79. Системы анализа защищенности

Наиболее распространены сетевые, проводящие анализ всего сервиса, или протокола. Выполняют набор тестов, аналогичных применяемым во время атаки. Сканирование начинается с получения инфы о сканируемой системе и заканчивается попытками проникновения («Ревизор»).

САЗ ОС

Проводят анализ защищенность сканируя комп изнутри, то есть со стороны внутреннего злоумышленника. Предназначена для проверки конфигурации ОС, влияющей на уровень защищенности. В частности проверяются права пользователей на доступ к системным файлам, привилегии процессов, качество паролей. Может создавать эталонные политики безопасности и сравнивать их с реальными и приводить в соответствие эталонным. System Scanner состоит из след. компонентов:

1) агенты, кот. устанавливаются на каждый контролируемы узел и обнаруживают уязвимости в нем и могут производить контроль целостности. Они ориентированы на конкр. ОС.

2) Имеется и консоль, куда поступают данные об объектах и позволяют сформировать отчеты.

Продукты- Агент инвентаризации – опрос пО,

Inventory Manager

Ревизор.

80. Сетевые средства обнаружения атак

network-based

Это системы, ищущие сигнатуры атак, специфические шаблоны, указывающие на подозрительную деятельность.

Используется сетевой адаптер, работающий в режиме прослушивания, который анализирует трафик по мере его прохождения через сегмент сети. Кроме анализа сигнатур атак может обнаруживать аномалии, контролировать частоту событий и превышение определенной пороговой величины, может осуществлять корреляцию нескольких событий с низким приоритетом. При обнаружении атаки модуль реагирования может предлагать широкий спектр действий: уведомить админа по e-mail, sms, завершить соединение с атакующим узлом, попытаться самому атаковать, записать сессию для последующего анализа.

Достоинства:

1. Низкая стоимость эксплуатации, необходимость установки только в наиболее важных местах сети, не обязательно на каждом ПК, что трудно при гетерогенной длинной сети

2. Обнаружение атак, пропускаемых на системном уровне. При этом проверяются заголовки пакетов на наличие подозрительной или враждебной деятельности. Могут выявляться атаки, имитирующие отказ в обслуживании.

3. Обнаружение и реагирование в реальном времени, возможность идентифицировать злоумышленника до достижения им атакуемого ПК

4. Практически не снижает производительность сети

5. Злоумышленнику трудно скрыть следы атаки, т.к. анализируется реальный трафик, а не журналы безопасности, которые злоумышленник может подчистить

6. При установке с наружной стороны способен выявлять неудавшиеся атаки

7. Независимость от ОС, установленной в корпоративной сети

Сложности возникают с описанием сигнатур. Необходимо записать сигнатуру атаки и все ее модификации.

Недостатки:

1)сложность создания сигнатур и учета всех возможных атак.

2)Проблема анализа в гигабитных сетях, хотя появились сервисы, способные обнаружить атаки и в таких сетях

3)Неэффективность в коммутируемых сетях и в сетях канального шифрования