Введение
Повсеместное распространение сетевых технологий привело к объединению отдельных машин в локальные сети, совместно использующие общие ресурсы, а применение технологии клиент-сервер привело к преобразованию таких сетей в распределенные вычислительные среды, в частности к появлению такого уникального явления, как Internet. Развитие Internet привело к росту числа подключенных к нему людей, организаций, которые используют возможности, предоставляемые этой сетью. Но широкое распространение Internet вызвало рост интереса к проблеме безопасности и заставило частично пересмотреть ее основные положения. Дело в том, что Internet обеспечивает злоумышленнику невообразимые возможности для осуществления несанкционированного доступа и нарушения работоспособности систем по всему миру. Поэтому задача выявления сетевых атак и организация защиты от них является актуальной. Для решения этих задач необходима разработка архитектуры системы выявления удаленных атак. Под удаленной атакой понимается удаленное информационное воздействие, программно осуществляемое по каналам связи и характерное для любой распределенной вычислительной системы. В работе под удаленной атакой будем понимать удаленное информационное воздействие, программно осуществляемое по каналам связи сети Internet посредством передачи некоторого числа Internet пакетов (рис.1).
Основной проблемой в вопросе обеспечения сетевой безопасности является защита от удаленных атак, которая включает и их обнаружение.
Рис.1. Удаленные атаки через Internet
Рынок средств обнаружения удаленных воздействий в настоящее время достаточно развит и на нем представлено много продуктов от разных фирм /1,2/, однако механизмы обнаружения атак разрабатываются только после их осуществления, что является большим недостатком данных продуктов.
-
Проблема удаленных атак
Разработка метода обнаружения удаленных сетевых атак является очень важным аспектом в деле обеспечения безопасности компьютеров в глобальных и локальных сетях, использующих для передачи данных стек TCP/IP протоколов. По причине незащищенности использующихся IP протоколов возможно огромное количество атак, которые приводят к отказу системы в обслуживании, нарушению целостности, несанкционированному доступу к данным и, даже, к потере данных.
В настоящее время значительная часть методов обнаружения базируется на анализе данных аудита после совершения атаки. Такой подход к проблеме удаленных атак имеет свои достоинства и свои недостатки. К достоинствам можно отнести возможность детального изучения атаки и выявления условий, при которых она возникает и достигает своего результата. К недостаткам можно отнести тот факт, что, по крайней мере, одна атака будет успешно осуществлена. Для дальнейшего рассмотрения введем понятие сигнатуры для удаленной атаки. Под сигнатурой будем понимать последовательность действий, которая приводит к реализации данной атаки, и набор условий, при которых атака произойдет.