А,В,Соколов, 0,М, Степанюк - Скачать документы

214
исходящего будет безошибочно идентифицирован. В регистрационных журналах этой
системы присутствуют описания выданных предупреждений, но нет их идентификаторов.
Администратор видит адреса портов, к которым относились подозрительные запросы,
либо параметры других операций, но не получает никакой информации о том,
что же все это может означать.
Отмеченное обстоятельство значительно снижает ценность сообщений, выдаваемых
в режиме реального времени, поскольку невозможно сразу сообразить, отражает
ли описание события реальную угрозу системе безопасности или это всего лишь попытка
провести более тщательный анализ трафика. Иными словами, покупать названные
продукты имеет смысл лишь в том случае, если в штате вашей организации есть
опытные специалисты по информационной безопасности.
Программное обеспечение eTrust Intrusion Detection корпорации Computer
Associates представляет собой нечто большее, чем просто систему мониторинга сетевой
активности и выявления хакерских атак. Этот продукт способен не только декодировать
пакеты различных протоколов и служебный трафик, но и перехватывать их для
последующего вывода на управляющую консоль в исходном формате. Система осуществляет
мониторинг всего трафика TCP/IP и предупреждает администратора о случаях
нарушения установленных стратегий в области информационной безопасности.
Правда, эта разработка не поддерживает такого же уровня детализации наборов правил,
как Intruder Alert.
Однако детектирование попыток несанкционированного доступа и выдача предупреждающих
сообщений — это только полдела. Программные средства сетевой защиты
должны остановить действия хакера и принять контрмеры. В этом смысле наилучшее
впечатление производят пакеты Intruder Alert и Centrax, те самые, что вызвали
немалые нарекания по части настройки конфигурации. Если программы фирмы Network
ICE и ПО eTrust мгновенно закрывают угрожающие сеансы связи, то системы Intruder
Alert и Centrax идут еще дальше. Например, приложение компании Axent Technologies
можно настроить таким образом, что оно будет запускать тот или иной командный
файл в зависимости от характера зарегистрированных событий, скажем перезагружать
сервер, который подвергся атаке, приводящей к отказу в обслуживании.
Отразив атаку, хочется сразу перейти в контрнаступление. Приложения Black-ICE
и Centrax поддерживают таблицы с идентификаторами хакеров. Эти таблицы заполняются
после прослеживания всего пути до «логовища», где затаился неприятель. Возможности
программного обеспечения BlacklCE особенно впечатляют, когда дело доходит
до выявления источника атаки, расположенного внутри или вне сети: несмотря
на многочисленные хитроумные маневры, нам так и не удалось сохранить инкогнито.
А вот система eTrust поражает степенью проникновения в характер деятельности
каждого пользователя сети, зачастую даже не подозревающего о том, что он находится
под пристальным наблюдением. Одновременно этот пакет предоставляет наиболее
полную (и, пожалуй, наиболее точную) информацию о злоумышленниках, даже о том,
где они находятся.
Приложение Centrax способно создавать так называемые файлы-приманки, присваивая
второстепенному файлу многозначительное название вроде «Ведо-MocTb.xls»
и тем самым вводя в заблуждение излишне любопытных пользователей. Такой алгоритм
представляется нам слишком прямолинейным, но и он может сослужить непло-