3.4.4 Системы обнаружения вторжений

3.4.4.1 HoneypotManager

HoneypotManager — это система защиты информации, реализующая проактивную защиту от хакерских вторжений и несанкционированных действий инсайдеров. Система имитирует работу сетевых бизнес-приложений (ERP и т.п.) на базе СУБД Oracle и регистрирует любые попытки несанкционированного доступа к ним.

HoneypotManager усиливает защиту информационных систем организации, существенно снижая риски раскрытия данных бизнес-приложений. Кроме того, это ПО позволяет выполнять некоторые требования, предъявляемые к системам защиты персональных данных, банковским системам и платежным системам:

• требования ФСТЭК России к СЗИ для ПДн в части защиты персональных данных средствами имитации в системах класса К1, К2, К3;

• международный стандарт безопасности данных индустрии платежных карт PCI DSS;

• стандарт Банка России СТО БР СТО БР ИББС-1.0-2008.

HoneypotManager позволяет в режиме «реального» времени выявлять нарушителей (инсайдеров или хакеров), действующих в локальной вычислительной сети предприятия, анализировать и пресекать их действия без риска потери реальных данных. Это единственное средство обнаружения вторжений, основанное на имитации данных, рекомендуемое для защиты ИСПДн до класса К1 включительно. Оно может использоваться в сетях с конфиденциальной информацией (вплоть до АС 1Г), имея сертификат по НДВ-4 и ТУ. Для повышения качества имитации ложные данные могут создаваться на основе реальных данных заказчика.

Решение отличается низким уровнем ложных срабатываний – по сути это поведенческая система, регистрирующая только факты НСД. Она не требует специально подготовленного специалиста по анализу вторжений – оповещения о событиях системы понятны обычным ИТ-администраторам.

Основными функциями продукта являются:

• имитация реальных систем хранения данных;

• обнаружение и регистрация фактов НСД к данным, имитируемым системой;

• оповещение заинтересованных лиц о попытках НСД к этим данным;

• возможность восстановления модифицированной нарушителем системы к исходному состоянию;

• генерация отчетов о работе системы за определенные периоды времени;

• централизованное управление несколькими ловушками (сенсорами);

• авторизация и контроль доступа к управлению системой;

• механизм контроля работоспособности (диагностика);

• гибкая настройка правил реагирования на попытки НСД;

• генерация имитационных данных, которые выглядят как реальные;

• периодическая смена IP-адресов ловушек (сенсоров).

Схема применения HoneypotManager:

Даже при наличии всех традиционных средств защиты существует возможность получения нежелательного доступа к внутренней сети предприятия злоумышленником, который ищет доступные ресурсы компании. Это может быть как внешний нарушитель, проникший в сеть, так и инсайдер, способный передать данные наружу.

Эта возможность реализуется благодаря недостаткам или особенностям проектирования тех или иных традиционных средств защиты. Например:

• Межсетевой экран может надежно защищать от проникновения внутрь сети, но не препятствует передаче данных во внешнюю сеть. Кроме того, он не препятствует работе во внутренней сети всевозможных мобильных устройств, так как трафик этих устройств не проходит через шлюзы - наблюдается т.н. «исчезновение периметра» сети.

• Антивирус является средством «реактивной защиты», зависящим от частоты обновлений баз сигнатур вредоносного ПО.

• Персональные СЗИ от НСД не всегда блокируют съемные носители и сетевые USB-устройства.

• Что касается СОВ, то зачастую среди всей регистрируемой ими информации бывает сложно выделить критичные события и они не всегда «понимают» атаки на прикладные программы. Кроме того, сложные IDS и DLP системы требуют наличия специально обученного персонала и больших материальных затрат на поддержание их работы и анализ их деятельности. Это особенно актуально для организаций малого и среднего бизнеса.

HoneypotManager полезен как раз в тех случаях, когда традиционные средства защиты не срабатывают. Продукт размещает в локальной сети организации одну или несколько имитирующих реальные данные систем (ловушек-сенсоров). Любой пользователь, осуществивший доступ к имитирующей системе, является нарушителем, так как все легитимные пользователи работают только с настоящим хранилищем.

Потенциальным нарушителем может являться как внутренний пользователь корпоративной вычислительной сети - сотрудник компании, не имеющий специальных знаний по взлому информационных систем, так и внешний пользователь-хакер средней квалификации, получивший доступ к ИС.

Имитирующая система содержит специально подготовленные данные для обеспечения работы приложений, обращающихся к ней. Это могут быть реальные данные, перенесенные на ловушку и подвергнутые изменениям, после которых они перестают быть достоверными.

Система регистрирует информацию о состоянии сенсоров, сведения о фактах НСД и других событиях на имитирующих системах в журнале событий ОС (EventLog). Она также обеспечивает уведомление об этих событиях специалиста по защите информации (администратора безопасности вычислительной сети) по электронной почте.

С HoneypotManager возможность получения нежелательного доступа к внутренней сети предприятия сохраняется, но, будучи легкодоступным, он «оттягивает» злоумышленника на себя, снижая вероятность попадания на реальный коммерческий сервер. Это происходит как в случае с внешним хакером, так и с инсайдером и позволяет повысить шансы выявить нарушителя и оставить реальные сервера приложений в неприкосновенности.

Цена: 38000 руб.