九游老哥云
二十年风沙洗礼，终成参天大树
2020-04-26
随着互联网的迅猛生长，越来越多的商业运动从线下生长到了线上，新模式在带来便当的同时也增添了被攻击的危害。攻击手段与防御手艺此消彼长，作为清静防护系统主要组件的入侵检测与防御系统（简称IDPS）起着举足轻重的作用，回首海内 IDS/IPS 市场的生长，唯有坚持焦点手艺和一连立异的厂商，才华获得恒久稳固的市园职位。
“冰之眼”IDPS 见证了行业的汹涌澎拜及客户一直转变的清静需求，并实时做出自身的调解来顺应这种转变。蓦然回首，随着九游老哥科技的快速生长，“冰之眼”IDPS 已经从一株小树苗长成了一棵参天大树。在它的生长历程中，差别时期的产品团队为其一连注入生命力。
一、海内首家通过 NSS Labs 专业测试
NSS Labs 的 IDPS 评测标准，已经成为业界公认的“试金石”。2010年4月，“冰之眼”IPS 1200 顺遂通过测试，荣获 NSS Labs Approved 认证，并且被NSS Labs认定为最高级别——“Recommended”，成为阻止现在海内唯一获得该认证的产品。
在测试报告中，NSS Labs 对“冰之眼”IPS 做了如下评价：“治理很是简朴，直观得让人惊讶，加载有用的预界说防护战略后，它能够被快速安排到企业网络之中”、“对已知逃避检测手艺的抵御很是完善，在所有相关测试中，均获得 100% 的通过率”、“基于优异的应用清静防护能力，卓越的千兆处置惩罚性能，以及优异的总体拥有本钱，这款产品很是值得用户思量”。
据其时的项目组成员李文瑾和范敦球回忆 ：“这个（项目）印象太深刻了，为了攻击 NSS Labs 测试，团队投入了许多资源，对整个引擎的架构和攻击检测方法做了质的提升，到最后装备入场了，我们还安排天天倒班支持，那段时间很艰难，压力很大，但效果很优美。”NSS Labs 测试通过，也为产品顺遂进入 Gartner 魔力象限 做好了铺垫，一年后，“冰之眼”IPS 乐成进入该报告。
二、从千兆、万兆到百 G，单机性能一连突破
作为直路安排的产品，性能是 IPS 的生命线和基石，在行业集采中，严酷的性能测试项已经成为标配。在“冰之眼”的性能演进中，有两个要害里程碑。
1、首家万兆 IPS
2008 年 12 月，“冰之眼”IPS 产品 4000P 通过中国软件评测中心（CSTC）的测试，成为业界首款通过第三方权威评测的 10G IPS。本次测试对吞吐、时延、配景流量、并发、新建、攻击检测与阻挡率等举行了严酷的测试。其中，网络层性能测试从 64 字节到 1518 字节等多种包长的测试流量下，“冰之眼”4000P 吞吐率均抵达 100%，抵达了双向线速转发，并且对混杂在配景流量中的攻击行为实现 100% 阻挡。应用层性能测试项目，“冰之眼”4000P 在使用 Avalanche/Reflflector 混淆模拟的 HTTP 流量中，能够同时维持处置惩罚凌驾350 万的并发毗连。
据其时研发司理回忆 ：“关于万兆 IPS 产品，是我进团队领的第一个大使命，时间紧、使命重，硬件平台盘算能力有限，我和团队险些天天都加班加点，在引擎架构和流程优化以及仪表使用中摸爬滚打 ......”
2、首家 120G IPS
2016 年某客户 IPS 集采首次招标 80G 产品，这对长于清静攻防检测能力的单体盒式装备为主的九游老哥科技来说是极大的挑战，需要面临长于大容量网络数通处置惩罚的友商硬件战。整个项目的时间很是主要，并且遇到的挑战和难题也是亘古未有的。好比，机框硬件平台计划、软件漫衍式计划、百 G 性测试仪表等都不具备，为了在短期内提升产品性能，产品组、规则组和架构部组成团结攻关团队，测试中前后场细密配合，准期交付样机加入集采，在入场测试中，后端研发今夜加班支持现场测试。最终，IPS 12000A 通过测试并获得较好的集采份额，产品的性能也实现了质的奔腾，TCP 并发 12000 万、TCP 新建 180 万、2544 大包近 200G。
据认真机框产品的研发司理回忆：“高性能机框产品是我接受过的最具挑战性的使命。漫衍式架构团队从未接触过，许多事情都是从零最先、摸着石头过河，一边学习一边设计。仪表也是暂时向友商借用，并且只能在对方下班后用使用。那段时间各人都是夜猫子，团队接纳轮班倒战略。百 G 性能的攻克充分体现了我们是一支 能打硬仗的步队，单机大容量处置惩罚能力为产品拓宽了安排场景，除知足集采外，也为城域网僵木蠕监测市场单机 100G 计划做好了手艺储备，在高性能第一个版本之后，团队也集中资源，在提升产品的稳固性、治理端的易用性等多点发力，力争在更辽阔的国际市场上有所收获”。
成都团队研发司理体现 ：“我们 IPS 引擎有了较大的性能提升，但挖掘的潜力还很大，后续我们还将继续在性能优化上投入研发资源，每个版本都把性能提升和稳固性列入必备项，除包管产品在高端市场一连有竞争力外，在同档位的中低端型号上性能也要横跨友商一截。
三、“硬核”的清静防护能力
“冰之眼”IDPS 在生长演进中，充分体现了九游老哥科技优异的手艺基因，作为清静手艺的集大成者，“冰之眼”IDPS 起劲吸收各清静研究团队的效果，形成了以威胁检测手艺为焦点，同时兼顾上网行为管控、流量治理等几大功效的产品。
流式引擎和并行架构设计
并行加管道混淆式引擎架构，可以充分使用硬件平台的多核盘算优势。与其他实现手艺相比，流式状态解码手艺使得引擎的实时性更强、更高效。
攻击形貌语言与署名库
无邪的攻击形貌语言，加上清静研究实验室支持，现在“冰之眼”IDPS 支持近万条署名库，实现紧迫误差防护署名 24 小时内发 布，例行署名一周内宣布。
APT 检测与防护
关于高级可一连性威胁（APT），古板的简单检测要领无法有用应对，“冰之眼”IDPS 与 APT 检测系统（TAC 装备或者云沙箱） 协同，通过行为剖析和虚拟执行手艺，发明隐藏在流量中的高级恶意代码和恶意回连，并动态调解 IDPS 的防护战略，阻挡恶意流量。
高级恶意代码检测
在恶意代码发明能力上，差别于古板基于署名的手艺，“冰之眼”IDPS 接纳启发式手艺、静态模拟手艺以及虚拟执行等手艺， 对隐藏在流量中的恶意代码识别，能准确阻挡。
威胁情报
差别于通过例行署名分发获得防护能力，“冰之眼”IDPS 通过与威胁情报系统（NTI）联动，可以实时获得对恶意 IP 会见、僵尸网络、恶意 URL 以及高级样本的检测防护能力。
机械学习手艺
关于无显着特征或者特征难以提取的攻击，如 SQL 注入 /XSS 攻击，九游老哥科技清静研究团队通过在云端对 WEB 正常和异常的会见流量举行学习训练，形成基于行为的向量模子，训练后的模子随着例行署名更新宣布，使得装备不依赖于特征即可识别此类攻击。
上网行为治理
应用治理 & 流量控制：接纳了 DFI/DPI 手艺，除支持署名识别手艺外，还可以通过流量行为来精准识别应用/协议，为攻击检测和基于应用的流量控制、上网行为治理等提供准确的依据。
URL 分类过滤：接纳装备外地 + 云端双层过滤手艺，实现对未知分类的识别以及实时更新。
三、知足客户需求，一连立异
果真数据显示，“冰之眼”IDPS 自 2009 起一连 7 年海内市场占有率第一（IDC 报告），一连 6 年入围Gartner IDPS 魔力象限， 并在 2018 年进入“挑战者”象限。清静市场重大多变，系统误差和新型攻击手艺层出不穷，“冰之眼”IDPS 将始终以知足客户清静需求为己任，继续为客户网络提供专业的清静防护。
附录：“冰之眼”IDPS 生长大事记
