8-Trend Micro Cloud One - Workload Security Technical Essentials：保護伺服器免受弱點攻擊

Intrusion Prevention

Intrusion Prevention 模組可保護電腦免受已知及零時差弱點攻擊，也能防範 SQL 資料隱碼攻擊（SQL Injection）、跨網站腳本攻擊（XSS）及其他 Web 應用程式弱點攻擊。

運作方式

Firewall 主要檢查網路層及傳輸層的封包控制資訊，例如 IP、TCP 與 UDP 標頭。Intrusion Prevention 則依照規則分析工作階段、應用層、封包承載內容及封包順序。如果流量符合規則所定義的攻擊條件，Agent 會依規則丟棄封包或重設連線。

防護功能

虛擬修補

當應用程式或作業系統的原廠修補程式尚未提供，或仍在測試及部署期間，Intrusion Prevention 規則可以攔截企圖利用相關弱點的流量，暫時保護主機。完成修補並確認不再需要該項防護後，便可解除指派對應規則。

虛擬修補不能取代定期安裝安全性更新。伺服器套用大量 Intrusion Prevention 規則可能影響系統效能，因此應定期確認每項規則是否仍有必要。對於已停止原廠支援的作業系統，也應規劃升級至受支援版本，而不能以虛擬修補取代版本升級。

通訊協定異常偵測

部分 Intrusion Prevention 規則會偵測及阻擋不符合通訊協定規格的流量，例如封包片段、缺少必要旗標的封包，以及其他類似異常。

通訊協定控制

點對點通訊或聊天程式會使用特定且可辨識的通訊協定。Intrusion Prevention 規則可辨識這類流量，藉此偵測或阻擋 Skype、檔案分享工具等特定應用程式的流量。

Web 應用程式防護

Intrusion Prevention 提供規則來防範常見的 Web 應用程式攻擊，例如跨網站腳本攻擊及 SQL 資料隱碼攻擊，也可作為輕量型 Web 應用程式防火牆（WAF）。

Intrusion Prevention 行為

您可以在策略或個別電腦中設定 Intrusion Prevention 的行為。

Detect

初次套用一組新的 Intrusion Prevention 規則時，應先使用 Detect，確認規則不會干擾正常流量。此模式會偵測符合規則的流量並產生事件，但不會阻擋流量。確認沒有誤判後，再切換至 Prevent。

Prevent

Prevent 會偵測符合規則的流量、產生事件並阻擋流量。Prevent 只有在 Workload Security 網路引擎以 Inline Mode 運作時才會阻擋流量；此時流量會由 Agent 上的網路引擎進行即時檢查。

規則覆寫

在策略或電腦層級將 Intrusion Prevention 設為 Prevent 後，仍可將個別規則設為 Detect Only。該規則只會記錄符合條件的流量，不會加以阻擋；其他未覆寫的規則則繼續依模組的 Prevent 行為運作。

若 Intrusion Prevention 在策略或電腦層級設為 Detect，個別規則不能將行為提升為阻擋。部分趨勢科技規則預設使用 Detect Only。例如，郵件用戶端規則若使用 Prevent，可能阻擋所有郵件下載，因此通常先使用 Detect Only。另有些規則只有在相同條件出現多次，或在指定期間內達到設定次數時才會觸發，因為單次出現可能屬於正常行為。部分規則則只能使用 Detect Only。需要額外設定的規則也應先維持 Detect Only，完成設定及測試後再改為 Prevent。

Intrusion Prevention 設定可在策略階層的任何層級指定。啟用繼承的子策略會沿用上層策略的設定；如需不同設定，可在子策略或電腦層級建立覆寫。由上層策略指派的規則，則不能在下層解除指派。