การเพิ่ม WAF (Web Application Firewall) ด้วย IPS (Intrusion Prevention System) เหมาะสมหรือไม่?

คำถาม: มีมูลค่าเพิ่มใดๆ ในสถานการณ์สมมตินี้หรือไม่ที่จะมี มีโซลูชัน IPS / Deep Package Inspection หรือไม่ จากทั้งหมด I เข้าใจ: ไม่ แต่ฉันไม่พบคำตอบที่ชัดเจน

ในการตอบคำถาม ขั้นแรกให้แกะคำสำคัญ "ค่า" ออกก่อน สิ่งที่เรากำลังทำอยู่นี้คือการถามว่า "ค่าของการควบคุมความปลอดภัยคืออะไร"

การควบคุมความปลอดภัย (WAFs, IPSs, ไฟร์วอลล์ SPI เป็นตัวอย่างของการควบคุมความปลอดภัยทางเทคนิค) ถูกนำมาใช้เพื่อจัดการความเสี่ยง การควบคุมความปลอดภัยที่มีต้นทุนสูงกว่าการสูญเสียที่คาดไว้เมื่อเวลาผ่านไปโดยไม่มีการควบคุม โดยทั่วไปจะไม่ถูกนำมาใช้ และการควบคุมที่มีต้นทุนน้อยกว่าการสูญเสียที่คาดไว้เมื่อเวลาผ่านไปจะถูกนำมาใช้แทน

ไม่ว่าจะมีค่าใดๆ ในการใส่ IPS เมื่อไฟร์วอลล์ถูกจำกัดไว้ที่หนึ่งพอร์ตและ WAF อยู่ในตำแหน่งนั้นกำลังถามคำถามนี้จริงๆ: การสูญเสียที่คาดไว้ขึ้นอยู่กับวิธีการตั้งค่าทุกอย่างในขณะนั้น ลบด้วยการสูญเสียที่คาดไว้หลังจาก IPS มี มีราคาสูงกว่าต้นทุนของ IPS ถ้าคำตอบคือ ใช่ แล้วไม่มี ค่า ในการติดตั้ง IPS เนื่องจากค่าใช้จ่ายในการติดตั้งนั้นสูงกว่าประโยชน์ที่ได้รับ นี่คือตัวอย่างของกระบวนการจัดการความเสี่ยงในการดำเนินการ

เมื่อพูดถึงสถานการณ์เฉพาะนี้ มีข้อมูลไม่เพียงพอที่จะตอบคำถามได้อย่างชัดเจน คำตอบทางเทคนิคใด ๆ ที่ได้รับจะไม่ทำเช่นนั้น แม้ว่าเราจะมีข้อมูลทั้งหมดซึ่งจะกว้างขวาง แต่ก็มีรูปแบบต่างๆ เพียงพอในการคำนวณความเสี่ยงที่เราไม่สามารถทำอะไรได้นอกจากให้ "วิธีการทำ" และอาจเป็นคำตอบ Serverfault ที่ยาวที่สุดเท่าที่เคยมีมา :-)

โดยทั่วไปแล้ว สิ่งเหล่านี้เป็นพื้นที่ที่ IPS (เราจะรวม HIPS และ NIPS ที่นี่เพื่อความง่าย) มอบโอกาสที่คุ้มค่าเมื่อนำไปใช้ร่วมกับโซลูชันที่มีอยู่:

1. สำหรับกรณีที่มีการทำงานแบบครอสโอเวอร์ เป็นตัวควบคุมสำรอง หากไฟร์วอลล์หรือ WAF ได้รับการกำหนดค่าผิดหรือถูกบุกรุก ไม่ตรวจจับภัยคุกคาม หรือตรวจจับภัยคุกคามด้วยวิธีอื่น ซึ่งจะเป็นการเพิ่มโอกาสในการตรวจจับเทคนิคการหลบเลี่ยงการตรวจจับ
2. สำหรับกรณีที่ IPS ให้การป้องกันเพิ่มเติมที่ยังไม่มีให้ ขึ้นอยู่กับผลิตภัณฑ์และการใช้งาน แต่อาจรวมถึงสิ่งต่างๆ เช่น...
   • การปิดกั้นที่อยู่ IP ที่เป็นอันตราย
   • การบล็อกตามความสัมพันธ์ของเหตุการณ์ - เช่น IP ที่ถูกมองว่าเป็นการสแกนพอร์ตก่อนที่จะส่งคำขอ HTTP
   • ป้องกัน / ตรวจจับการแก้ไขไฟล์โดยกระบวนการที่ไม่ได้รับอนุญาต
   • อื่น ๆ อีกมากมาย
3. เพื่อการมองเห็นที่เพิ่มขึ้น โดยทั่วไปแล้ว IPS จะสามารถให้คุณมองเห็นภาพรวมของภัยคุกคามได้มากขึ้น เนื่องจากมันกำลังดูสิ่งที่เกิดขึ้นในสภาพแวดล้อมมากขึ้น ไม่ใช่แค่การเข้าชมเว็บ

โดยสรุป IPS จะมีมูลค่าหรือไม่นั้นขึ้นอยู่กับความเสี่ยง มีบางสถานการณ์ที่ใคร ๆ จะเลือกใส่ IPS ในสถานการณ์นี้แม้ว่าจะมีเพียงความซ้ำซ้อนและไม่มีฟังก์ชันเพิ่มเติมก็ตาม - แนวทาง "เข็มขัดและตัวยึด" หากปกป้องเว็บไซต์ส่วนบุคคล อาจจะไม่คุ้มค่า หากปกป้องทรัพย์สินทางปัญญามูลค่าหลายพันล้านดอลลาร์ ก็น่าจะมีมูลค่ามากกว่า