А,В,Соколов, 0,М, Степанюк - Скачать документы

Глава 3. Основные пути обеспечения безопасности информации 205
такой степени, что они заняли свое собственное место в системе обороны сети наравне
с брандмауэрами и антивирусным программным обеспечением. Хотя практические
реализации таких систем, как правило, достаточно сложны и нестандартны, общая
концепция выявления атак на удивление проста и состоит в проверке всей активности
сети (как входящей, так и исходящей) и обнаружении подозрительных действий, которые
могли бы свидетельствовать об атаке на сеть или систему. Эффективность выявления
атак на сеть может быть повышена при выполнении последовательности операций,
которые представлены на рис. 3.11.
Большинство имеющихся на рынке инструментальных средств выявления атак использует
две фундаментальные методики:
G выявление злоупотреблений;
Q выявление аномалий.
Выявление злоупотреблений опирается на предопределенный набор сигнатур (шаблонов)
атак, которые могут быть получены у производителя или указаны сетевым администратором.
Выполняя поиск конкретных шаблонных действий, системы выявления
атак, пытаются установить соответствие каждого из поступающих в сеть пакетов сигнатуре
известной атаки. Очевидные преимущества данной методики — ее простота и необременительность
(как следствие, нет трудностей и при развертывании). Однако, у этого
подхода есть существенньш недостаток: проверка каждого пакета в сети становится
все сложнее, особенно с учетом последних достижений сетевой технологии.
Администраторы защиты должны хорошо подготовиться, прежде чем приступить
к выбору системы выявления злоупотреблений. Обязательно поинтересуйтесь у производителя,
как часто появляются новые сигнатуры атак и сколько стоит обновление
службы. Как и в вопросе обнаружения вирусов, полезность программного обеспечения
напрямую зависит от полноты базы данных с сигнатурами, которую оно использует
при анализе пакетов.
Выявление аномалий наиболее полезно в стабильных сетевых средах, где администратор
может легко определить нормальное состояние сети в таких терминах, как
уровень трафика, отказ протокола и типичный размер пакета. Детекторы аномального
поведения можно настроить таким образом, чтобы они периодически проводили мониторинг
сетевых сегментов и определенного числа сетевых серверов и сравнивали их
состояние с основным. Если эти состояния значительно различаются, то могут быть
Методики
выявления атак
Составления
диаграммы сети
Выбор
аппаратного и программного
обеспечения
1. Выявление злоупотреблений:
- набор сигнатур (шаблонов) атак;
- проверка каждого пакета
сообщений
2. Выявление аномалий:
- определение "нормального"
состояния сети;
- мониторинг сетвых сегментов
1. Детектор атак в
каждом сегменте
2. Краевой маршрутизатор
3. Выходной фильтр
сегмента
4. Специализированное
программное обеспечение
1. Отдельные сетевые
сегменты
2. Границы сегментов
3. Объекты доверия
4. Серверы и службы
на каждом хосте
5. Списки контроля
доступа на сегменты
и серверы
Рис. 3.11. Последовательность операций для эффективного выявления атак на сеть