Анализ задачи проектирования
Основные функции программного обеспечения
Лабораторный стенд должен наглядно продемонстрировать принципы работы системы обнаружения вторжений, построенной на основе сигнатурных методов, студентам в процессе освоения дисциплины «Системы обнаружения вторжений».
Функциональные возможности лабораторного стенда:
Захват сетевого трафика с последующим анализом на наличие вторжений в систему. Пользователь может регулировать величину количества захватываемых сетевых пакетов и выбирать различные сетевые интерфейсы.
Просмотр сигнатур, доступных для использования.
Выбор определенной сигнатуры для исследования трафика на присутствие конкретной атаки или аномалии.
Запуск всех сигнатур лабораторного стенда по очереди в автоматическом режиме.
Краткая характеристика выбранной сигнатуры.
Анализ тестовых данных трафика.
Сохранение отчёта (в .txt файл) о проведенной проверке.
Выбор инструментария и сторонних библиотек
Для разработки лабораторного стенда были использованы следующие средства:
Среда разработки Visual Studio Ultimate 2012.
Анализатор трафика WinDump (библиотека WinPcap v 1.4.3.).
Платформа .Net Framework версии 4.5.
Объектно-ориентированный язык программирования C#.
Visual Studio представляет собой интегрированную среду для разработки приложений компании Microsoft. Она позволяет разрабатывать консольные и приложения с графическим интерфейсом с поддержкой технологии Windows Forms, а также веб-сайты и веб-приложения.
Анализатор трафика WinDump – утилита, позволяющая перехватывать и анализировать сетевой трафик, проходящий через компьютер, на котором запущена данная программа. WinDump разработан Группой сетевых исследований Отдела информационных и вычислительных технологий в Национальной лаборатории Лоренс Беркли. Анализатор использует библиотеку Packet Capture. Для Unix-подобных систем используют libpcap-библиотеку, а для Microsoft Windows NT используют WinPcap.
Программа на языке C# выполняется в среде .NET Framework – в компоненте, интегрированном в ОС Windows, содержащем виртуальную систему выполнения (CLR) и стандартизированный набор библиотек классов. Среда Common Language Runtime представляет собой закрытую реализацию от Microsoft инфраструктуры Common Language Infrastructure, стандартизированной международной организацией ISO. На Рисунке показана схема отношений в платформе .NET.
Исходный программный код, написанный на Net. языке компилируется в Intermediate Language (промежуточный язык). Код Intermediate Language и различные ресурсы, как изображения и строки, хранятся в исполняемом файле, который называется сборкой. Каждая сборка содержит описание со сведениями о типах сборки, языке, требованиях безопасности, версии, региональных параметрах.
Рисунок 1. Отношения в платформе Net. Framework
Обзор прототипов системы
В качестве аналогов были выбраны следующие системы: программно-аппаратный комплекс ViPNET IDS 2000, ОАО «ИнфоТеКС», и система обнаружения вторжений Snort. ViPNET IDS 2000 и Snort являются системами обнаружения вторжений, построенными на основе сигнатурных методов.
ViPNET IDS 2000
Программно-аппаратный комплекс ViPNET IDS 2000 представлен на Рисунке 1. Комплекс обладает сертификатами ФСТЭК № 3285, действительным до 27.112017 года, и ФСБ России, что позволяет эксплуатировать данный ПАК на любых объектах, не обрабатывающих сведения, составляющих государственную тайну.
Рисунок 2. Внешний вид ViPNET IDS 2000
Функционал комплекса достаточно разнообразен. Среди его возможностей присутствуют:
обнаружение вторжений в масштабе, приближенном к реальному времени;
расчет и предоставление статистики о происшедших вторжениях на основе журналов (журнал атак ViPNET IDS 2000 продемонстрирован на Рисунке 2);
автоматическое обновление базы сигнатур с сервера;
возможность добавления собственных сигнатур в базу;
выборочное использование сигнатур или групп сигнатур и др.
Рисунок 3. Журнал атак
Схема подключения ViPNET к сети отображена на Рисунке 3. Данная схема получила название Т-образной.
Рисунок 4. Схема подключения
SPAN-порт предназначен для зеркалирования трафика: трафик перенаправляется для анализа системе обнаружения вторжений или используется для поиска неисправностей. Управление комплексом осуществляется консолью управления через WEB-интерфейс.
Данный комплекс обладает удобным интерфейсом и широкими функциональными возможностями. Производительность ПАК достигает 6000 Мбит/сек. Данный комплекс построен на операционной системе Linux.