2.7 Архитектура ids

Все системы обнаружения атак могут быть построены на основе двух архитектур: "автономный агент" и "агент-менеджер". В первом случае на каждый защищаемый узел или сегмент сети устанавливаются агенты системы, которые не могут обмениваться информацией между собой, а также не могут управляться централизовано с единой консоли. Этих недостатков лишена архитектура "агент-менеджер".

Приведём список компонент, из которых должна состоять типичная система обнаружения атак.

Графический интерфейс. Графический интерфейс должен соответствовать стандартам де-факто для Windows и Unix.

Подсистема управления компонентами. Данная подсистема позволяет управлять различными компонентами системы обнаружения атак. Управление может осуществляться, как при помощи внутренних протоколов и интерфейсов, так и при помощи уже разработанных стандартов, например, SNMP. Под термином "управление" понимается как возможность изменения политики безопасности для различных компонентов системы обнаружения атак (например, модулей слежения), так и получение информации от этих компонент (например, сведения о зарегистрированной атаке).

Подсистема обнаружения атак - основной компонент системы обнаружения атак, который осуществляет анализ информации, получаемой от модуля слежения.

Подсистема реагирования - осуществляющая реагирование на обнаруженные атаки и иные контролируемые события.

Модуль слежения обеспечивающий сбор данных из контролируемого пространства (журнала регистрации или сетевого трафика). У разных производителей называется также сенсором (sensor), монитором (monitor), зондом (probe) и т.д. В зависимости от архитектуры построения системы обнаружения атак может быть физически отделен (архитектура "агент-менеджер") от других компонентов, т.е. находиться на другом компьютере.

База знаний. База может пополняться производителем системы обнаружения атак, пользователем системы или третьей стороной, например, аутсорсинговой компанией, осуществляющей поддержку этой системы.

Хранилище данных - обеспечивает хранение данных, собранных в процессе функционирования системы обнаружения атак.

Методы реагирования

В существующих системах применяется широкий спектр методов реагирования, которые можно условно разделить на 3 категории: уведомление, хранение и активное реагирование.

Уведомление. Таким механизмом является воспроизведение звукового сигнала, посылка сообщений атаке на консоль системы обнаружения атак, по электронной почте, на пейджер, по факсу или по телефону. Последние два варианта присутствуют только в системе обнаружения атак RealSecure американской компании Internet Security Systems, Inc.

К категории "уведомление" относится также посылка управляющих последовательностей к другим системам. Например, к системам сетевого управления (HP OpenView, Tivoli TMEIO, CA Unicenter и т.д.) или к межсетевым экранам (Checkpoint Firewall-1, Lucent Managed Firewall, Raptor Firewall и т.д.). В первом случае используется стандартизованный протокол SNMP, а во втором - внутренние или стандартизованные (например, SAMP) протоколы.

Сохранение. К категории "сохранение" относятся два варианта реагирования:

1. регистрация события в базе данных, и т.н. "сохранение свидетельств" - необработанных (raw) пакетов в tracefile-файле для последующего анализа;

2. воспроизведение атаки в реальном масштабе времени - позволяет администратору безопасности воспроизводить в реальном масштабе времени (или с заданной скоростью) все действия, осуществляемые атакующим. Это позволяет не только проанализировать "успешные" атаки и предотвратить их в дальнейшем, но и использовать собранные данные для разбирательств.

Активное реагирование. К этой категории относятся следующие варианты реагирования: блокировка работы атакующего, завершение сессии с атакующим узлом, управлением сетевым оборудованием и средствами защиты. Эта категория механизмов реагирования, с одной стороны, достаточно эффективна, а с другой, использовать их надо очень аккуратно, т.к. неправильная их эксплуатация может привести к нарушению работоспособности всей вычислительной системы.