Ids уровня хоста

IDS уровня хоста (HIDS – host-based IDS) может быть установлена на отдельные рабочие станции и/или серверы для выявления нежелательных или аномальных действий. HIDS обычно используются для обеспечения уверенности, что пользователи не удаляют системные файлы, не изменяют важные настройки или подвергают систему риску иными способами. Так, если NIDS понимает и контролирует сетевой трафик, средства HIDS ограничиваются только самим компьютером. HIDS не понимает и не отслеживает сетевой трафик, а NIDS не контролирует действия внутри системы. Каждое из этих средств имеет свои задачи и выполняет их своими способами. В большинстве сред системы HIDS устанавливаются только на критичные серверы, а не на каждый компьютер в сети, поскольку это могло бы вызвать существенное повышение нагрузки на компьютеры и на администраторов. Чтобы сделать жизнь немного проще, HIDS и NIDS могут быть одного из следующих типов:

• Сигнатурные (signature based)

  • Отслеживающие шаблоны (pattern matching)

  • Отслеживающие состояние (stateful matching)

• Основанные на аномалиях (anomaly based)

  • Основанные на статистических аномалиях (statistical anomaly-based)

  • Основанные на аномалиях протоколов (protocol anomaly-based)

  • Основанные на аномалиях трафика (traffic anomaly-based)

• Основанные на правилах (rule-based) или эвристические (heuristic-based)

Выявление вторжений на основе знаний или сигнатур

Знания об отдельных атаках накапливаются производителями IDS и хранятся в виде моделей, отражающих процесс их выполнения. Эти модели называются сигнатурами. Как только выявляется новый вид атаки, производитель сигнатурного IDS создает соответствующую сигнатуру, которая в последующем используется при проверке сетевого трафика для обнаружения такой же атаки. Разрешаются любые действия, которые не были идентифицированы как атака.

ПРИМЕЧАНИЕ. Выявление атак на основе сигнатур также называют обнаружением по шаблонам (pattern matching).

Примером сигнатуры является сетевой пакет, в котором адрес отправителя и получателя совпадают – это, так называемая, Land-атака. В Land-атаке хакер изменяет заголовок пакета и когда система получателя отправляет отправителю ответ, она отправляет его на свой же адрес. Сейчас это выглядит довольно безобидно, но все еще есть уязвимые системы, не имеющие программного кода, позволяющего распознать такую ситуацию, которая приводит к их «зависанию» или перезагрузке. Сигнатурные IDS являются наиболее популярными IDS в наше время, но их эффективность напрямую зависит от регулярности обновления баз сигнатур, как в антивирусном программном обеспечении. Этот тип IDS практически не защищает от новых атак, так как он не может их распознать до появления их сигнатур в его базе данных. Атаки или вирусы, обнаруженные в реальных средах, называются «дикими» (in the wild). Атаки или вирусы, существующие, но не выпущенные в реальный мир, называются «в зоопарке» (in the zoo). Это не шутка.

Ids на основе состояния

Перед тем, как углубиться в изучение работы IDS на основе состояния, вам следует понять, что представляет собой состояние системы. Каждое изменение в работе системы (вход пользователя, запуск приложения, взаимодействие приложений, ввод данных и т.д.) приводит к изменению состояния. С технической точки зрения, все операционные системы и приложения представляют собой просто множество строк команд, написанных для выполнения определенных функций над данными. Команды работают с переменными, которые содержат данные. Когда вы, например, используете утилиту «Калькулятор» и вводите цифру «5», специальная пустая переменная сразу же получает это значение. Введя эту цифру, вы изменяете состояние приложения. Когда приложения взаимодействуют друг с другом, они заполняют пустые переменные специальными наборами команд. Таким образом, переход состояния – это когда меняется значение переменной, что происходит постоянно в любой системе. При проведении атак, происходят соответствующие изменения состояний (действия). Например, если атакующий выполняет удаленное переполнение буфера, происходят следующие изменения состояний.

1. Удаленный пользователь подключается к системе.

2. Удаленный пользователь отправляет данные приложению (объем передаваемых данных превышает выделенный для них буфер в соответствующей пустой переменной).

3. Данные принимаются, перезаписывая при этом буфер и, возможно, другие сегменты памяти.

4. Выполняется вредоносный код.

Таким образом, состояние – это «снимок» (snapshot) значений операционной системы в оперативной, полупостоянной и постоянной областях памяти. В IDS на основе состояния первоначальным состоянием является состояние перед началом атаки, а скомпрометированным состоянием – состояние после успешного вторжения. IDS имеет правила, которые описывают последовательность переходов состояния, свидетельствующих о происходящей атаке. Действия, которые происходят между первоначальным и скомпрометированным состояниями – это именно то, что ищет данный тип IDS. Он отправляет сигнал опасности, если любая последовательность переходов состояния совпадает с предварительно настроенными правилами. Этот тип IDS осуществляет поиск сигнатур атак в контексте потока действий, а не просто смотрит отдельные пакеты. Он также может выявить только известные атаки и требует частого обновления своих сигнатур.