А,В,Соколов, 0,М, Степанюк - Скачать документы

206
предприняты соответствующие действия. Например, если в два часа дня в воскресенье
уровень загруженности вашего сегмента в демилитаризованной зоне (Demilitarized
Zone, DMZ) внезапно увеличивается до 80%, причем 90% пакетов этого трафика являются
эхопакетами протокола управляющих сообщений ICMP (Internet Control Message
Protocol) на запросы от различных источников, то весьма вероятно, что ваша сеть подверглась
атаке DDoS.
Большая часть систем выявления атак использует сочетание обеих методик, и они
часто устанавливаются в сети, на конкретном хосте или даже для конкретного приложения
на хосте.
Наверное, самое очевидное место для размещения системы выявления атак — непосредственно
в том сегменте, контроль за которым вы хотите установить. Сетевые
детекторы атак устанавливаются в сети точно так же, как и любое другое устройство,
за исключением того, что они проверяют все пакеты, которые видят. Хотя системы
выявления атак достаточно просты в реализации и развертывании, они все же не лишены
недостатков, о которых стоит упомянуть.
Во-первых, действительно разделяемые сегменты (на базе концентраторов, а не
коммутаторов) сейчас встречаются довольно редко, т. е. для мониторинга всей подсети
одного датчика недостаточно. Вместо этого системы выявления атак должны быть
интегрированы в определенный порт коммутаторов Ethernet (с поддержкой режима
приема всех пакетов), что не всегда возможно, даже если такой порт имеется.
Кроме того, при обслуживании всего сегмента одной системой выявления атак она
становится уязвимой для атаки DDoS. Если злоумышленник сможет вывести из строя
сам детектор, то он получает полную свободу действий и может проникнуть в подсеть,
не опасаясь быть обнаруженным. Об этой опасности всегда следует помнить при
проектировании и установке хоста для своей системы выявления атак. Как и брандмауэр,
такая система не должна:
Q содержать пользовательские бюджеты, за исключением привилегированного пользователя
(root/Administrator); поддерживать необязательные сетевые службы;
О предлагать никакой вид интерактивного сетевого доступа (доступ возможен только
через консоль);
U работать под управлением малоизвестной, нестандартной операционной системы.
Если система выявления атак размещается на стандартной многозадачной, многопользовательской
системе, то это должен быть укрепленный вариант операционной
системы, где не инициируется (и не размещается) большинство пользовательских процессов,
чтобы она могла обеспечить необходимую производительность для проверки
каждого пакета по мере их поступления. Это освобождает машину от необязательной
нагрузки по обработке и позволяет сосредоточиться на выполнении поставленной задачи.
Если ваша политика защиты такова, что злонамеренное вторжение будет иметь
серьезные негативные последствия для вашего бизнеса, то рекомендуется установить
избыточные системы выявления атак. В идеале эти системы нужно приобретать у двух
производителей или, по крайней мере, устанавливать на двух различных платформах.
Смысл в том, чтобы не класть все яйца в одну корзину. (Конечно, концепция избыточности
применима ко всем подобным системам.)