А,В,Соколов, 0,М, Степанюк - Скачать документы

Глава 3. Основные пути обеспечения безопасности информации 207
Хотя такой подход предполагает дополнительные затраты на поддержку разнородного
аппаратного обеспечения и операционных систем, вы можете легко компенсировать
этот недостаток, выбрав системы выявления атак, управление которыми может
осуществляться централизованным и защищенным образом с помощью стандартных
инструментальных средств для управления сетями и системами.
Еще одна часто реализуемая стратегия в отношении выявления атак на сеть состоит
в автоматическом блокировании доступа по всему периметру сети в случае выхода из
строя системы выявления атак. О случившемся необходимо немедленно сообщить администратору
сетевой защиты, так как он может оценить создавшуюся ситуацию и предпринять
необходимые корректирующие действия. Отметим, что это решение зачастую
предполагает, что система выявления атак должна взаимодействовать с размещенными
по периметру сети устройствами, такими как брандмауэры и краевые маршрутизаторы.
Как это часто бывает в сложном мире сетевой защиты, панацеи не существует, и,
чтобы стратегия выявления атак была эффективной, она должна быть реализована на
нескольких уровнях. Установка и обслуживание сетевых детекторов для выявления
атак трудностей не вызывают, однако это не позволяет выявить целый класс атак, опознать
которые крайне сложно, так как они тесно связаны с целевой системой. Эти атаки
используют уязвимые места конкретных операционных систем и пакетов приложений.
Только системы выявления атак на хост могут отслеживать сложный массив специфичных
для систем параметров, совокупность которых составляет сигнатуру хорошо
организованной атаки (такие системы работают как приложения на подключенном
к сети хосте).
Ориентированный на хосты подход идеален для серверов высокой доступности,
которые предприятия используют в своей повседневной работе. Эти серверы, как правило,
в любом случае устанавливаются в «слабозаселенных» сегментах, так что дополнительные
расходы на размещение на хосте детекторов не должны создать непреодолимых
трудностей. Возможно, самое важное преимущество этого подхода в том
что он позволяет выявить внутренние операции, т. е. обнаружить ситуацию, когда законопослушный
пользователь обращается с ресурсами хоста таким образом, что это
ведет к нарушению принятой в компании политики защиты. Такого рода нарушения
практически невозможно обнаружить посредством системы выявления атак на сеть,
поскольку пользователь может обращаться к системе с консоли, и передаваемые им
команды просто не пересылаются по сети.
Однако и в деле выявления атак на хост тоже не все гладко. Поскольку эти системы
тесно связаны с операционной системой, они становятся еще одним приложением,
которое необходимо обслуживать и переносить. Это весьма важный момент в среде,
где операционные системы часто обновляются, поскольку система выявления атак
может работать эффективно, только тогда, когда она имеет все последние данные.
Кроме того, сама по себе установка детекторов на хосты не защитит вашу компанию
от базовых атак DDoS на сетевом уровне (SYN flooding, ping of death, land attack и т.
д.). Но, несмотря на эти ограничения, система выявления атак на хосты должна стать
неотъемлемой частью общей защиты от вторжений.
Развитие методов выявления атак привело к развитию имеющихся систем обнаружения
тщательно подготовленных атак. Функционируя на самом верху сетевого стека
(на прикладном уровне), эти системы выполняют мониторинг конкретных приложе-