А,В,Соколов, 0,М, Степанюк - Скачать документы

208
ний (например, серверы Web, электронной почты и баз данных) в поисках подозрительных
шаблонов и для анализа сообщений из журналов приложений.
Детекторы атак на приложения постоянно проверяют журнальные файлы и системные
переменные в поисках готовящейся атаки. Хотя они представляют собой полезные,
нужные механизмы, ориентированные на приложения системы трудны в управлении
и реализации, так как критически важным сетевым приложениям каждого
вида требуется своя система выявления атак. Они должны стать последним рубежом
защиты от тех изощренных атак, которые их инициаторы сумели достаточно хорошо
замаскировать, чтобы обмануть системы выявления атак на сеть и хосты.
Идея установки программного обеспечения выявления атак на маршрутизаторах всегда
воспринималось со значительной долей скепсиса, так как проверка каждого пакета в
поисках сигнатуры атаки обычно отнимает значительную часть общей производительности
маршрутизатора. Однако маршрутизаторы обладают прекрасной возможностью
распознавания и предотвращения атак еще до того, как они проникнут внутрь корпоративной
сети, где ущерб от них может оказаться намного существеннее.
Реализованная на маршрутизаторе простая методика фильтрации позволяет гарантировать,
что ваша компания не станет стартовой точкой для организации атаки DDoS.
Применяемые при этом так называемые выходные фильтры представляют собой набор
правил для проверки исходящих пакетов и анализа адресов их отправителей. Поскольку
используемые с внутренней стороны краевого маршрутизатора сетевые адреса,
как правило, известны, маршрутизаторы могут отфильтровывать пакеты, чьи адреса
отправителей не соответствуют их сетям.
Это позволяет фильтровать потенциально подделанный трафик, обычно наблюдаемый,
когда злоумышленники захватывают ничего не подозревающий хост и отправляют
с него пакеты на выбранную ими цель где-нибудь в Internet. Многие провайдеры
стали реализовывать выходные фильтры на всем управляемом ими оборудовании в
помещениях заказчика (Customer Premises Equipment, CPE).
Как только вы выбрали аппаратное и программное обеспечение для обнаружения
атак, следующий шаг в реализации эффективной системы выявления атак — составление
диаграммы всей сети, в которой четко указаны пять элементов:
U отдельные сетевые сегменты;
G границы сегментов;
Q заслуживающие и не заслуживающие доверия объекты;
Q все серверы (хосты) и службы, работающие на каждом хосте;
О списки контроля доступа ACL (Access Control List) на границе каждого сегмента
и на каждом сервере.
Отдельные сетевые сегменты — к примеру, от маршрутизатора к маршрутизатору,
вместе со списком сетевых протоколов и типичной нагрузкой, которая, по вашему
мнению, будет характерна для каждого сегмента.
Границы сегментов — это маршрутизаторы, коммутаторы и брандмауэры.
Заслуживают и не заслуживают доверия известные локальные и удаленные пользователи,
партнеры по бизнесу, анонимные пользователи и потенциальные клиенты электронной
коммерции.
И число инцидентов, и диапазон злонамеренных сетевых атак продолжают расти, в
силу чего время реакции на подобные инциденты становится критически важным. Из-