Сетевые системы обнаружения вторжений. Подвиды IDS по методам выявления атак
Сегодня возможности обнаружения вторжения становятся необходимыми добавлениями к инфраструктуре защиты информации каждой крупной компании. Вопрос о том, необходима ли система обнаружения вторжения (СОВ), для профессионалов защиты информации уже не стоит, однако перед ними возникает проблема выбора такой системы для конкретной организации. Кроме того, высокая стоимость подобных продуктов заставляет более тщательно подходить к обоснованию необходимости их использования .
Типы систем обнаружения вторжений
На сегодняшний день существует несколько различных типов СОВ, отличающихся различными алгоритмами мониторинга данных и подходами к их анализу. Каждому типу системы соответствуют те или иные особенности использования, преимущества и недостатки.
Один из способов классификации СОВ основывается на уяснении того, что они, собственно, контролируют. Одни контролируют весь сетевой трафик и анализируют сетевые пакеты, другие разворачиваются на отдельных компьютерах и контролируют операционную систему на предмет выявления признаков вторжения, третьи, как правило, контролируют отдельные приложения.
СОВ, защищающие сегмент сети
Этот класс СОВ в настоящее время наиболее распространен среди коммерческих продуктов. Система обычно состоит из нескольких специализированных серверов, которые анализируют сетевой трафик в различных сегментах сети и передают сообщения о возможном нападении на централизованную консоль управления. Никакие другие приложения не работают на серверах используемых СОВ, поэтому они могут быть защищены от нападения, в том числе специальными средствами. Многие из них могут функционировать в «стелс»-режиме, что затрудняет обнаружение нападающих и определение их местонахождения в сети.
Преимущества:
несколько удачно расположенных систем могут контролировать большую сеть;
их развертывание оказывает незначительное воздействие на существующую сеть. Подобные СОВ, как правило, пассивные устройства, которые перехватывают сетевой трафик, не загружая сеть служебными потоками;
cистема может быть весьма защищенной от нападений на нее саму, к тому же отдельные ее узлы можно сделать невидимыми для нападающих.
Недостатки:
не в состоянии распознавать нападение, начатое в момент высокой загрузки сети. Некоторые разработчики пытаются решить эту проблему, реализуя СОВ на основе аппаратных средств, обладающих более высокой скоростью. Кроме того, необходимость быстро анализировать пакеты вынуждает разработчиков обнаруживать нападение с минимальными затратами вычислительных ресурсов, что серьезно снижает эффективность обнаружения;
многие из преимуществ СОВ небольших сегментов (обычно один высокоскоростной канал Ethernet на сервер) и обеспечивают выделенные каналы между серверами, обслуживаемыми тем же коммутатором. Большинство коммутаторов не обеспечивают универсальные порты управления, что сокращает контролирующий диапазон датчика СОВ. В таких коммутаторах отдельный порт зачастую не может отразить весь трафик, проходящий через коммутатор;
не способны анализировать зашифрованную информацию;
сообщают об инициированном нападении, не анализируя степень проникновения.
СОВ, защищающие отдельный сервер
Данные системы работают, анализируя активность процессов на конкретном сервере, на котором установлены; собирают информацию о контролируемом ими сервере. Это позволяет СОВ анализировать действия на сервере с высокой степенью детализации и точно определять, кто из пользователей выполняет злонамеренные действия в операционной системе сервера .
Некоторые СОВ этого класса имеют возможность управлять группой серверов, подготавливая централизованные отчеты о возможных нападениях, которые обобщаются на консоли администратора защиты. Другие генерируют сообщения, совместимые с системами управления сетью.
Преимущества:
обнаруживают нападения, которые не выявляют СОВ, защищающие сегмент сети, так как имеют представление о событиях, локализованных на конкретном сервере;
работают в сети, использующей шифрование данных, когда информация находится в открытом виде на сервере до ее отправки потребителю;
функционируют в коммутируемых сетях.
Недостатки:
механизмы сбора информации должны устанавливаться и поддерживаться на каждом сервере, который будет контролироваться;
могут быть атакованы и заблокированы подготовленным противником;
не способны контролировать ситуацию во всей сети, так как «видят» только сетевые пакеты, получаемые сервером, на котором они установлены;
трудности в обнаружении и противодействии нападениям с отказом в обслуживании;
используют вычислительные ресурсы сервера, который контролируют, снижая тем самым эффективность его работы.
СОВ на основе защиты приложений
Эти системы контролируют события, проявляющиеся в пределах отдельного приложения, и нередко обнаруживают нападения при анализе системных журналов приложения. Возможность связываться непосредственно с приложением посредством служебного интерфейса, а также большой запас прикладных знаний о приложении позволяют СОВ данного класса обеспечивать более детальное представление о подозрительной деятельности в приложении.
Преимущества:
контролируют деятельность с очень высокой степенью детализации, позволяющей им прослеживать неправомочную деятельность индивидуальных пользователей;
способны работать в зашифрованных средах.
Некоторые эксперты отмечают, что различие между системами на основе защиты приложений и системами на основе защиты отдельного сервера не всегда четко прослеживаются, поэтому в дальнейшем оба класса будем относить к системам обнаружения вторжений на основе защиты отдельного сервера.
Подходы к анализу событий.
В настоящее время существуют два основных подхода к анализу событий: обнаружение сигнатуры и обнаружение аномалии.
СОВ на основе сигнатуры
Подход к обнаружению вторжения на основе сигнатуры выявляет деятельность, которая соответствует предопределенному набору событий, уникально описывающих известное нападение. Следовательно, системы на основе сигнатуры должны быть заранее запрограммированы, чтобы обнаружить каждое известное нападение. Эта методика чрезвычайно эффективна и является основным методом, используемым в коммерческих программах.
Преимущества:
весьма эффективны при обнаружении нападений, не генерируя значительное число ложных тревог.
Недостатки:
системы на основе сигнатуры должны быть заранее запрограммированы, чтобы обнаруживать каждое нападение, и постоянно модифицироваться сигнатурами новых нападений;
сами сигнатуры во многих системах данного класса определены достаточно узко, что затрудняет обнаружение ими вариантов традиционных нападений, сигнатура которых незначительно отличается от имеющейся в их базе.
В вышедшем на прошлой неделе обзоре корпоративных IPS-решений на российском рынке от Anti-Malware всё хорошо, кроме, собственно, самого обзора именно российских решений. Позволю себе немного дополнить коллег.
Как и большинство продуктов на нашем рынке средств информационной безопасности, системы детектирования/предотвращения атак можно классифицировать по следующим двум признакам:
- сертификация:
- отсутствует
- сделана минимальная «для галочки»
- высокий уровень сертификации
- признанность (распространённость) продукта:
- известен и используется в мире
- присутствует только на региональном рынке
В зависимости от сочетания этих двух параметров можно так описать тип вендора, принимая во внимание, конечно, что на практике, ситуация чаще всего будет смешанная.
Теперь, собственно, перейдём к отечественным IPS/IDS, сам факт существование которых во многом определяется наличием соответствующих требований регуляторов. Формализованные требования к этому классу решений достаточно давно (с 2002 года) существуют у ФСБ, а с прошлого года появились и у ФСТЭК.
ФСБ называет этот класс устройств СОА (системы обнаружения атак) и выделяет 4 класса — от Г до А (от низшего к высшему), при этом каждый последующий класс включает весь функционал предыдущих. Требования ФСБ имеют пометку «Для служебного пользования» и просто так их не достать.
ФСТЭК такие системы называет СОВ (системы обнаружения вторжений), что невероятно удобно, так как сертификацию ФСБ и ФСТЭК ни за что не спутаешь =) С сутью требований ФСТЭК чуть легче: есть хотя бы общая информация в письме на сайте ФСТЭК , где поясняется, что всего устанавливается шесть классов защиты СОВ (шестой — низший). Соответствующие профили защиты для классов с шестого по четвёртый на сайте ФСТЭК отсутствуют (хотя в письме указано иное), но в Интернет их найти при желании можно.
Всего по требованиям ФСБ, согласно сертифицировано шесть продуктов (все отечественные), а по новым требованиям ФСТЭК пока только четыре (два отечественных и два импортных). При этом есть ещё IDS, сертифицированные во ФСТЭК на соответствие техническим условиям (ТУ) ещё до вступления в силу новых требований к СОВ, но сегодня нас интересуют только отечественные производители, а таковы среди этих решений только два.
Итоговый список отечественных IDS и их сертификатов выглядит так:
Со мной можно спорить, но по моему мнению все данные продукты чётко попадают в категорию «Бумаженщиков», как бы обидно такое определение для них ни звучало.
К сожалению, по некоторым решениям общедоступные сведения есть только обрывочные, что связано, видимо, с их очень специфической областью применения. По части отечественных систем обнаружения атак чуть ли не самым информативным источником оказалась вот эта презентация представителя ФСБ Д.Н. Сатанина. Найденные в сети Интернет описания всех продуктов добавил в и дабы не дублировать информацию из Каталога в посте, привожу только ссылки на продукты.
Обнаружения вторжений - это программные или аппаратные средства обнаружения атак и вредоносных действий. Они помогают сетям и компьютерным системам давать им надлежащий отпор. Для достижения этой цели IDS производит сбор информации с многочисленных системных или сетевых источников. Затем система IDS анализирует ее на предмет наличия атак. В данной статье будет предпринята попытка ответить на вопрос: "IDS - что это такое и для чего она нужна?"
Для чего нужны системы обнаружения вторжения (IDS)
Информационные системы и сети постоянно подвергаются кибер-атакам. Брандмауэров и антивирусов для отражения всех этих атак оказывается явно недостаточно, поскольку они лишь способны защитить «парадный вход» компьютерных систем и сетей. Разные подростки, возомнившие себя хакерами, беспрерывно рыщут по интернету в поисках щелей в системах безопасности.
Благодаря всемирной паутине в их распоряжении очень много совершенно бесплатного вредоносного софта - всяких слеммеров, слепперов и тому подобных вредных программ. Услугами же профессиональных взломщиков пользуются конкурирующие компании для нейтрализации друг друга. Так что системы, которые обнаруживают вторжение (intrusion detection systems), - насущная необходимость. Неудивительно, что с каждым днем они все более широко используются.
Элементы IDS
К элементам IDS относятся:
- детекторная подсистема, цель которой - накопление событий сети или компьютерной системы;
- подсистема анализа, которая обнаруживает кибер-атаки и сомнительную активность;
- хранилище для накопления информации про события, а также результаты анализа кибер-атак и несанкционированных действий;
- консоль управления, при помощи которой можно задавать параметры IDS, следить за состоянием сети (или компьютерной системы), иметь доступ к информации про обнаруженные подсистемой анализа атаки и неправомерные действия.
Кстати, многие могут спросить: "Как переводится IDS?" Перевод с английского звучит как "система, которая застает на горячем незваных гостей".
Основные задачи, которые решают системы обнаружения вторжений
Система обнаружения вторжений имеет две основные задачи: анализ и адекватная реакция, основанная на результатах этого анализа. Для выполнения этих задач система IDS осуществляет следующие действия:
- мониторит и анализирует активность пользователей;
- занимается аудитом конфигурации системы и ее слабых мест;
- проверяет целостность важнейших системных файлов, а также файлов данных;
- проводит статистический анализ состояний системы, основанный на сравнении с теми состояниями, которые имели место во время уже известных атак;
- осуществляет аудит операционной системы.
Что может обеспечить система обнаружения вторжений и что ей не под силу
С ее помощью можно добиться следующего:
- улучшить параметры целостности ;
- проследить активность пользователя от момента его вхождения в систему и до момента нанесения ей вреда или произведения каких-либо несанкционированных действий;
- распознать и оповестить про изменение или удаление данных;
- автоматизировать задачи мониторинга интернета с целью поиска самых последних атак;
- выявить ошибки в конфигурации системы;
- обнаружить начало атаки и оповестить об этом.
Система IDS это сделать не может:
- восполнить недостатки в сетевых протоколах;
- сыграть компенсаторную роль в случае наличия слабых механизмов идентификации и аутентификации в сетях или компьютерных системах, которые она мониторит;
- также следует заметить, что IDS не всегда справляется с проблемами, связанными с атаками на пакетном уровне (packet-level).
IPS (intrusion prevention system) - продолжение IDS
IPS расшифровывается как "предотвращение вторжения в систему". Это расширенные, более функциональные разновидности IDS. IPS IDS системы реактивны (в отличие от обычной). Это означает, что они могут не только выявлять, записывать и оповещать об атаке, но также и выполнять защитные функции. Эти функции включают сброс соединений и блокировку поступающих пакетов трафика. Еще одной отличительной чертой IPS является то, что они работают в режиме онлайн и могут автоматически заблокировать атаки.
Подвиды IDS по способу мониторинга
NIDS (то есть IDS, которые мониторят всю сеть (network)) занимаются анализом трафика всей подсети и управляются централизованно. Правильным расположением нескольких NIDS можно добиться мониторинга довольно большой по размеру сети.
Они работают в неразборчивом режиме (то есть проверяют все поступающие пакеты, а не делают это выборочно), сравнивая трафик подсети с известными атаками со своей библиотеки. Когда атака идентифицирована или же обнаружена несанкционированная активность, администратору посылается сигнал тревоги. Однако следует упомянуть, что в большой сети с большим трафиком NIDS иногда не справляются с проверкой всех информационных пакетов. Поэтому существует вероятность того, что во время «часа пик» они не смогут распознать атаку.
NIDS (network-based IDS) - это те системы, которые легко встраивать в новые топологии сети, поскольку особого влияния на их функционирование они не оказывают, являясь пассивными. Они лишь фиксируют, записывают и оповещают, в отличие от реактивного типа систем IPS, о которых речь шла выше. Однако нужно также сказать о network-based IDS, что это системы, которые не могут производить анализ информации, подвергнутой шифрованию. Это существенный недостаток, поскольку из-за все более широкого внедрения виртуальных частных сетей (VPN) шифрованная информация все чаще используется киберпреступниками для атак.
Также NIDS не могут определить, что случилось в результате атаки, нанесла она вред или нет. Все, что им под силу, - это зафиксировать ее начало. Поэтому администратор вынужден самостоятельно перепроверять каждый случай атаки, чтобы удостовериться в том, что атакующие добились своего. Еще одной существенной проблемой является то, что NIDS с трудом фиксирует атаки при помощи фрагментированных пакетов. Они особенно опасны, поскольку могут нарушить нормальную работу NIDS. Что это может означать для всей сети или компьютерной системы, объяснять не нужно.
HIDS (host intrusion detection system)
HIDS (IDS, мониторящие хост (host)) обслуживают лишь конкретный компьютер. Это, естественно, обеспечивает намного более высокую эффективность. HIDS анализируют два типа информации: системные логи и результаты аудита операционной системы. Они делают снимок системных файлов и сравнивают его с более ранним снимком. Если критично важные для системы файлы были изменены или удалены, то тогда администратору посылается сигнал тревоги.
Существенным преимуществом HIDS является способность выполнять свою работу в ситуации, когда сетевой трафик поддается шифровке. Такое возможно благодаря тому, что находящиеся на хосте (host-based) источники информации можно создавать перед тем, как данные поддаются шифрованию, или после их расшифровки на хосте назначения.
К недостаткам данной системы можно отнести возможность ее блокирования или даже запрещения при помощи определенных типов DoS-атак. Проблема здесь в том, что сенсоры и некоторые средства анализа HIDS находятся на хосте, который подвергается атаке, то есть их тоже атакуют. Тот факт, что HIDS пользуются ресурсами хостов, работу которых они мониторят, тоже сложно назвать плюсом, поскольку это, естественно, уменьшает их производительность.
Подвиды IDS по методам выявления атак
Метод аномалий, метод анализа сигнатур и метод политик - такие подвиды по методам выявления атак имеет система IDS.
Метод анализа сигнатур
В этом случае пакеты данных проверяются на наличие сигнатур атаки. Сигнатура атаки - это соответствие события одному из образцов, описывающих известную атаку. Этот метод достаточно эффективен, поскольку при его использовании сообщения о ложных атаках достаточно редки.
Метод аномалий
При его помощи обнаруживаются неправомерные действия в сети и на хостах. На основании истории нормальной работы хоста и сети создаются специальные профили с данными про это. Потом в игру вступают специальные детекторы, которые анализируют события. При помощи различных алгоритмов они производят анализ этих событий, сравнивая их с «нормой» в профилях. Отсутствие надобности накапливать огромное количество сигнатур атак - несомненный плюс этого метода. Однако немалое количество ложных сигналов про атаки при нетипичных, но вполне законных событиях в сети - это несомненный его минус.
Метод политик
Еще одним методом выявления атак является метод политик. Суть его - в создании правил сетевой безопасности, в которых, к примеру, может указываться принцип взаимодействия сетей между собой и используемые при этом протоколы. Этот метод перспективен, однако сложность заключается в достаточно непростом процессе создания базы политик.
ID Systems обеспечит надежной защитой ваши сети и компьютерные системы
Группа компаний ID Systems на сегодняшний день является одним из лидеров рынка в области создания систем безопасности для компьютерных сетей. Она обеспечит вас надежной защитой от кибер-злодеев. С системами защиты ID Systems вы сможете не переживать за важные для вас данные. Благодаря этому вы сможете больше наслаждаться жизнью, поскольку у вас на душе будет меньше тревог.
ID Systems - отзывы сотрудников
Прекрасный коллектив, а главное, конечно, - это правильное отношение руководства компании к своим сотрудникам. У всех (даже неоперившихся новичков) есть возможность профессионального роста. Правда, для этого, естественно, нужно проявить себя, и тогда все получится.
В коллективе здоровая атмосфера. Новичков всегда всему обучат и все покажут. Никакой нездоровой конкуренции не ощущается. Сотрудники, которые работают в компании уже многие годы, с радостью делятся всеми техническими тонкостями. Они доброжелательно, даже без тени снисходительности отвечают на самые глупые вопросы неопытных работников. В общем, от работы в ID Systems одни приятные эмоции.
Отношение руководства приятно радует. Также радует то, что здесь, очевидно, умеют работать с кадрами, потому что коллектив действительно высокопрофессиональный подобрался. Мнение сотрудников практически однозначно: они чувствуют себя на работе как дома.
Как и многие новые технологии, обнаружение атак (intrusion detection) неоднозначно воспринимается многими людьми. Также неоднозначно эта технология и понимается. Обнаружение атак - очень широкая область, которая охватывает многие аспекты, начиная с датчиков движения и систем видеонаблюдения и, заканчивая системами обнаружения мошенничества в реальном масштабе времени. Данная лекция не позволяет рассказать обо всех аспектах этой технологии. Поэтому я рассмотрю только обнаружение нефизических атак на вычислительные или сетевые ресурсы. И, прежде чем начать дальнейшее повествование, я дам определение технологии обнаружения атак, от которого я и буду отталкиваться.
Обнаружение атак - это процесс идентификации и реагирования на подозрительную деятельность, направленную на вычислительные или сетевые ресурсы.
Атака - это любое действие нарушителя, которое приводит к реализации угрозы путем использования уязвимостей вычислительной системы.
Введение в
системы обнаружения атак
Сообщения о
проникновении в корпоративные сети и атаках на
Web-сервера в последнее время появляются с
ужасающей частотой. Число и сложность
предлагаемых на рынке информационных технологий
периодически растет. Очень часто злоумышленники
преодолевают установленные в компании или банке
защитные средства (системы аутентификации,
межсетевые экраны и т.д.), установленные для
разграничения доступа к ресурсам корпоративной
сети. С увеличением квалификации злоумышленники
становятся более изощренными в разработке и
применении методов проникновения за защитную
преграду. Обнаружить таких злоумышленников
очень трудно. Они маскируются под авторизованных
пользователей, используют промежуточные узлы
для сокрытия своего истинного адреса,
осуществляют атаки распределенные во времени (в
течение нескольких часов) и пространстве
(одновременно с нескольких узлов) и т.д. Многие
атаки осуществляются за очень короткое время
(минуты и даже секунды), что также не позволяет
обнаружить и предотвратить их стандартными
защитными средствами.
Связано это с тем,
что большинство компьютерных защитных систем
построено на классических моделях разграничения
доступа, разработанных в 70-х, 80-х годах. Согласно
этим моделям субъекту (пользователю или
программе) на основе заданных правил разрешается
или запрещается доступ к какому-либо объекту
(например, файлу). Однако действия, производимые
субъектом над
объектом, никак не регламентируется и таким
образом невозможно, например, предотвратить
копирование файла пользователем, которому
доступ к данному файлу разрешен. Развитие этих
моделей позволило устранить эти недостатки
путем контроля конфиденциальности (модель
Белла-Лападула) или целостности (модель Биба)
информационных потоков. Однако возникает
закономерное противоречие между удобством
использования системы и уровнем обеспечиваемой
ею безопасности. Приходится чем-то жертвовать.
Либо удобством использования защищаемой
системы, либо уровнем ее защищенности. Очень
трудно придти к компромиссу и найти такую
конфигурацию системы, которая совмещает в себе и
достаточный уровень ее защищенности, и удобство
в эксплуатации.
Кроме того,
модели управления доступом не могут помочь в
случае реализации атак от "посвященных",
авторизованных пользователей или процессов
(программ), прошедших процедуру аутентификации.
Если злоумышленник подобрал или перехватил Ваш
пароль (а делается это достаточно легко), то
никакая система разграничения доступа не
поможет предотвратить кражу или подмену
информации, доступную для скомпрометированного
пользователя.
Еще совсем
недавно, когда корпоративные сети и Internet не были
столь широко распространены как сегодня,
системный администратор мог позволить себе
изредка просматривать списки рассылки по
вопросам безопасности (ISS X-Force, CERT Advisory, Bugtraq и т.д.)
и, в случае обнаружения новой уязвимости,
предотвратить ее использование злоумышленником,
установив для своей операционной системы новые
"заплаты" (patch"и и hotfix"ы). Однако это
обновление могло быть удалено пользователем или
другим администратором случайно или в процессе
работы. Через неделю или месяц администратор мог
вновь проверить свою систему, и вновь установить
необходимую "заплату". Однако сейчас все
изменилось, сетевые и информационные технологии
меняются настолько быстро, что статичные
защитные механизмы, к которым относятся и
системы разграничения доступа, и межсетевые
экраны, и системы аутентификации, сильно
ограничены и во многих случаях не могут
обеспечить эффективной защиты. Следовательно,
необходимы динамические методы, позволяющие
обнаруживать и предотвращать нарушения
безопасности.
Одной из
технологий, которая может быть применена для
обнаружения нарушений, которые не могут быть
идентифицированы при помощи моделей контроля
доступа является технология обнаружения атак.
Для описания
технологии обнаружения атак необходимо
последовательно ответить на четыре вопроса,
которые почти полностью охватывают все аспекты
данной технологии.
Какой бы эффективный метод получения информации
об атаках ни использовался, эффективность
системы обнаружения атак во многом зависит от
применяемых методов анализа полученной
информации. В самых первых системах обнаружения
атак, разработанных в начале 80-х годов,
использовались статистические методы
обнаружения атак. Однако математика не стоит на
месте, и сейчас к статистическому анализу
добавилось множество новых методик, начиная с
нечеткой логики и заканчивая использованием
нейронных сетей.
Каждый из
описанных ниже методов обладает целям рядом
достоинств и недостатков и поэтому сейчас
практически трудно встретить систему,
реализующую только один из описанных методов.
Как правило, эти методы используются в
совокупности.
Статистический метод
В анализируемой
системе первоначально определяются профили для
всех ее субъектов. Любое отклонение
используемого профиля от эталонного считается
несанкционированной деятельностью. Основные
преимущества статистического подхода - это
адаптация к поведению субъекта и использование
уже разработанного и зарекомендовавшего себя
аппарата математической статистики. Кроме того,
статистические методы универсальны, т.к. не
требуется знания о возможных атаках и
используемых ими уязвимостях. Однако при
использовании этих методик возникает и
несколько проблем.
Во-первых,
"статистические" системы могут быть с
течением времени "обучены" нарушителями
так, чтобы атакующие действия рассматривались
как нормальные. Во-вторых, "статистические"
системы не чувствительны к порядку следования
событий. А в некоторых случаях одни и те же
события в зависимости от порядка их следования
могут характеризовать аномальную или нормальную
деятельность. И, наконец, очень трудно задать
граничные (пороговые) значения отслеживаемых
системой обнаружения атак характеристик, чтобы
адекватно идентифицировать аномальную
деятельность. Кроме того, данные методы
неприменимы в тех случаях, когда для
пользователя отсутствует шаблон типичного
поведения или когда для пользователя
несанкционированные действия типичны.
Использование экспертных систем
Использование
экспертных систем представляет собой второй
распространенный метод, при котором информация
об атаках формулируются в виде правил, которые
могут быть записаны, например, в виде
последовательности действий или в виде
сигнатуры. В случае выполнения любого из правил
принимается решение о несанкционированной
деятельности.
Основное
достоинство такого подхода - практически полное
отсутствие ложных тревог. Однако есть и
недостатки, основной из которых невозможность
отражения неизвестных атак. Даже небольшое
изменение уже известной атаки может стать
большим препятствием для системы обнаружения
атак.
Нейронные сети
Большинство
современных подходов к процессу обнаружения
атак используют некоторую форму анализа
контролируемого пространства на основе правил
или статистических методов. В качестве
контролируемого пространства могут выступать
журналы регистрации или сетевой трафик. Этот
анализ опирается на набор заранее определенных
правил, которые создаются администратором или
самой системой обнаружения атак. Экспертные
системы представляют наиболее распространенную
форму подходов к обнаружению атак на основе
правил. Экспертная система состоит из набора
правил, которые охватывают знания
человека-"эксперта". К сожалению, экспертные
системы требуют постоянного обновления для того,
чтобы оставаться постоянно актуальными. В то
время как экспертные системы предлагают хорошую
возможность для просмотра данных в журналах
регистрации, требуемые обновления могут либо
игнорироваться, либо выполняться вручную
администратором. Как минимум, это приведет к
экспертной системе с недостаточными
(ослабленными) возможностями. В худшем случае,
отсутствие сопровождения снизит степень
защищенности всей сети, вводя ее пользователей в
заблуждение относительно действительного
уровня защищенности.
Любое разделение
атаки либо во времени, либо среди нескольких
злоумышленников, является трудным для
обнаружения при помощи экспертных систем.
Сетевые атаки постоянно изменяются, поскольку
хакеры используют индивидуальные подходы, а
также в связи с регулярными изменениями в ПО и
аппаратных средствах выбранных систем. Из-за
неограниченного разнообразия атак и хакеров
даже специальные постоянные обновления базы
данных правил экспертной системы никогда не
дадут гарантии точной идентификации всего
диапазона атак.
Одним из путей
устранения названных проблем является
использование нейронных сетей. В отличие от
экспертных систем, которые могут дать
пользователю определенный ответ, соответствуют
или нет рассматриваемые характеристики
характеристикам, заложенным в базе данных
правил, нейросеть проводит анализ информации и
предоставляет возможность оценить, согласуются
ли данные с характеристиками, которые она
научена распознавать. В то время как степень
соответствия нейросетевого представления может
достигать 100%, достоверность выбора полностью
зависит от качества системы в анализе примеров
поставленной задачи (т.н. обучение).
Первоначально
нейросеть обучается путем правильной
идентификации предварительно выбранных
примеров предметной области. Реакция нейросети
анализируется и система настраивается таким
образом, чтобы достичь удовлетворительных
результатов. В дополнение к первоначальномупериоду обучения, нейросеть также
набирается опыта с течением времени, по мере
того, как она проводит анализ данных, связанных с
предметной областью. Наиболее важное
преимущество нейросетей при обнаружении
злоупотреблений заключается в их способности
"изучать" характеристики умышленных атак и
идентифицировать элементы, которые не похожи на
те, что наблюдались в сети прежде.
Корреляция (в
рассматриваемой области) - это процесс
интерпретации, обобщения и анализа информации из
всех доступных источников о деятельности
анализируемой системы в целях обнаружения атак и
реагирования на них.
Если не вдаваться в
подробности процесса корреляции данных, то можно
выделить два аспекта, на которые следует
обратить внимание при выборе системы
обнаружения атак. Первый аспект - число сессий
(сетевых или пользовательских), анализируемых
одновременно анализ. В настоящий момент
практически все системы осуществляют анализ в
заданный момент времени всего одной сессии, что
не позволяет, например, обнаруживать
скоординированные атаки из нескольких
источников.
Второй аспект -
когда осуществлять анализ, в реальном режиме
времени или после осуществления атаки. Казалось
бы, ответ очевиден - конечно в реальном времени.
Однако все не так просто. Большей точности (хотя
иногда и в ущерб эффективности) распознавания
можно добиться именно после осуществления атаки,
когда в вашем распоряжении находится вся
информация об инциденте.
Недостаточно обнаружить атаку. Надо еще и своевременно среагировать на нее. Причем реакция на атаку - это не только ее блокирование. Часто бывает необходимо "пропустить" атакующего в сеть компании, для того чтобы зафиксировать все его действия и в дальнейшем использовать их в процессе разбирательства. Поэтому в существующих системах применяется широкий спектр методов реагирования, которые можно условно разделить на 3 категории: уведомление, хранение и активное реагирование. Применение той или иной реакции зависит от многих факторов, описание которых выходит за рамки данной статьи.
Уведомление
Самым простым и
широко распространенным методом уведомления
является посылка администратору безопасности
сообщений об атаке на консоль системы
обнаружения атак. Поскольку такая консоль не
может быть установлена у каждого сотрудника,
отвечающего в организации за безопасность, а
также в тех случаях, когда этих сотрудников могут
интересовать не все события безопасности,
необходимо применение иных механизмов
уведомления. Таким механизмом является посылка
сообщений по электронной почте, на пейджер, по
факсу или по телефону. Последние два варианта
присутствуют только в системе обнаружения атак
RealSecure американской компании Internet Security Systems, Inc.
К категории
"уведомление" относится также посылка
управляющих последовательностей к другим
системам. Например, к системам сетевого
управления (HP OpenView, Tivoli TME10, CA Unicenter и т.д.) или к
межсетевым экранам (CheckPoint Firewall-1, Lucent Managed Firewal
l, Raptor Firewall и т.д.). В первом случае
используется стандартизованный протокол SNMP, а во
втором - внутренние или стандартизованные
(например, SAMP) протоколы.
Сохранение
К категории
"сохранение" относятся два варианта
реагирования: регистрация события в базе данных
и воспроизведение атаки в реальном масштабе
времени. Первый вариант широко распространен и в
других системах защиты и на нем не стоит долго
останавливаться. Второй вариант более интересен.
Он позволяет администратору безопасности
воспроизводить в реальном масштабе времени (или
с заданной скоростью) все действия,
осуществляемые атакующим. Это позволяет не
только проанализировать "успешные" атаки и
предотвратить их в дальнейшем, но и использовать
собранные данные для разбирательств.
Активное реагирование
К этой категории
относятся следующие варианты реагирования:
блокировка работы атакующего, завершение сессии
с атакующим узлом, управлением сетевым
оборудованием и средствами защиты. Эта категория
механизмов реагирования, с одной стороны,
достаточно эффективна, а с другой, использовать
их надо очень аккуратно, т.к. неправильная их
эксплуатация может привести к нарушению
работоспособности всей вычислительной системы.
Требования пользователей
Необходимо заранее
определить, от чего и от кого надо защищать свою
вычислительную систему. Следует определить
соотношение между затратами (зачастую немалыми)
на приобретение и эксплуатацию системы
обнаружение атак и выгодой от ее использования
. Процесс выбора одной из более чем 30
существующих на рынке систем может занять не
одну неделю или месяц. Но эти усилия стоят того.
Правильный выбор системы обнаружения атак
поможет сэкономить сотни тысяч долларов, которые
могли бы быть утеряны в случае нарушения
функционирования вычислительной системы.
Однако какими бы
эффективными ни были механизмы, заложенные в
систему обнаружения атак, она не найдет
применения, если она не отвечает требованиям
пользователей. Чем сложнее система обнаружения
атак, тем выше ее стоимость. Однако стоимость -
это не единственный основополагающий фактор при
осуществлении выбора. Необходимо учитывать и
применяемые механизмы получения информации об
атаках, алгоритмы анализа и корреляции данных,
варианты реагирования, производительность
системы, ее надежность и т.д. Число таких
параметров достаточно велико. В целом, все
требования, которые необходимо учитывать при
выборе систем обнаружения атак, можно условно
разделить на несколько групп:
- Инсталляция и развертывание системы;
- Безопасность самой системы;
- Обнаружение атак;
- Реагирование на атаки;
- Конфигурация системы;
- Контроль событий;
- Управление данными системы;
- Производительность системы;
- Архитектура системы;
- Техническая поддержка системы.
Не стоит выбирать систему обнаружения атак,
основываясь только на текущей ситуации.
Попытайтесь заглянуть в будущее и
проанализировать рост вычислительной системы,
изменение предоставляемых ею услуг и т.д.
Учитывая это, вы сможете эффективно вложить свои
средства в систему защиты уже сейчас.
Немаловажным
является вопрос внедрения системы обнаружения
атак в существующую технологию обработки
информации и, затем, адаптации ее к окружающим
условиям. Одновременно с внедрением необходимо
провести обучение персонала правилам
использования системы в организации. Необходимо
заметить, что система обнаружения атак не сможет
обеспечить абсолютной защиты от всех атак; она
поможет выявить подозрительный трафик и иные
формы несанкционированного доступа. Однако
наибольшей эффективности при использовании
системы обнаружения атак можно достичь, еслик ней "прилагаются" специалисты,
способные правильно эксплуатировать систему и
понимающие, когда и как реагировать на
выдаваемые ею сообщения.
Более подробно с
требованиями, предъявляемыми к системам
обнаружения атак можно ознакомиться в документе
"Системы обнаружения атак. Стратегия
выбора", разработанном в Научно-инженерном
предприятии "Информзащита", получить
который можно, обратившись по адресу www.infosec.ru.
Системы обнаружения атак или
межсетевые экраны?
Очень часто задают
вопрос: "Нужна ли мне система обнаружения атак,
если у нас уже используется межсетевой экран?"
Несомненно нужна. Система обнаружения атак
является существенно важным дополнением
межсетевого экрана (firewall), но никак не его
заменой. Межсетевые экраны предназначены для
того, чтобы предотвратить вторжение "плохих
парней" из сети. Однако иногда эти средства
из-за ошибок разработки, аппаратных отказов,
ошибок пользователей или просто невежества не
обеспечивают приемлемого уровня доступа.
Например, кто-то не понимает необходимости
защиты сети и оставляет на рабочем месте
включенным модем для доступа к компьютеру из
дома. Межсетевой экран не может не только
защитить в этом случае, но и обнаружить это факт.
В этом случае системы обнаружения атак
незаменимы. Независимо от того, какова
надежность и эффективность фильтрации вашего
межсетевого экрана, пользователи зачастую
находят способы обойти все установленные Вами
преграды. Например, объекты ActiveX или апплеты Java
могут представлять новые направления для
реализации атак через межсетевыеэкраны.
Кроме того, по статистике не менее 75% всех
компьютерных преступлений происходит изнутри
корпоративной сети, от своих сотрудников. А, как
уже было сказано выше, "классические"
средства защиты, к которым относятся и
межсетевые экраны, не позволяют защитить
корпоративную сеть в случае наличия плохого
умысла со стороны пользователя, имеющего в нее
доступ. Поэтому, межсетевой экран не может
заменить систему обнаружения атак и оба этих
средства нужны для построения эффективной
системы защиты информации.
Представьте Вашу
сеть как многоэтажное высотное здание, в котором
межсетевой экран - это швейцар у дверей на входе,
а каждый модуль слежения системы обнаружения
атак - это сторожевой пес у каждой конкретной
двери. Как правило, швейцар с удовольствием
пропускает людей, которые выглядят довольно
хорошо, и задерживает подозрительных людей.
Однако, умный преступник способен пройти мимо
швейцара и проникнуть внутрь здания, не вызвав
его подозрений. Сторожевой пес лучше знает, кого
он может впустить в данную дверь и мгновенно
реагирует на вторжение.
Системы обнаружения атак в России
Первая система
обнаружения атак появилась в России в середине
1997 года, когда было заключено соглашение между
Научно-инженерным предприятием
"Информзащита" и малоизвестной в то время
американской фирмой Internet Security Systems, Inc. (ISS),
разработавшей систему обнаружения атак RealSecure. С
тех пор ситуация изменилась в лучшую сторону.
Компания ISS в настоящий момент является лидером
на рынке средств обнаружения атак (по данным
корпорации IDC - в 1999 году 52 % всего рынка). В России
ситуация аналогичная - система RealSecure захватила
большую часть российского рынка средств
обнаружения атак. Этому предшествовала большая и
кропотливая работа по созданию соответствующей
инфраструктуры поддержки этой системы. В
настоящий момент завершается ее русификация.
Помимо системы
RealSecure на российском рынке представлены
следующие продукты зарубежных фирм:
- NetRanger компании Cisco Systems.
- OmniGuard Intruder Alert компании Axent Technologies.
- SessionWall-3 компании Computer Associates.
- Kane Security Monitor компании Security Dynamics.
- CyberCop Monitor компании Network Associates.
- NFR компании Network Flight Recodred.
Первая тройка во главе с RealSecure является лидирующей и во всем мире. Всего же известно более 30 коммерчески распространяемых систем обнаружения атак.
Стандарты и руководящие документы
С конца прошлого -
начала этого года ведутся работы по выработке
руководящих документов, которые позволят
проводить адекватный анализ и оценку
предлагаемых на российском рынке систем
обнаружения атак. Аналогичные работы проводятся
и за рубежом. В качестве примера можно назвать
стандарты CIDF или IDEF, разрабатываемые в
Министерстве Обороны США и рабочей группы
консорциума IETF.
Перспективы и тенденции развития
Можно заметить, что
оба решения: IDS и сетевого, и системного уровней
имеют свои достоинства и преимущества, которые
эффективно дополняют друг друга, а также
устраняют недостатки друг друга.
Итак, вкратце я
описал существующие решения в области
обнаружения атак. Но применимы ли они в том виде,
в котором они сейчас существуют, в следующем
тысячелетии? Вряд ли. И вот почему. Современные
сети становятся настолько сложными, что их
трудно контролировать существующими методами.
Число узлов в сетях растет с небывалой скоростью,
ширится применение гигабитных скоростей и
коммутируемых сетей на основе VLAN. Объем
передаваемого по сетям трафика возрастает на
несколько порядков. Нужны совершенно новые
подходы в обнаружении атак, позволяющие
справиться с указанными факторами .
Микроагенты
Как уже отмечено выше, существующие системы
обнаружения атак относятся либо к классу сетевых
(network-based), либо к классу системных (host-based). Однако
идеальным решением было бы создание системы,
совмещающей в себе обе эти технологии, т.е. на
каждый контролируемый узел устанавливался бы
агент системы обнаружения атак и контролировал
не только атаки на прикладном уровне (уровне ОС и
уровне приложений), но и сетевые атаки,
направленные на данный узел. Этот подход имеет
несколько преимуществ по сравнению с
существующими решениями.
Во-первых, высокая
сетевая скорость уже не представляет проблемы,
поскольку указанный агент просматривает только
трафик для данного узла вместо всего трафика
всей сети. Во-вторых, расшифрование пакетов
осуществляет прежде, чем они достигнут агента. И,
наконец, из-за того, что он размещается
непосредственно на каждом контролируемом
компьютере, коммутируемые сети также не
накладывают ограничений на их использование.
Эти агенты
комбинируют характеристики сетевого модуля
слежения, работающего в реальном масштабе
времени, с тактическими преимуществами агента
системного уровня. В настоящий момент о
разработках в этой области объявила только
компания Internet Security Systems (ISS
)
. Компания ISS назвала эту
разработку Micro Agent и планирует завершить ее к
концу этого года. Эти микроагенты будут
дополнять существующие сетевые и системные
модули слежения системы обнаружения атак RealSecure
компании ISS.
Представление данных в системах
обнаружения атак
Для эффективного
обнаружения атак необходимо контролировать и
подробно записывать большое число событий,
происходящих в информационной системе. В
результате образуется большой объем данных,
большинство которых не представляют интереса, но
сохраняются в надежде, что их анализ позволит
своевременно обнаружить подозрительное событие.
Хранение больших объемов данных приводит к двум
задачам:
- Разработать механизмы эффективного использования дискового пространства для хранения журналов регистрации и данных сетевого трафика;
- Разработать механизмы эффективного представления администратору только тех данных, которые представляют для него интерес.
Эти две проблемы взаимосвязаны, но я коснусь
только второй задачи. Многие специалисты
сталкивались с ситуацией, когда система
обнаружения атак генерит сотни, а в крупных
сетях, тысячи записей о происходящих событиях.
Проанализировать эти события вручную
администратору не под силу. И хотя в системах
обнаружения атак, представленных на рынке,
существуют механизмы объединения нескольких
однотипных событий в одно, эта работа еще далека
до завершения.
В настоящий момент
методы эффективного представления данных
разрабатываются различными производителями и
исследовательскими центрами. Например, компания
ISS в конце июня этого года объявила о создании
"технологии слияния" (Fusion Technology), которая
позволит группировать сотни событий,
зарегистрированных системой обнаружения атак
RealSecure и другими средствами защиты третьих
разработчиков, в одно-два уведомления,
представленные на экране консоли управления. В
этом же направлении движется и
исследовательский центр COAST, в котором создана
рабочая группа по разработке эффективного
формата журналов регистрации и представления
данных администратору безопасности.Из
российских разработчиков такие механизмы
реализует НИП "Информзащита" в своей новой
технологии управления информационной
безопасностью "Беркут".
Принятие решений, прогнозирование
атак
Системы
обнаружения атак в новом тысячелетии должны
стать более интеллектуальными по сравнению со
своими современными аналогами. И это касается не
только процесса обнаружения атак, что может быть
реализовано при помощи различных механизмов, в
т.ч. и при помощи описанных выше нейросетей.
Интеллектуальность будет присутствовать в
процессе принятия решения о реагировании на
атаки, а также при прогнозировании новых атак на
корпоративную сеть. Первым шагом в создании
таких систем можно назвать создание компанией ISS
продукта под названием SAFEsuite Decisions. Эта система
позволяет получать данные, получаемые от
различных средств защиты, в т.ч. межсетевых
экранов, систем анализа защищенности и
обнаружения атак. Затем эти данные можно
анализировать, обобщать их и определять на их
основе подверженность того или иного узла или
сегмента сети атакам со стороны внешних или
внутренних злоумышленников. Знание уязвимостей,
полученное от систем анализа защищенности,
наряду со знанием частоты атак, полученное от
межсетевых экранов и систем обнаружения атак,
установленных на различных сегментах сети,
позволяет прогнозировать нападения на узлы и
сегменты сети, в т.ч. и скоординированные атаки,
осуществляемые одновременно из нескольких мест.
В данной теме раскрыты в основном те вопросы, на
которые стоит обращать внимание при выборе
системы обнаружения атак. Однако, установив
выбранную систему, вы еще не полностью защитили
себя от атак. И это надо понимать. Система
обнаружения атак - это всего лишь необходимое, но
явно недостаточное условие для обеспечения
эффективной системы защиты организации.
Необходимо провести целый спектр
организационных и технических мероприятий для
построения целостной системы защиты вашей
организации. Это и анализ рисков, и разработка
политики безопасности, и установка и настройка
различных средств защиты (межсетевые экраны,
систем анализа защищенности и т.д.), и обучение
специалистов, и т.д.
Подводя итог, можно
сказать, что система обнаружения атак - это
больше, чем несколько модулей слежения,
установленных на различных узлах корпоративной
сети. Эффективная и надежная система обнаружения
атак позволяет собирать, обобщать и
анализировать информацию от множества удаленных
сенсоров на центральной консоли. Она позволяет
сохранять эту информацию для более позднего
анализа, и предоставляет средства для проведения
такого анализа. Эта система постоянно
контролирует все установленные модули слежения
и мгновенно реагирует в случае возникновения
тревоги. И, наконец, система обнаружения атак не
более чем дорогостоящая игрушка, если у вас в
штате нет экспертов в области защиты информации,
которые знают, как использовать эту систему и как
реагировать на постоянно растущую
информационную угрозу. Использование всех этих
компонентов в комплексе образует реальную и
эффективную систему обнаружения атак.
Сетевая система обнаружения вторжений может защитить от атак, которые проходят через межсетевой экран во внутреннюю ЛВС . Межсетевые экраны могут быть неправильно сконфигурированы, пропуская в сеть нежелательный трафик. Даже при правильной работе межсетевые экраны обычно пропускают внутрь трафик некоторых приложений, который может быть опасным. Порты часто переправляются с межсетевого экрана внутренним серверам с трафиком, предназначенным для почтового или другого общедоступного сервера. Сетевая система обнаружения вторжений может отслеживать этот трафик и сигнализировать о потенциально опасных пакетах. Правильно сконфигурированная сетевая система обнаружения вторжений может перепроверять правила межсетевого экрана и предоставлять дополнительную защиту для серверов приложений .
Сетевые системы обнаружения вторжений полезны при защите от внешних атак, однако одним из их главных достоинств является способность выявлять внутренние атаки и подозрительную активность пользователей. Межсетевой экран защитит от многих внешних атак, но, когда атакующий находится в локальной сети, межсетевой экран вряд ли сможет помочь. Он видит только тот трафик, что проходит через него, и обычно слеп по отношению к активности в локальной сети. Считайте сетевую систему обнаружения вторжений и межсетевой экран взаимодополняющими устройствами безопасности - вроде надежного дверного замка и системы сигнализации сетевой безопасности. Одно из них защищает вашу внешнюю границу, другое -внутреннюю часть (рис. 7.1).
Рис.
7.1.
Имеется веская причина, чтобы внимательно следить за трафиком внутренней сети . Как показывает статистика ФБР, более 70 процентов компьютерных преступлений исходят из внутреннего источника. Хотя мы склонны считать, что наши коллеги не сделают ничего, чтобы нам навредить, но иногда это бывает не так. Внутренние злоумышленники - не всегда ночные хакеры . Это могут быть и обиженные системные администраторы, и неосторожные служащие. Простое действие по загрузке файла или по открытию файла, присоединенного к электронному сообщению, может внедрить в вашу систему "троянскую" программу, которая создаст дыру в межсетевом экране для всевозможных бед. С помощью сетевой системы обнаружения вторжений вы сможете пресечь подобную активность , а также другие возможные компьютерные интриги. Хорошо настроенная сетевая система обнаружения вторжений может играть роль электронной "системы сигнализации" для вашей сети.
|
Новое поколение систем обнаружения вторжений Системы обнаружения вторжений на основе выявления аномальной активности Вместо применения статических сигнатур, с помощью которых можно выявлять только явно вредоносную деятельность, системы нового поколения отслеживают нормальные уровни для различных видов активности в сети. Если наблюдается внезапный всплеск трафика FTP, то система предупредит об этом. Проблема с системами такого рода состоит в том, что они весьма склонны к ложным срабатываниям - то есть выдаче сигналов тревоги, когда в сети имеет место нормальная, допустимая деятельность. Так, в примере с FTP-трафиком загрузка особенно большого файла будет возбуждать сигнал тревоги. Следует учитывать также, что системе обнаружения вторжений на основе выявления аномальной активности требуется время, чтобы построить точную модель сети. Вначале система генерирует так много тревожных сигналов, что пользы от нее почти никакой. Кроме того, подобные системы обнаружения вторжений можно обмануть, хорошо зная сеть. Если хакеры достаточно незаметны и используют протоколы, которые активно применяются в сети, они не привлекут внимания систем такого рода. С другой стороны, важное преимущество подобных систем - отсутствие необходимости постоянно обновлять набор сигнатур. Когда эта технология достигнет зрелости и достаточной интеллектуальности, она, вероятно, станет употребительным методом обнаружения вторжений . Системы предотвращения вторжений Новый тип сетевых систем обнаружения вторжений , называемый системами предотвращения вторжений , декларирован как решение всех проблем корпоративной безопасности. Основная идея состоит в том, чтобы при генерации тревожных сигналов предпринимать ответные действия, такие как написание на лету индивидуальных правил для межсетевых экранов и маршрутизаторов , блокирующих активность подозрительных IP-адресов, запрос или даже контратака систем-нарушителей. Хотя эта новая технология постоянно развивается и совершенствуется, ей еще слишком далеко до проведения анализа и принятия решений на уровне человека. Факт остается фактом - любая система, которая на 100% зависит от машины и программного обеспечения, всегда может быть обманута посвятившим себя этому человеком (хотя некоторые проигравшие шахматные гроссмейстеры могут с этим не согласиться). Примером системы предотвращения вторжений с открытыми исходными текстами служит Inline Snort Джеда Хейла - свободный модуль для сетевой системы обнаружения вторжений Snort, обсуждаемой в данной лекции. |