，而其他 IPS 产品可能在它们能够检测的威胁类型方面更为有限。
在评估 IPS 时，重要的是要考虑 IPS 旨在检测的特定安全威胁和策略违规，以及其检测功能的整体有效性。这将有助于确保 IPS 非常适合组织的需求并能够提供所需的保护级别。在大多数情况下，组织应该结合多种检测方法来覆盖范围广泛的威胁。
情境分析
这很重要，因为它决定了 IPS 理解和解释流量发生环境的能力。安全威胁或策略违规通常取决于它们发生的环境。例如，具有强大上下文理解能力的 IPS 可能能够区分正常网络流量和属于安全威胁的流量，例如分布式拒绝服务 (DDoS) 攻击。这可以帮助 IPS 更准确地识别和预防威胁，而不是错误地阻止合法流量。
一些 IPS 产品提供了广泛的上下文理解功能，例如分析网络堆栈不同层的流量以及了解不同类型流量之间关系的能力。其他 IPS 产品的上下文理解能力可能更为有限。在评估 IPS 时，重要的是要考虑 IPS 能够提供的上下文理解级别，以及如何使用这种上下文理解来识别和预防威胁。
威胁情报
威胁情报是指有关当前和新出现的安全威胁的信息，可用于改善组织的安全状况。可以访问范围广泛的威胁情报来源并能够使用这些情报来识别和预防威胁的 IPS 更有可能有效地保护网络或系统。这是因为这样的 IPS 将能够及时了解最新的安全威胁，并使用此信息来识别和防止可能无法检测到的威胁。
IPS 可以通过多种方式使用威胁情报，包括通过分析流量的妥协指标 (IOC) 以及使用机器学习算法来识别与安全威胁相关的行为模式。一些 IPS 产品提供他们的威胁情报源，而其他产品可以配置为使用第三方威胁情报源。
结论
一些合规性标准要求使用入侵防御系统 (IPS)。最重要的标准包括 PCI DSS、GDPR 和 HIPAA，它们要求组织实施 IPS 作为其安全策略的一部分。正确的 IPS 可以帮助企业保护其网络和系统免受安全威胁，并证明符合这些标准和其他合规标准。
