Узловые IDS

•Узловые IDS (HIDS), представляют собой систему датчиков, загружаемых на различные сервера организации и управляемых центральным диспетчером.

•Датчики HIDS отслеживают события, связанные с сервером, на котором они загружены, предпринимают определенные действия на сервере либо передают уведомления.

•Сенсор HIDS позволяет определить, была ли атака успешной, если атака имела место на той же платформе, на которой установлен датчик.

•Датчик на сервере может занимать от 5 до 15 % общего процессорного времени.

•Поэтому придется приобретать более производительную систему, чтобы присутствие датчика отрицательно не сказалась на производительности используемой системы.

Пять основных типов датчиков HIDS:

•анализаторы журналов.

•датчики признаков.

•анализаторы системных вызовов.

•анализаторы поведения приложений.

•контролеры целостности файлов.

•Анализатор журнала – это то, что отражает само название датчика. Процесс выполняется на сервере и отслеживает соответствующие файлы журналов в системе.

•При соответствии записи в журнале и критерия в процессе датчика HIDS, предпринимается установленное действие.

•Администратор системы, при желании, может определить другие записи журнала, представляющие определенный интерес.

•Анализаторы журналов не предотвращают атаку на систему, а реагируют на событие уже после того, как оно произошло.

•Его можно использовать для отслеживания активности и перемещения записи об активности персонала в область, недосягаемую для администратора или пользователя.

Датчики признаков

•Это наборы определенных признаков событий безопасности, сопоставляемых с входящим трафиком или записями журнала.

•Возможность анализа входящего трафика, является отличием данных датчиков от анализаторов журналов.

•Датчик признаков HIDS является полезным при отслеживании авторизованных пользователей внутри информационных систем.

•Анализаторы системных вызовов

Данные анализаторы осуществляют анализ вызовов между

приложениями и операционной системой для идентификации

событий, связанных с безопасностью.

•При выполнении приложением действий, его вызов операционной системы анализируется и сопоставляется с базой данных признаков, которые являются примерами различных типов поведения, представляющие собой, атакующие действия, или объектом интереса для администратора IDS.

•Анализаторы системных вызовов отличаются от выше перечисленных датчиков, что они могут предотвращать

действия.

•Обеспечение неправильной конфигурации датчиков этого типа, или их некорректная настройка влечет за собой ошибки в приложениях либо отказы в их работе.

Анализаторы поведения приложений

Применяются в виде программной спайки между приложениями и операционной системой, и проверяет вызов на предмет того, разрешено ли приложению выполнять данное действие, вместо определения соответствия вызова признакам атак.

При конфигурировании таких датчиков необходимо создавать список действий, разрешенных для выполнения каждым приложением.

Поставщики датчиков данного типа предоставляют шаблоны для наиболее широко используемых приложений.

Контролеры целостности файлов

Отслеживают изменения в файлах посредством использования криптографической контрольной суммы или цифровой подписи файла (Шифрование).

При изменении хотя бы малой части исходного файла (это могут быть атрибуты файла, такие как время и дата создания), конечная цифровая подпись файла будет изменена.

Цель данного алгоритма – максимальное снижение возможности для внесения изменений в файл с сохранением прежней подписи.

Сетевые IDS

•NIDS (Network Intrusion Detection System) – это программный процесс, работающий на специально выделенной системе, и отвечающий за переключение сетевой карты в системе в неразборчивый режим работы, при котором сетевой адаптер пропускает весь сетевой трафик в программное обеспечение NIDS.

•Анализирует трафик, используя набор правил и признаков атак для определения того, представляет ли этот трафик какой-либо интерес. После чего генерируется соответствующее событие.

•На данный момент в большинство систем NIDS встроен набор признаков

атак, с которыми сопоставляется трафик в канале связи.

•При отсутствии каких-то признаков атаки в системе обнаружения вторжений, система NIDS не замечает эту атаку.

•Данные системы позволяют указывать интересуемый трафик по адресу источника, конечному адресу, порту источника или конечному порту. Это дает возможность отслеживания трафика, не соответствующего признакам атак.

•При создании политики IDS необходимо выполнить следующие шаги:

-Определить цели создания IDS.

-Выбрать объекты мониторинга.

-Выбрать ответные действия.

-Установить пороги.

-Применить политику.