Билет№22

Система обнаружения вторжений (СОВ) — программное или аппаратное средство, предназначенное для выявления фактов неавторизованного доступа в компьютерную системуили сеть либо несанкционированного управления ими в основном через Интернет. Соответствующий английский термин — Intrusion Detection System (IDS). Системы обнаружения вторжений обеспечивают дополнительный уровень защиты компьютерных систем.Системы обнаружения вторжений используются для обнаружения некоторых типов вредоносной активности, которая может нарушить безопасность компьютерной системы.

Межсетевой экран или сетевой экран — комплекс аппаратных или программных средств, осуществляющий контроль и фильтрацию проходящих через него сетевых пакетов в соответствии с заданными правилами.Основной задачей сетевого экрана является защита компьютерных сетей или отдельных узлов от несанкционированного доступа. Также сетевые экраны часто называют фильтрами, так как их основная задача — не пропускать (фильтровать) пакеты, не подходящие под критерии, определённые в конфигурации.Некоторые сетевые экраны также позволяют осуществлять трансляцию адресов — динамическую замену внутрисетевых (серых) адресов или портов на внешние, используемые за пределами ЛВС.

Существуют документы по защите информации, описывающие циркулирующую в информационной системе и передаваемую по связевым каналам информацию, но документы по защите информации непрерывно дополняются и совершенствуются, хотя и уже после того, как злоумышленники совершают все более технологичные прорывы модели защиты информации, какой бы сложной она не была.

Межсетевой экран и его назначение

Основная исследуемая в книге задача — это эффективная защита компьютера (автономного, либо в составе ЛВС), предназначенного для обработки информации, требующей защиты от ПСД. Вместе с тем, компьютер может решать и отдельные функциональные задачи, не связанные непосредственно с обработкой данных пользователями. В частности, компьютер с установленным на него специальным программным обеспечением может решать задачи межсетевого экранирования.

Межсетевой экран, как правило, служит для фильтрации исходящего и входящего трафика, циркулирующего между ЛВС и внешней сетью связи. Направление теории защиты информации, связанное с созданием средств межсетевого экранирования, наверное, наиболее полно освещено на сегодняшний день в литературе, поэтому мы не будем подробно останавливаться на этом вопросе. Для нас важным является вопрос, насколько актуальным является задача защиты компьютера, на который установлен межсетевой экран и в какой мере рассмотренные ранее подходы могут усилить межсетевую защиту.

Межсетевой экран может быть выполнен, как приложение, так и входить в состав ядра ОС. В частности, пакетные фильтры, обеспечивающие фильтрацию на сетевом и транспортном уровнях (в соответствии с моделью OSI), присутствуют в некоторых реализациях ОС UNIX.

Антишпион Эти программы специально предназначены для защиты от шпионских и рекламных модулей, от вредоносных программ, которые антивирусными программами не классифицируются как вирус или вредоносная программа.

Введение

Обнаружение вторжений остается областью активных исследований уже в течение двух десятилетий. Считается, что начало этому направлению, было положено в 1980 г. статьей Джеймса Андерсона "Мониторинг угроз компьютерной безопасности". Несколько позже, в 1987 г. это направление было развито публикацией статьи "О модели обнаружения вторжения" Дороти Деннинг. Она обеспечила методологический подход, вдохновивший многих исследователей и заложивший основу для создания коммерческих продуктов в области обнаружения вторжений.

Изучение методов обнаружения аномалий было предварено аксиомой, что можно различать маскирующихся и действительно законных пользователей посредствам выявления отклонений от исторически сложившегося использования системы. Выражалась надежда, что подход на основе анализа данных аудита будет полезен для идентификации не только кракеров, разными способами добывающих информацию об идентификации и аутентификации и применяющих её для маскировки под авторизованных пользователей, но также и самих авторизованных пользователей, выполняющих несанкционированные действия, т.е. злоупотребляющих своими привилегиями. По статистике, около 80% процентов взломов производится изнутри, то есть сотрудниками самой организации. [7]