2.8.3 Системы обнаружения атак. Особенности систем обнаружения атак на уровне узла.

Существует несколько способов классификации IDS, каждый из которых основан на различных характеристиках IDS. Тип IDS следует определять, исходя из следующих характеристик:

• Способ мониторинга системы.

  • Сетевая СОВ (Network-based IDS, NIDS) отслеживает вторжения, проверяя сетевой трафик и ведет наблюдение за несколькими хостами. Сетевая система обнаружения вторжений получает доступ к сетевому трафику, подключаясь к хабу или свитчу, настроенному на зеркалирование портов, либо сетевое TAP устройство. Примером сетевой СОВ является Snort.

  • Основанное на протоколе СОВ (Protocol-based IDS, PIDS) представляет собой систему (либо агента), которая отслеживает и анализирует коммуникационные протоколы со связанными системами или пользователями. Для веб-сервера подобная СОВ обычно ведет наблюдение за HTTP и HTTPS протоколами.При использовании HTTPS СОВ должна располагаться на таком интерфейсе, чтобы просматривать HTTPS пакеты еще до их шифрования и отправки в сеть.

  • Основанная на прикладных протоколах СОВ (Application Protocol-based IDS, APIDS) - это система (или агент), которая ведет наблюдение и анализ данных, передаваемых с использованием специфичных для определенных приложений протоколов. Например, на веб-сервере с SQL базой данных СОВ будет отслеживать содержимое SQL команд, передаваемых на сервер.

  • Узловая СОВ (Host-based IDS, HIDS) - система (или агент), расположенная на хосте, отслеживающая вторжения, используя анализ системных вызовов, логов приложений, модификаций файлов (исполняемых, файлов паролей, системных баз данных), состояния хоста и прочих источников. Примером является OSSEC.

  • Гибридная СОВ совмещает два и более подходов к разработке СОВ. Данные от агентов на хостах комбинируются с сетевой информацией для создания наиболее полного представления о безопасности сети. В качестве примера гибридной СОВ можно привести Prelude.

• Способ анализа. Это часть системы определения проникновения, которая анализирует события, полученные из источника информации, и принимает решения, что происходит проникновение. Способами анализа являются обнаружение злоупотреблений (misuse detection) и обнаружение аномалий (anomaly detection).

• Задержка во времени между получением информации из источника и ее анализом и принятием решения. В зависимости от задержки во времени, IDS делятся на interval-based (или пакетный режим) и real-time.

К характеристикам IDS также относятся:

• Источник информации. IDS может использовать различные источники информации о событии для определения того, что проникновение произошло. Эти источники могут быть получены из различных уровней системы, из сети, хоста и приложения.

• Ответ: Набор действий, которые выполняет система после определения проникновений. Они обычно разделяются на активные и пассивные меры, при этом под активными мерами понимается автоматическое вмешательство в некоторую другую систему, под пассивными мерами — отчет IDS, сделанный для людей, которые затем выполнят некоторое действие на основе данного отчета.

HIDS выполняются на защищенном узле и контролируют различные события безопасности. В качестве исходных данных эти системы чаще всего используют журналы регистрации ОС, приложений, СУБД. Таким образом, эти системы зависят от содержимого журнала. В случае их подмены злоумышленником или неполноты собранных данных система не сможет достоверно определить нападение. Имеется несколько категорий систем обнаружения атак на различных уровнях.

Уровень ОС. Эти средства основаны на мониторинге регистрационных журналов ОС. В качестве критериев оценки наличия несанкционированной деятельности используются:

• время работы пользователя

• количество, тип и название созданных файлов

• число, тип и название файлов к которым осуществляется доступ

• характер регистрации в системе и выход из нее

• запуск определенных приложений

• изменение ПБ (создание нового пользователя, группы, смена пароля и т.п.)

Уровень приложений и СУБД. Системы данного класса могут быть реализованы двумя путями:

• они анализируют записи журнала регистрации конкретного приложения или СУБД

«+» то, что системы данного типа могут работать практически с любым приложением или СУБД

«-» сложность настройки

• интеграция их в конкретное приложение или СУБД

Уровень сети. В этом случае система обнаружения анализирует не все сетевые пакеты, а те, которые направлены на контролируемый узел.

Механизм функционирования.

Функционируют путем анализа регистрационной информации. Механизм достаточно прост – как только журнал регистрации пополняется новой записью, сигнал об этом поступает в систему обнаружения атак, которая и проводит разбор записи, в соответствии со своей базой сигнатуры атак.

Достоинство СОА на уровне узла:

• подтверждение факта атаки

• контроль деятельности конкретного узла

• обнаружение атак, не обнаруживающихся другими средствами

• работа в коммутируемых сетях и сетях с канальным шифрованием

• обнаружение и реагирование почти в реальном масштабе времени

• невысокая стоимость.