Защита внешнего периметра. Системы обнаружения вторжений(ids).
Обнаружение вторжений представляет собой процесс выявления несанкционированного доступа (или попыток несанкционированного доступа) к ресурсам автоматизированной системы. Система обнаружения вторжений (Intrusion Detection
System, IDS) [12] в общем случае представляет собой программно-аппаратный комплекс, решающий данную задачу.
Общая структура IDS приведена на рис. 1.3.6.2:
Как видно из рисунков, функционирование систем IDS во многом аналогично межсетевым экранам: сенсоры получают сетевой трафик, а ядро путём сравнения полученного трафика с записями имеющейся базы сигнатур атак пытается выявить следы попыток несанкционированного доступа. Модуль ответного реагирования представляет собой опциональный компонент, который может быть использован для оперативного блокирования угрозы: например, может быть сформировано правило для межсетевого экрана, блокирующее источник нападения.
Существуют две основных категории систем IDS:
1. IDS уровня сети. В таких системах сенсор функционирует на выделенном для этих целей хосте в защищаемом сегменте сети. Обычно сетевой адаптер данного хоста функционирует в режиме прослушивания (promiscuous mode), что позволяет анализировать весь проходящий в сегменте сетевой трафик.
2. IDS уровня хоста. В случае, если сенсор функционирует на уровне хоста, для анализа может быть использована следующая информация: - записи стандартных средств протоколирования операционной системы;
- информация об используемых ресурсах;
- профили ожидаемого поведения пользователей.
Каждый из типов IDS имеет свои достоинства и недостатки. IDS уровня сети не снижают общую производительность системы, однако IDS уровня хоста более эффективно выявляют атаки и позволяют анализировать активность, связанную с отдельным хостом. На практике целесообразно использовать системы, совмещающие оба описанных подхода.
Существуют разработки, направленные на использование в системах IDS методов искусственного интеллекта. Стоит отметить, что в настоящее время коммерческие продукты не содержат таких механизмов.
Защита внешнего периметра. Системы предотвращения вторжений(ips).
Система предотвращения вторжений (Intrusion Prevention System) — программная или аппаратная система сетевой и компьютерной безопасности, обнаруживающая вторжения или нарушения безопасности и автоматически защищающая от них.
Системы IPS можно рассматривать как расширение систем обнаружения вторжений (IDS), так как задача отслеживания атак остается одинаковой. Но они отличаются в том, что IPS должна отслеживать активность в реальном времени и быстро реализовывать действия по предотвращению атак.
Возможные меры:
блокировка потоков трафика в сети
сброс соединений
выдача сигналов оператору.
Также IPS могут выполнять дефрагментацию и переупорядочивание сетевых пакетов для защиты от пакетов с измененными номерами и данными.
Классификация:
Сетевые IPS (Network-based Intrusion Prevention, NIPS): отслеживают трафик в компьютерной сети и блокируют подозрительные потоки данных.
IPS для беспроводных сетей (Wireless Intrusion Prevention Systems, WIPS): проверяет активность в беспроводных сетях. В частности, обнаруживает:
неверно сконфигурированные точки беспроводного доступа к сети;
атаки человек посередине (при к-ой атакующий субъект м/у субъектами инф. объекта может перехватывать и заменять данные обмена);
спуфинг mac-адресов (метод изменения MAC-адреса сетевого устройства, позволяет обойти список контроля доступа к серверам, маршрутизаторам, скрыть компьютер, что может нарушить работоспособность сети).
Поведенческий анализ сети (Network Behavior Analysis, NBA): анализирует сетевой трафик, идентифицирует нетипичные потоки, к-ые вызваны определ. видами атаки (DOS - атаки).
Система предотвращения вторжений для отдельных компьютеров (Host-based Intrusion Prevention, HIPS): резидентные программы, обнаруживающие подозрительную активность на компьютере.
Классические HIPS – предоставляют информ. об активности приложения. Решение о разрешении или запрете операции принимает пользователь.
Эксперт HIPS – способны самостоятельно принимать решения о блокировки активности, исходя из правил, к-ые заложены разработчиком.