3. Системы обнаружения атак

Определение 8

Система обнаружение атак (IDS – Intrusion Detection System) - система, реализующая процесс идентификации и реагирования на подозрительную деятельность (атаки), направленную на вычислительные или сетевые ресурсы [7]

Система обнаружения атак является существенно важным дополнением межсетевого экрана (firewall), но никак не его заменой. Межсетевые экраны предназначены для того, чтобы предотвратить вторжение злоумышленников из сети. Однако независимо от того, какова надежность и эффективность фильтрации вашего межсетевого экрана, пользователи зачастую находят способы обойти все установленные преграды. Например, объекты ActiveX или апплеты Java могут представлять новые направления для реализации атак через межсетевые экраны. Кроме того, по статистике не менее 75% всех компьютерных преступлений происходит изнутри корпоративной сети, от своих сотрудников.

Первая система обнаружения атак RealSecure малоизвестной в то время американской фирмой Internet Security Systems, Inc. (ISS) появилась в России в середине 1997. В настоящий момент Компания ISS является лидером на рынке средств обнаружения атак (по данным корпорации ШС - в 1999 году 52 % всего рынка). Всего же известно более 30 коммерчески распространяемых систем обнаружения атак.

Обнаружение атак (intrusion detection) - очень широкая область, которая охватывает многие аспекты, начиная с датчиков движения и систем видеонаблюдения и, заканчивая системами обнаружения мошенничества в реальном масштабе времени.

2.5 Классификация ids по используемым механизмам обнаружения атак

• Мониторы регистрационных файлов (Log-file monitors, LFM)

Контролируют регистрационные файлы, создаваемые сетевыми сервисами и службами. Аналогично NIDS, эти системы ищут известные сигнатуры, только в файлах регистрации, а не в сетевом трафике, которые указывают на то, что злоумышленник осуществил атаку. Типичным примером является синтаксический анализатор для log-файлов HTTP-сервера, который ищет хакеров, пытающихся использовать хорошо известные уязвимости, например, используя атаку типа "phf".

Достоинства

простота его реализации

Недостатки

для достоверного обнаружения той или иной подозрительной деятельности необходима регистрация в журналах большого объема данных, что отрицательно сказывается на скорости работы контролируемой системы; при анализе журналов регистрации очень трудно обойтись без помощи специалистов, что существенно снижает круг распространения этого метода; до настоящего момента нет унифицированного формата хранения журналов. анализ осуществляется не в реальном режиме времени т.е. данные системы не могут быть применены для раннего обнаружения атак в процессе их развития. И самый очевидный недостаток - они не могут обнаружить атаки, которые направлены на узлы, не использующие журналы регистрации, или для которых не существует соответствующей реализации агента. Работы по созданию стандартов ведутся в компании Webtrends (www.webtrends.com)

В общем случае, анализ регистрационных файлов служит дополнением к другим методам обнаружения атак, в частности, к обнаружению атак "на лету". Использование этого метода позволяет проводить "разбор полетов" уже после того, как была зафиксирована атака, для того чтобы выработать эффективные меры предотвращения аналогичных атак в будущем.

• Системы обнаружения атак на сетевом уровне (Network IDS, NIDS)

Контролирует пакеты в сетевом окружении и обнаруживает попытки злоумышленника проникнуть внутрь защищаемой системы (или реализовать атаку типа "отказ в обслуживании"). Типичный пример – система, которая контролирует большое число TCP-запросов на соединение (SYN) со многими портам на выбранном компьютере, обнаруживая, таким образом, что кто-то пытается осуществить сканирование TCP-портов. Система обнаружения атак на сетевом уровне (NIDS) может запускаться либо на отдельном компьютере, который контролирует свой собственный трафик, или на выделенном компьютере, прозрачно просматривающем весь трафик в сети (концентратор, маршрутизатор, зонд). Отметим, что "сетевые" IDS контролируют много компьютеров, тогда как другие системы обнаружения атак контролируют только один (тот, на котором они установлены).

Достоинства

один агент системы обнаружения атак может просматривать целый сегмент сети с многочисленными хостами, в то время как, для предыдущего метода необходимо на каждый анализируемый узел устанавливать свой агент. Этот метод позволяет обнаруживать атаки против всех элементов сети предприятия, начиная от атак на маршрутизаторы и заканчивая атаками на прикладные приложения; могут определять атаки в реальном масштабе времени и останавливать атаки до достижения ими цели; IDS сетевого уровня используют "живой" трафик при обнаружении атак в реальном масштабе времени. Таким образом, хакер не может удалить следы своего присутствия. Анализируемые данные включают не только информацию о методе атаки, но и информацию, которая может помочь при идентификации злоумышленника и доказательстве в суде. Поскольку многие хакеры хорошо знакомы с журналами регистрации, они знают, как манипулировать этими файлами для скрытия следов своей деятельности, снижая эффективность систем уровня ОС, которым требуется эта информация для того, чтобы обнаружить атаку; обнаруживает неудавшиеся атаки. IDS сетевого уровня, установленная с наружной стороны межсетевого экрана (МСЭ), может обнаруживать атаки, нацеленные на ресурсы за МСЭ, даже несмотря на то, что МСЭ, возможно, отразит эти попытки. Системы уровня ОС не видят отраженных атак, которые не достигают узлов за межсетевым экраном. Эта потерянная информация может быть наиболее важной при оценке и совершенствовании политики безопасности.

Недостатки

трудно применимы в высокоскоростных сетях. Все современные коммерческие системы, несмотря на то, что анонсируют возможность работы с сетями Fast Ethernet (100 Мбит/сек), не могут работать в сетях с пропускной способностью выше 60-80 Мбит/сек. Т.е. уже в сетях со скоростью свыше 100 Мбит/сек (например, ATM) такие системы не применимы. сетевые IDS неэффективно работают в коммутируемых сетях и сетях с канальным шифрованием.

• Метод профилей

Метод основан на использовании профилей "нормального" поведения, которые строятся в период обучения системы обнаружения атак. Профили нормального поведения используются для наблюдения за пользователями, системной деятельностью или сетевым трафиком. Данные наблюдения сравниваются с ожидаемыми значениями профиля нормального поведения.

Недостатки

построение профиля пользователя трудно формализуемая и трудоемкая задача, требующая от администратора большой предварительной работы; неправильная настройка профиля нормального поведения может привести к одному из двух случаев: - поведение субъекта вычислительной системы определяется как аномальное, хотя на самом деле, оно таковым не является. Например, одновременная посылка большого числа запросов об активности станций от администратора системы сетевого управления. Многие системы обнаружения атак идентифицируют этот пример, как атаку типа "отказ в обслуживании" ("denial of service"). - пропуск атаки, которая не подпадает под определение аномального поведения. Этот случай гораздо опаснее, чем ложное отнесение аномального поведения к классу атак.

Этот метод редко используется в современных системах защиты информации (хотя такие попытки и делаются). Использование профилей нашло свое практическое применение в системах обнаружения мошенничества (fraud detection systems), используемых в финансовых структурах или у операторов связи.

• Метод сигнатур атак

Заключается в описании атаки в виде сигнатуры (signature) и поиска данной сигнатуры в контролируемом пространстве (сетевом трафике, журнале регистрации и т.д.). В качестве сигнатуры атаки может выступать шаблон действий или строка символов, характеризующие аномальную деятельность. Сигнатуры хранятся в базе данных, аналогичной той, которая используется в антивирусных системах.

Проблемы:

1. создании механизма описания сигнатур, т.е. языка описания атак;

2. как записать атаку, чтобы зафиксировать все ее возможные модификации.

Первая проблема уже частично решена в некоторых продуктах. Например, система описания сетевых атак Advanced Packets Exchange, реализованная компанией Internet Security Systems, Inc. и предлагаемая совместно с разработанной ею и широко известной в России, сертифицированной в Гостехкомиссии, системой анализа защищенности Internet Scanner.

• Классификация IDS по принципам практической реализации

Системы обнаружения атак подразделяются на два типа - действующие на уровне сети (network-based) и на уровне хоста (host-based). Первые системы, как правило, используют сигнатуры атак и анализ "на лету", в то время как вторые - профили и анализ регистрационных журналов.