2.8.2 Системы обнаружения атак. Особенности сетевых систем обнаружения атак.

Система обнаружения вторжения - является приложением, которое просматривает системные и сетевые ресурсы и анализирует различные виды деятельности, а также, используя информацию, полученную из этих источников, уведомляет сетевого администратора и/или соответствующий персонал, отвечающий за безопасность, о возможном проникновении или попытки взлома.

Обычно архитектура СОВ включает:

• сенсорную подсистему, предназначенную для сбора событий, связанных с безопасностью защищаемой системы

• подсистему анализа, предназначенную для выявления атак и подозрительных действий на основе данных сенсоров

• хранилище, обеспечивающее накопление первичных событий и результатов анализа

• консоль управления, позволяющая конфигурировать СОВ, наблюдать за состоянием защищаемой системы и СОВ, просматривать выявленные подсистемой анализа инциденты

Существует несколько способов классификации IDS, каждый из которых основан на различных характеристиках IDS. Тип IDS следует определять, исходя из следующих характеристик:

• Способ мониторинга системы.

  • Сетевая СОВ (Network-based IDS, NIDS) отслеживает вторжения, проверяя сетевой трафик и ведет наблюдение за несколькими хостами. Сетевая система обнаружения вторжений получает доступ к сетевому трафику, подключаясь к хабу или свитчу, настроенному на зеркалирование портов, либо сетевое TAP устройство. Примером сетевой СОВ является Snort.

  • Основанное на протоколе СОВ (Protocol-based IDS, PIDS) представляет собой систему (либо агента), которая отслеживает и анализирует коммуникационные протоколы со связанными системами или пользователями. Для веб-сервера подобная СОВ обычно ведет наблюдение за HTTP и HTTPS протоколами.При использовании HTTPS СОВ должна располагаться на таком интерфейсе, чтобы просматривать HTTPS пакеты еще до их шифрования и отправки в сеть.

  • Основанная на прикладных протоколах СОВ (Application Protocol-based IDS, APIDS) - это система (или агент), которая ведет наблюдение и анализ данных, передаваемых с использованием специфичных для определенных приложений протоколов. Например, на веб-сервере с SQL базой данных СОВ будет отслеживать содержимое SQL команд, передаваемых на сервер.

  • Узловая СОВ (Host-based IDS, HIDS) - система (или агент), расположенная на хосте, отслеживающая вторжения, используя анализ системных вызовов, логов приложений, модификаций файлов (исполняемых, файлов паролей, системных баз данных), состояния хоста и прочих источников. Примером является OSSEC.

  • Гибридная СОВ совмещает два и более подходов к разработке СОВ. Данные от агентов на хостах комбинируются с сетевой информацией для создания наиболее полного представления о безопасности сети. В качестве примера гибридной СОВ можно привести Prelude.

• Способ анализа. Это часть системы определения проникновения, которая анализирует события, полученные из источника информации, и принимает решения, что происходит проникновение. Способами анализа являются обнаружение злоупотреблений (misuse detection) и обнаружение аномалий (anomaly detection).

• Задержка во времени между получением информации из источника и ее анализом и принятием решения. В зависимости от задержки во времени, IDS делятся на interval-based (или пакетный режим) и real-time.

К характеристикам IDS также относятся:

• Источник информации. IDS может использовать различные источники информации о событии для определения того, что проникновение произошло. Эти источники могут быть получены из различных уровней системы, из сети, хоста и приложения.

• Ответ: Набор действий, которые выполняет система после определения проникновений. Они обычно разделяются на активные и пассивные меры, при этом под активными мерами понимается автоматическое вмешательство в некоторую другую систему, под пассивными мерами — отчет IDS, сделанный для людей, которые затем выполнят некоторое действие на основе данного отчета.

NIDS используют в качестве данных сетевой трафик, который исследуется на наличие в нем признаков атак. Также возможен анализ журналов регции сетевого программно-аппаратного обеспечении (роутер, МЭ, журналы регистрации, анализаторы протоколов и т.д.) фиксирующих весь обрабатываемый им трафик.

Механизм функционирования NIDS состоит из 4-х основных частей отвечающих за:

• захват пакетов

• фильтрацию и сборку фрагментов

• распознавание атак

• реагирование на них

ПО NIDS разделяются на 2 части:

• ядро, которое осуществляет взаимодействие с сетевым адаптером, частью сетевого оборудования или журналами регистрации, хранящими сетевой трафик. Ядро отвечает за захват данных.

• ПО выполняет декодирование и анализ протоколов, с которыми работает сетевой адаптер, а также реализует соответствующую логику работы системы при обнаружении атак и реагировании на них.

Захват пакетов – в зависимости от того, откуда берутся сетевые пакеты, эта часть может быть реализована по-разному. Большинство NIDS построено на базе обычных компьютеров, в которых используется специализированное ПО, работающее под управлением обычной ОС, захватывающее сетевой трафик с обычной сетевой карты. Захват сетевого трафика осуществляется с простой сетевой карты, которая может работать в двух режимах:

• нормальном, в котором она обрабатывает пакеты предназначенные только ей

• смешанном, беспорядочном, когда она обрабатывает все пакеты, передающиеся в сетевом сегменте.

В случае если NIDS реализуется в сетевом оборудовании, то трафик может быть получен:

• с платы сетевого оборудования

• от ПО сетевого оборудования.

Фильтрация и сборка фрагментов. NIDS получает доступ ко всем захваченным сетевым пакетам, но не все из этих пакетов подлежат обработке. Например, пакеты, не поддерживаемых NIDS протоколов, не могут быть ей обработаны, либо фрагментированные пакеты, которые не анализируются некоторыми NIDS.

Фильтрующий модуль отвечает за то, чтобы отбросить те пакеты, которые должны игнорироваться NIDS. Существует два типа фильтров:

• системный – позволяет отсеивать или наоборот контролировать сетевой трафик на основе данных о распознаваемых сигнатурах

• пользовательский – отклоняет или наоборот контролирует трафик, соответствующий определенным правилам, установленным админом NIDS.