А,В,Соколов, 0,М, Степанюк - Скачать документы

210
;
на несколько IP-пакетов. Чтобы не попасться на эту удочку, убедитесь, что детектор атак
в состоянии собирать фрагменты пакетов для анализа сигнатур в реальном времени.
Вторая проблема состоит в добавлении злоумышленником ложных пакетов в TCPдиалог.
Несмотря на то, что конечный хост просто отвергнет лишний пакет, детектор
атак попытается его проанализировать. Если конечный хост проверяет порядковый
номер TCP, дабы убедиться, что пакеты транспортного уровня прибывают в правильном
порядке, то детектор вторжений, как правило, эту последовательность не отслеживает
и примет за реальные такие фальшивые пакеты, как запрос на прерывание соединения.
При получении фальшивого запроса на закрытие (типа TCP FIN), детектор
будет игнорировать все остальные пакеты в данном потоке, поскольку он будет уверен,
что конечный хост тоже их игнорирует. (Он считает, что соединение уже было
закрыто.)
Проявляющиеся сейчас в области межсетевых взаимодействий тенденции потребуют,
вероятно, серьезного пересмотра механизма современных систем выявления атак.
Технологии виртуальных частных сетей предусматривают внедрения пакетов внутрь
других пакетов, а технология шифрования делает практически невозможными проникновение
в эти пакеты и проверку сигнатуры атаки.
Кроме того, сетевые шлюзы все чаще и чаще рассчитаны на коммутацию пакетов
более высоких уровней со скоростью их поступления и принимают решения о направлении
пакетов на основе лишь определенных фрагментов в заголовке пакета. Выявление
атак станет, скорее всего, серьезным препятствием на пути повышения скорости
коммутаторов до многих гигабит. Производители признают, что они больше не в состоянии
предлагать порт для перехвата всех пакетов без значительного снижения производительности
коммутирующего оборудования. Одно из возможных решений этой
проблемы состоит в реализации распределенных систем выявления атак с несколькими
коллекторами с единой высокопроизводительной базой данных, сервер которой
имеет достаточную производительность для консолидации всей информации практически
в реальном времени. С другой стороны, производители сетевого оборудования
могли бы встраивать некоторый небольшой по размеру (хотелось бы надеяться, что
стандартный) код выявления атак в архитектуру коммутаторов.
Развертывание эффективных систем выявления атак представляет собой сложную
задачу, но она кажется тривиальной по сравнению с тем временем и усилиями, которые
вам придется потратить, чтобы обеспечить ту отдачу, на которую рассчитывала
ваша компания, в том числе на предпродажные исследования и постоянные модернизации
сигнатур атак. Администратору систем защиты не стоит ждать легкой жизни,
но он, безусловно, будет спокойнее спать, зная, что в вечно бодрствующем мире Internet
корпоративная сеть имеет недремлющего стража.
Программы обнаружения сетевых атак
Злоумышленники редко бесцеремонно вторгаются в сеть с «оружием» в руках. Они
предпочитают проверить, надежны ли запоры на двери и все ли окна закрыты. Они
незаметно анализируют образцы трафика, входящего в вашу сеть и исходящего из нее,
отдельные IP-адреса, а также выдают внешне нейтральные запросы, адресованные отдельным
пользователям и сетевым устройствам.