2.4 Системы контроля целостности

Системы контроля целостности - это системы, обнаруживающие уже совершенные атаки. В абсолютном большинстве случаев атака нарушителя, если она все-таки произошла, заключается в изменении каких-либо существующих файлов. В зависимости от того, что собирается сделать нарушитель (установить «троянского коня», отключить систему защиты, изменить системные файлы), зависит категория измененного файла (исполняемый модуль, файл конфигурации, драйвер, динамическая библиотека и т.п.).

Системы контроля целостности основаны на пассивных методах проверки файлов и объектов системы. Системы контроля целостности работают по замкнутому циклу. Они последовательно вычисляют контрольные суммы каждого объекта системы и файла с помощью криптографческих методов. Алгоритмы этих проверок таковы, что небольшие отличия во входном потоке данных приводят к большим отличиям контрольной суммы. Контрольные суммы сравниваются с результатами, полученными на предыдущем цикле, и отыскиваются расхождения. Если различие обнаружено, система посылает сообщение администратору безопасности.

Примеры распространенных систем контроля целостности:

• Tripwire – коммерческий продукт компании Tripwire Security. Система имеет большую популярность вследствие того, что поддерживает большое количество ОС, в том числе компании Microsoft: Windows NT, Solaris, Linux, клоны UNIX – AIX, HP UX и другие. Еще одна особенность системы – наличие языка описания политики контроля целостности. Имеется свободно распространяемая версия, которая не поддерживает Windows NT.

• AIDE (Advanced Intrusion Detection Environment) - свободно распространяемая система, доступная по адресу www.cs.tut.fi/~rammer/aide.html. По мнению специалистов, это лучшая альтернатива Tripwire.

• Gog&Magog – система проверяет не только контрольные суммы, но и контролирует другие параметры файлов (права доступа, владелец).

Лекции 14, 15. Выбор системы обнаружения атак

План лекций

1. Анализ защищаемой системы

2. Системы обнаружения атак Internet Security Systems

3. Системы обнаружения атак Cisco Systems

4. Системы обнаружения атак Symantec

5. Свободно распространяемые продукты

1. Анализ защищаемой системы

Первое, что необходимо сделать при выборе системы обнаружения атак (еще до покупки системы и начала ее инсталляции) – это определить, где система будет установлена и какие задачи она будет решать. Поэтому первый этап выбора – анализ защищаемой системы. Нужно рассмотреть следующие аспекты:

• Защищаемые ресурсы. В каждой организации они разные. Наиболее общие категории защищаемых ресурсов: файловые серверы; серверы баз данных; маршрутизаторы; межсетевые экраны; WEB- и почтовые серверы; рабочие станции, обрабатывающие критическую информацию. Выбор защищаемых ресурсов во многом определяет и технологию обнаружения атак. Например, для файловых серверов должны применяться системы контроля целостности, а для маршрутизаторов приоритетными задачами являются системы обнаружения атак на уровне сети.

• Наиболее вероятные атаки. Необходимо понимать, что не существует систем, защищающих от всех возможных атак. Поэтому необходимо определить наиболее вероятные атаки. Как правило, системы защиты и обнаружения атак распределены по разным объектам, и для каждого конкретного ресурса вероятные атаки свои.

• От кого защищает наша система. Статистика свидетельствует, что 70-80% всех компьютерных преступлений связаны с внутренними нарушениями, а не с нападениями хакеров извне. Внутренние нарушения – это нарушения, связанные с сотрудниками данной организации.