15. Методы обнаружения атак. Механизмы реагирования

Методы анализа сетевой информации

Статистический метод

Основные преимущества статистического подхода — использование уже разработанного и зарекомендовавшего себя аппарата математической статистики и адаптация к поведению субъекта. Определяем профиль.

Однако при использовании этих методик возникают и проблемы:

• «статистические» системы не чувствительны к порядку следования событий;

• трудно задать граничные (пороговые) значения отслеживаемых системой обнаружения атак характеристик, чтобы адекватно идентифицировать аномальную деятельность;

• «статистические» системы могут быть с течением времени «обучены» нарушителями так, чтобы атакующие действия рассматривались как нормальные.

Экспертные системы

Экспертные системы состоят из набора правил, которые охватывают знания человека-эксперта. Использование экспертных систем представляет собой распространенный метод обнаружения атак, при котором информация об атаках формулируется в виде правил.

Основным недостатком является невозможность отражения неизвестных атак. При этом даже небольшое изменение уже известной атаки может стать серьезным препятствием для функционирования системы обнаружения атак.

Нейронные сети

Большинство современных методов обнаружения атак используют некоторую форму анализа контролируемого пространства на основе правил или статистического подхода. В качестве контролируемого пространства могут выступать журналы регистрации или сетевой трафик. Анализ опирается на набор заранее определённых правил, которые создаются администратором или самой системой обнаружения атак.

Методы реагирования

1. Уведомление. Является отправление администратору безопасности сообщений об атаке на консоль системы обнаружения атак. К категории уведомление относится также посылка управляющих последовательностей к другим системам

2. Сохранение. Относится 2 варианта реагирования:

• Регистрация событий в БД

• Воспроизведение атаки в реальном масштабе времени

3. Активное реагирование.относятся след. Варианты реагирования:

• Блокировка работы атакующего

• Завершение сессии с атакующим узлом

• Управление сетевым оборудованием и средствами защиты

16. межсетевые экраны: определение, классификация, функции.

МЭ –это специализированная программное или аппаратное ПО, позволяющее разделить сеть на две части и более и реализовать набор правил, определяющих условия прохождения сетевых пакетов из одной части в другую.

Функции

1. Фильтрация трафика

2. Противодействие атакам

3. Анализ содержимого трафика

4. Защита от спама

5. Антивирусная защита

Классификация

1. По функционированию на уровнях модели OSI:

• Пакетный фильтр(экранирующий маршрутизатор)

• Шлюз сеансового уровня (экранирующий транспорт)

• Прикладной шлюз

• Шлюз экспертного уровня

2. По используемой технологии:

• Контроль состояния протокола

• На основе модулей посредников

3. По исполнению:

• Аппаратно-программный

• Программный

4. По схеме подключения:

• Схема единой защиты сети

• Схема с защищаемым закрытым и не защищаемым открытым сегментами сети

• Схема с раздельной защитой закрытого и открытого сегментов сети

17. аутентификация, авторизация и администрирование действий пользователя

Аутентифика́ция — проверка принадлежности субъекту доступа предъявленного им идентификатора; подтверждение подлинности, процесса или устройства. «А он ли на самом деле?»

Авторизация — предоставление этому лицу возможностей в соответствии с положенными ему правами или проверка наличия прав при попытке выполнить какое-либо действие.

Администрирование – процедура регистраций действий пользователя в сети, включая его попытки доступа к ресурсам.