|
За последние
несколько лет число пакетов для обнаружения вторжений резко
возросло. Есть две основные разновидности ПО для обнаружения
вторжения: на базе узлов и на базе всей сети. Обнаружение
вторжения на базе узлов основано на идее мониторинга системы
на предмет изменений в ее файлах. В таком случае трафик в
сети не контролируется. Для такой функциональности вам
требуется система обнаружения вторжения (IDS), которая
специально контролирует сетевой трафик, - именно о ней мы
поговорим в этой статье.
Для идентификации атак IDS использует сигнатурные файлы.
Поэтому качество IDS определяется только тем, насколько
хороши ее сигнатурные файлы. IDS сравнивает пакеты
захваченного трафика с сигнатурным файлом, отыскивая таким
образом специфические картины различных атак. Если это
происходит, запускается сигнал тревоги. Вот почему так важно
иметь полный контроль над вашими сигнатурными файлами. Когда
замечена новая атака, очень важно действовать быстро. Атаки
могут происходить ежедневно, и надо иметь возможность
пополнять свои сигнатурные файлы собственной информацией, не
дожидаясь, пока производитель оборудования снабдит вас
очередной его версией. Не надо забывать и о том, что если
сигнатурный файл слишком велик, вы часто будете получать
ложные тревоги. Проблема всех IDS-систем - ложные тревоги -
может расхолодить администраторов сети и допустить проход
настоящей атаки, как в известном рассказе Льва Толстого о
мальчике, который часто кричал «волки» без основания.
Одна из наиболее гибких и адаптируемых IDS-систем - это
Network Flight Recorder производства компании NFR Security.
Она работает на основе CD-ROM. Гибкость ее определяется
специально разработанной системой N-Code для разработки
фильтров. N-Code может анализировать захваченные пакеты и
раскладывать их на элементарные составные части, а затем
записывать результат. Это особенно полезно при поиске атаки,
но может также использоваться для идентификации неизвестных
сетевых протоколов или для изучения того, как определенное
ПО связывается через сеть. Возможность создать свои
собственные фильтры может быть очень полезной.
Читать дальше... |
