А,В,Соколов, 0,М, Степанюк - Скачать документы

Глава 3. Основные пути обеспечения безопасности информации 209
за нехватки специалистов по защите все больший интерес в отрасли вызывают автоматизированные
системы реакции на атаку, с помощью которых система выявления атак
может сразу предпринять оборонительные (или, по крайней мере, сдерживающие) меры
в ответ на вторжение.
Распространенная ошибка при проектировании автоматизированных систем реакции
на атаку состоит в том, что такие системы часто делают именно то, на что рассчитывает
злоумышленник.
К примеру, рассмотрим политику защиты, при которой система выявления атак
отфильтровывает адрес отправителя, с которого, по имеющейся информации, производится
сканирование портов хостов в вашей сети. В действительности злоумышленник
достаточно просто может выдать себя за другой хост (подделав IP-адрес), что, в
конечном итоге, приведет к фильтрации пакетов ни в чем не повинного хоста (возможно,
одного из ваших партнеров по бизнесу или, хуже того, потенциального заказчика).
В этом случае злоумышленник, по сути, использует вашу автоматизированную систему
противодействия для проведения атаки по типу «отказ в обслуживании» и против
вашей сети, и против хоста, за который он себя выдает.
Вместо того чтобы отказывать в доступе подозреваемому в организации атаки, часто
полезнее получить больше информации о хосте, с которого производится атака:
можно попытаться отследить маршрут до хоста организатора атаки, провести обратный
поиск DNS по IP-адресу злоумышленника, постараться выяснить тип хоста (определить
тип ОС) и установить провайдера Internet инициатора вторжения.
Собранная информация позволит принять более взвешенное решение о том, что
следует сделать: отказать в доступе по всему периметру, предупредить администратора
или просто зарегистрировать событие как подозрительное. Не забудьте записать
всю собранную информацию (предпочтительно через Syslog) на удаленный хост, где
эти данные можно сохранить на вторичной системе хранения.
Целостность журналов и других критически важных системных файлов может быть
гарантирована с помощью инструментальных средств обеспечения целостности системных
файлов. Этот инструментарий периодически вычисляет контрольные суммы
для данных, находящихся в журналах регистрации, хранимых в безопасном месте.
Контрольные суммы затем регулярно пересчитываются и сравниваются с оригиналом,
обеспечивая таким образом неповрежденность журнальных файлов.
Кроме того, ваша политика защиты должна предусматривать периодический анализ
журналов для выявления подозрительной активности. Анализ файлов регистрации
и синтаксический разбор в реальном времени позволяют проводить целый ряд
соответствующих инструментальных средств (как коммерческих, так и свободно распространяемых).
Они способны помочь администратору систем защиты в решении
этой рутинной задачи.
При реализации технологии выявления атак администраторы систем защиты должны
помнить о двух основных ее недостатках:
G маскировки (evasion);
ГД вставки (insertion).
Сетевые детекторы используют стандартные или определенные пользователями сигнатуры,
которые они пытаются обнаружить в передаваемых по сети пакетах. Однако опытный
злоумышленник может замаскировать сигнатуру своей атаки, разбив один TCP-пакет