А,В,Соколов, 0,М, Степанюк - Скачать документы

212
Таблица 3.2. Характеристика программных систем обнаружения сетевых атак
Программная система Производитель Характеристика системы
BlacklCE
(специализированное
приложение-агент)
Network ICE Устанавливается на компьютере удаленного пользователя
или на узле корпоративной сети.
Выдает предупреждение об атаке на экран монитора
пользователя.
Сообщает о попытке НСД на средства сетевого
мониторинга.
Имеет возможность загрузки свежих сигнатур хакерских
атак с сервера.
Выявляет источник атаки сети.
Intruder Alert
(инструментарий
детектирования
сетевых атак)
Centrax
(инструментарий
детектирования
сетевых атак)
eTrust Intrusion
Detection
(анализатор трафика
сети сегмента)
Alert
Technologies
Cyber Safe
Computer
Associates
Выбирает стратегию защиты сети.
Поддерживает высокий уровень набора правил сетевой
защиты.
Загружает сигнатуры хакерских атак.
Требует наличия опытных специалистов для обслуживания.
Контролирует систему безопасности сети.
Осуществляет мониторинг трафика.
Выдает предупреждающие сообщения о сетевой
атаке.
Требует наличия опытных специалистов для обслуживания.
Управляет стратегиями защиты.
Выдает предупреждения об атаке в режиме реального
времени.
Осуществляет мониторинг трафика.
Предупреждает администратора о нарушениях
стратегии защиты.
Сообщает о наличии ненормативной лексики в
электронной почте.
Располагает информацией о злоумышленнике.
Предупреждения, генерируемые агентами BlacklCE, очень конкретны. Текст сообщений
не заставит администратора усомниться в характере зарегистрированного события,
а в большинстве случаев и в его важности. Кроме того, продукт позволяет администратору
настроить содержание собственных предупреждающих сообщений, но
по большому счету в этом нет необходимости.
Весьма полезным свойством разработок Network ICE, а также пакета Intruder Alert
является возможность загрузки самых свежих сигнатур хакерских атак с сервера.
Попытки вывести из строя корпоративный сервер, который в результате вынужден
на запросы об обслуживании отвечать отказом (denial-of-service), таят в себе довольно
серьезную угрозу бизнесу компаний, предоставляющих своим клиентам услуги по
глобальной сети. Суть нападения сводится к тому, что злоумышленник генерирует
тысячи запросов SYN (на установление соединения), адресованных атакуемому серверу.
Каждый запрос снабжается фальшивым адресом источника, что значительно затрудняет
точную идентификацию самого факта атаки и выслеживание атакующего.
Приняв очередной запрос SYN, сервер предполагает, что речь идет о начале нового
сеанса связи и переходит в режим ожидания передачи данных. Несмотря на то, что
данные после этого не поступают, сервер обязан выждать определенное время (максимум
45 с), перед тем как разорвать соединение. Если несколько тысяч таких ложных