А,В,Соколов, 0,М, Степанюк - Скачать документы

Глава 3. Основные пути обеспечения безопасности информации 213
запросов будут направлены на сервер в течение считанных минут, он окажется перегружен,
так что на обработку настоящих запросов о предоставлении того или иного
сервиса ресурсов попросту не останется. Другими словами, в результате SYN-атаки
настоящим пользователям будет отказано в обслуживании.
Во всех описываемых системах, за исключением eTrust Intrusion Detection корпорации
Computer Associates, использована модель программных агентов, которые сначала
инсталлируются на сетевых устройствах, а затем осуществляют сбор информации
о потенциальных атаках и пересылают ее на консоль. Агенты выявляют случаи
нарушения установленных стратегий защиты и после этого генерируют соответствующие
сообщения.
Системы на базе агентов являются наилучшим решением для коммутируемых сетей,
поскольку в таких сетях не существует какой-либо одной точки, через которую
обязательно проходит весь трафик. Вместо того чтобы следить за единственным соединением,
агент осуществляет мониторинг всех пакетов, принимаемых или отправляемых
устройством, где он установлен. В результате злоумышленникам не удается
«отсидеться» за коммутатором.
Сказанное можно проиллюстрировать на примере продукции фирмы Network ICE.
Программе BlacklCE отведена роль агента, устанавливаемого в полностью автономной
операционной среде, например, на компьютере удаленного пользователя либо на
одном из узлов корпоративной сети передачи данных. Обнаружив хакера, атакующего
удаленную машину, агент выдаст предупреждение непосредственно на ее экран. Если
же аналогичное событие окажется зафиксировано в корпоративной сети, сообщение о
попытке несанкционированного доступа будет передано другому приложению —
ICEcap, содержащему средства сетевого мониторинга. Последнее собирает и сопоставляет
информацию, поступающую от разных подчиненных ему агентов, и это дает
ему возможность оперативно выявлять события, действительно угрожающие безопасности
сети.
Система eTrust, напротив, основана на централизованной архитектуре. Она устанавливается
на центральном узле и анализирует трафик в подведомственном сетевом
сегменте. Отсутствие агентов не позволяет данному продукту отслеживать все события
в коммутируемой сети, поскольку в ней невозможно выбрать единственную «смотровую
площадку», откуда вся сеть была бы видна как на ладони.
Пакет Intruder Alert и система Centrax производства CyberSafe представляют собой
скорее инструментарий для построения собственной системы детектирования сетевых
атак. Чтобы в полной мере воспользоваться их возможностями, организация
должна иметь в своем штате программистов соответствующей квалификации либо
располагать бюджетом, позволяющим заказать подобную работу.
Несмотря на то, что все описываемые продукты легко инсталлировать, управление
системами Intruder Alert и Centrax простым не назовешь. Скажем, если Centrax выдает
предупреждающее сообщение неизвестного или неопределенного содержания
(а такая ситуация не раз имела место в наших тестах), администратор вряд ли сумеет
быстро определить, что же, собственно, произошло, особенно если для уточнения
диагноза ему придется обратиться к файлам регистрации событий. Эти файлы отличаются
исчерпывающей полнотой, однако разработчики, по-видимому, решили, что обычному
человеку достаточно только намекнуть, о чем может идти речь, и характер про-