Архитектура соа.

Архитектура СОА включает в себя 7 модулей:

1. Модуль работы с источниками информации отвечает за взаимодействие с журналом регистрации, сетевой картой или ядром ОС для получения данных, на основе которой делается вывод о наличие или отсутствие атаки.

2. Модуль управления компонентами – служит для управления всеми компонентами системы обнаружения атак и обеспечения взаимосвязи ними.

3. Хранилище данных - является обычным журналом регистрации

4. Модуль обнаружения атак – на основании полученного этим модулем результата могут отдавать команды модулю реагирования.

5. База знаний

6. Модуль реагирования. Предпринимает действия в соответствии с заданными правилами.

7. графический интерфейс

СОА делится на 2 категории:

1. автономная

2. клиент-серверная делится на 2 уровня:

а) сенсоры

б) детекторы

Сенсоры используют роль связующего звена СОА с вычислительной средой. Она собирают необходимую информацию об уязвимостях, фильтруют ее и отсылают детекторам. На следующем уровне производится анализ собранных событий, обнаружение в них вторжений и выработка уведомлений о подозрительной активности.

Детекторы выявляют атаки по заданным критериям обнаружения (сигнатуры, шаблоны, правила). Затем принимаются контроллеры в ответ на обнаруженную атаку.

Архитектура сенсоров.

Сенсор является компонентом СОА. Может являться, как конкретный узел сети, так и вся сеть в целом. Сенсоры осуществляют сбор событий и безопасности из сетевого трафика (клиент-серверный СОА) или производят предварительную фильтрацию потока событий в системе (локальные).

В связи с непосредственным контактом защищаемой системы на сенсоры зачастую возлагается реализация контрмер (закрытие соединений, завершение процессов и т.д.). Включает в себя локальный:

1. монитор ресурсов

2. монитор целостности

3. монитор доступа

4. монитор логинов

5. монитор выполнения

сетевой:

1. сетевое оборудование

2. МЭ

Архитектура детекторов.

Детектор отвечает за обнаружение атак. Существует несколько механизмов обнаружения:

1. сигнатурный поиск

2. поиск регулярных выражений

3. интеллектуальный механизм распознавания атак

В первом случае производится поиск битов сигнатуры в проходящем потоке системных событий.

Во втором случае требует накопление ряда событий для поиска в них сценария атаки.

В третьем случае производится поиск на специализированном языке ретроспективного анализа с использованием методов искусственного интеллекта (накопление событий происходит за длительный период времени). Включает в себя: фильтр событий, анализатор протоколов и логов, коды сигнатурного поиска, поиска регулярных выражений, локальный банк критериев обнаружения и генератор уведомлений.

ЛЕКЦИЯ №9.

Тема 7. Централизованный контроль удаленного доступа.

Удаленный доступ (УД) – это технология взаимодействия абонентских систем с локальными сетями через коммуникационные сети.

УД осуществляется посредством сервера УД. Используют две модели:

1. дистанционное управление

2. удаленная система

Для реализации УД необходимо реализовать доступ оператора к территориальному удаленному серверу. Средой передачи данных являются протоколы сетевого уровня (например, PPP).

Сервер УД – это программный сервер, принимающий PPP-соединения и обеспечивающий УД. Подключается одновременно к локальной и внешней сетям. Обеспечивает маршрутизацию блоков данных при их передаче.