1、应用层威胁介绍
今天，各种蠕虫、间谍软件、网络钓鱼等应用层威胁和EMAIL、移动代码结合，形成复合型威胁，使威胁更加危险和难以抵御。这些威胁直接攻击企业核心服务器和应用，给企业带来了重大损失；攻击终端用户计算机，给用户带来信息风险甚至财产损失；对网络基础设施进行DoS/DDoS攻击，造成基础设施的瘫痪；更有甚者，像电驴、BT等P2P应用和MSN、QQ等即时通信软件的普及，企业宝贵带宽资源被业务无关流量浪费，形成巨大的资源损失。面对这些问题，传统解决方案最大的问题是，防火墙工作在TCP/IP 3~4层上，根本就“看”不到这些威胁的存在，而IDS作为一个旁路设备，对这些威胁又“看而不阻”，因此我们需要一个全新的安全解决方案。
在解决问题之前，我们需要先了解一下应用层威胁的形式和原理。所谓应用层威胁，主要包括入蠕虫、木马、间谍软件、带宽滥用、DDoS攻击、网页篡改等。下面我们重点介绍一下蠕虫、间谍软件、带宽滥用这三个典型的应用层威胁。
蠕虫
蠕虫的定义是指“通过计算机网络进行自我复制的恶意程序，泛滥时可以导致网络阻塞和瘫痪”。从本质上讲，蠕虫和病毒的最大的区别在于蠕虫是通过网络进行主动传播的，而病毒需要人的手工干预（如各种外部存储介质的读写）。但是时至今日，蠕虫往往和病毒、木马和DDoS等各种威胁结合起来，形成混合型蠕虫。
蠕虫有多种形式，包括系统漏洞型蠕虫、群发邮件型蠕虫、共享型蠕虫、寄生型蠕虫和混和型蠕虫。其中最常见，变种最多的蠕虫是群发邮件型蠕虫，它是通过EMAIL进行传播的，著名的例子包括“求职信”、“网络天空NetSky”、“雏鹰 BBeagle”等，2005年11月爆发的“Sober”蠕虫，也是一个非常典型的群发邮件型蠕虫。群发邮件型蠕虫的防治主要从邮件病毒过滤和防垃圾邮件上入手。
下面我们重点谈谈“系统漏洞型蠕虫”，系统漏洞型蠕虫利用客户机或者服务器的操作系统、应用软件的漏洞进行传播，成为目前最具有危险性的蠕虫。以冲击波蠕虫为例，它就是利用Microsoft RPC DCOM 缓冲区溢出漏洞进行传播的。系统漏洞型蠕虫传播快，范围广、危害大。例如2001年CodeRed的爆发给全球带来了20亿美金的损失，而SQL Slammer只在10分钟内就攻破了全球。由于系统漏洞型蠕虫都利用了软件系统在设计上的缺陷，并且他们的传播都利用现有的业务端口，因此传统的防火墙对其几乎是无能为力。实际上，系统漏洞是滋生蠕虫的温床，而网络使得他们可以恣意妄为。
间谍软件
网络安全专家对于什么是“间谍软件”一直在讨论。根据微软的定义，“间谍软件是一种泛指执行特定行为，如播放广告、搜集个人信息、或更改你计算机配置的软件，这些行为通常未经你同意”。
严格说来，间谍软件是一种协助搜集（追踪、记录与回传）个人或组织信息的程序，通常是在不提示的情况下进行。广告软件和间谍软件很像，它是一种在用户上网时透过弹出式窗口展示广告的程序。这两种软件手法相当类似，因而通常统称为间谍软件。而有些间谍软件就隐藏在广告软件内，透过弹出式广告窗口入侵到计算机中，使得两者更难以清楚划分。
间谍软件主要通过Active X控件下载安装、IE浏览器漏洞和免费软件绑定安装进入用户的计算机中，间谍软件的危害主要体现如下：
1、 间谍软件对企业已形成隐私与安全上的重大威胁。这些入侵性应用程序搜集包括信用卡号码、密码、银行账户信息、健康保险记录、电子邮件和用户存取数据等敏感和机密的公司信息后，将之传给不知名的网站而危及公司利益。
2、 而由间谍软件所产生的大批流量也可能消耗公司网络带宽，导致关键应用系统出现拥塞、延迟以及丢包的情况。
3、 许多间谍软件写得很差，在进入企业网络后可能产生新的漏洞，或是造成工作站使用时出现性能问题，如屏幕冻结、不定期变慢与通用保护错误等等。
由于间谍软件主要通过80端口进入计算机，也通过80端口向外发起连接，因此传统的防火墙无法有效抵御，必须通过应用层内容的识别进行采取相关措施。
带宽滥用
“带宽滥用”是指对于企业网络来说，非业务数据流（如P2P文件传输与即时通讯等）消耗了大量带宽，轻则影响企业业务无法正常运作，重则致使企业IT系统瘫痪。所谓P2P，全称叫做“Peer-to-Peer”，即对等互联网络技术，也叫点对点网络技术，它让用户可以直接连接到其它用户的计算机，进行文件共享与交换。
图 业务模型从C/S向P2P转移
P2P改变了传统的C/S架构模式，使得互联网资源共享的带宽不再受制于服务器的网卡的速度，而取决于参与共享的计算机的总的网卡带宽。例如，英国网络流量统计公司CacheLogic表示,去年全球有超过一半的文件交换是通过BT进行的，BT占了互联网总流量的35％，使得浏览网页这些主流应用所占的流量相形见绌。
P2P的典型应用包括两类：
1、 文件共享型P2P应用，包括BT、eMule、eDonkey等等
2、 IM即时通讯软件，如QQ、MSN、Skypy等等
带宽滥用给网络带来了新的威胁和问题，甚至影响到企业ＩＴ系统的正常运作，它使用户的网络不断扩容但是还是不能满足“P2P对带宽的渴望”，大量的带宽浪费在与工作无关流量上，造成了投资的浪费和效率的降低。另一方面，P2P使得文件共享和发送更加容易，带来了潜在的信息安全风险。
2、深度安全保护
面对日益猖獗的应用层威胁，入侵防御系统（IPS，Intrusion Prevention System）应运而生。DPtech系列IPS，具备对2层到7层流量的深度分析与检测能力，同时配合以精心研究的攻击特征知识库、病毒库和应用协议库，既可以有效检测并实时阻断隐藏在海量网络流量中的病毒、攻击与滥用行为，也可以对分布在网络中的各种流量进行有效管理，从而达到对网络上应用的保护、网络基础设施的保护和网络性能的保护。
DPtech系列IPS可以被“in-line”地部署到网络当中去，对所有流经的流量进行深度分析与检测，从而具备了实时阻断攻击的能力，同时对正常流量不产生任何影响。基于其高速和可扩展的硬件平台，DPtech系列IPS 不断优化检测性能，使其能够达到千兆级的高吞吐量和微秒级低延时，同时可以对所有主要网络应用进行分析，精确鉴别和阻断攻击。DPtech系列IPS的出现使得应用层威胁问题迎刃而解。
在具备高速检测功能的同时，威胁过滤引擎还提供流量控制和分析功能，可以自动统计和计算正常状况下网络内各种应用流量的分布，并且基于该统计形成流量框架模型；当DoS/DDoS攻击发生，或者短时间内大规模爆发的病毒导致网络内流量发生异常时，DPtech系列IPS将根据已经建立的流量框架模型限制或者丢弃异常流量，保证关键业务的可达性和通畅性。此外，为防止大量的P2P、IM流量侵占带宽，DPtech系列IPS还支持对100多种P2P/IM应用的限速功能，保证关键应用所需的带宽。
