14.3.4. Методы реагирования

Атака не только должна быть обнаружена, но и необходимо правильно и своевременно среагировать на нее. В существую­щих системах применяется широкий спектр методов реагирова­ния, которые можно разделить на три категории [9, 40]:

• уведомление;

• сохранение;

• активное реагирование.

Применение той или иной реакции зависит от многих фак­торов.

Уведомление. Самым простым и широко распространенным методом уведомления является отправление администратору безо­пасности сообщений об атаке на консоль системы обнаружения атак. Такая консоль может быть установлена не у каждого сотруд­ника, отвечающего в организации за безопасность, кроме того, этих сотрудников могут интересовать не все события безопасности, поэтому необходимо применение иных механизмов уведом­ления. Этими механизмами могут быть отправление сообщений по электронной почте, на пейджер, по факсу или по телефону.

К категории «уведомление» относится также посылка управ­ляющих последовательностей к другим системам, например к системам сетевого управления или к МЭ.

Сохранение. К категории «сохранение» относятся два вариан­та реагирования:

• регистрация события в БД;

• воспроизведение атаки в реальном масштабе времени. Первый вариант широко распространен и в других системах

защиты. Для реализации второго варианта бывает необходимо «пропустить» атакующего в сеть компании и зафиксировать все его действия. Это позволяет администратору безопасности затем воспроизводить в реальном масштабе времени (или с заданной скоростью) все действия, осуществленные атакующим, анализи­ровать «успешные» атаки и предотвращать их в дальнейшем, а также использовать собранные данные в процессе разбиратель­ства.

Активное реагирование. К этой категории относятся следую­щие варианты реагирования:

• блокировка работы атакующего;

• завершение сессии с атакующим узлом;

• управлением сетевым оборудованием и средствами защиты.

IDS могут предложить такие конкретные варианты реагиро­вания: блокировка учетной записи атакующего пользователя, ав­томатическое завершение сессии с атакующим узлом, реконфи­гурация МЭ и маршрутизаторов и т. д. Эта категория механиз­мов реагирования, с одной стороны, достаточно эффективна, а с другой стороны, требует аккуратного использования, так как не­правильное применение может привести к нарушению работо­способности всей КИС.