 |
Главная |
Введение в классификацию
 2015-12-04 |
 681 |
 Обсуждений (0) |
из
5.00
|
Существует несколько различных классификаций систем обнаружения атак. Мало того, каждый производитель предлагает свою собственную классификацию, учитывающую его собственные наработки в этой области. Ниже я коснусь только основных классификаций.
Классификация по уровням информационной системы
Аналогично системам анализа защищенности, системы обнаружения атак также можно классифицировать по уровням информационной инфраструктуры, на которых обнаруживаются нарушения политики безопасности.
Уровень приложений и СУБД
Системы обнаружения атак данного уровня собирают тс анализируют информацию от конкретных приложений, например, от систем управления базами данных, Web-серверов или межсетевых экранов, таких как WebStalker Pro или RealSecure OS Sensor. Достоинства и недостатки систем данного класса описаны в табл. 6.6
Таблица 6.6. Достоинства и недостатка систем
Обнаружения атак на уровне приложений
| Достоинства | Недостатки |
| Этот подход позволяет нацелиться на конкретные действия в системе, не обнаруживаемые другими методами (например, мошенничество конкретного пользователя в платежной системе) Обнаружение атак, пропускаемых средствами, функционирующими на других уровнях Эти средства позволяют снизить требования к ресурсам за счет контроля не всех приложений, а только одного из них | Уязвимости прикладного уровня могут подорвать доверие к обнаружению атак на данном уровне Атаки, реализуемые на нижних уровнях (сети и ОС), остаются за пределами рассмотрения данных средств |
Уровень ОС
Системы обнаружения атак уровня операционной системы собирают и анализируют информацию, отражающую деятельность, которая происходит в операционной системе на отдельном компьютере (например, RealSecure Server Sensor или Intruder Alert). Эта информация представляется, как правило, в форме журналов регистрации операционной системы. В последнее время стали получать распространение системы, функционирующие на уровне ядра ОС, за счет такого "погружения" предоставляющие собой более эффективный способ обнаружения нарушений политики безопасности. К этим системам можно отнести LIDS. Достоинства и недостатки систем данного класса сведены в табл. 6.7.
Таблица 6.7. Достоинства и недостатки систем обнаружения атак
на уровне ОС
| Достоинства | Недостатки |
| Системы данного класса могут контролировать доступ к информации ввиде "кто получил доступ и к чему" Возможность отображения аномальной деятельности конкретного пользователя для любого приложения Отслеживание изменений режимов работы, связанных со злоупотреблениями Возможность работы всетевом окружении, в котором используется шифрование Способность эффективно работать в коммутируемых сетях Позволяют контролировать конкретный узел и "не распыляться" на другие, менее важные, узлы 100%-ное подтверждение "успешности" или "неудачности" атаки Обнаружение атак, пропускаемых средствами, функционирующими на других уровнях Возможность проведения автономного анализа | Уязвимости ОС могут подорвать доверие к обнаружению атак на данном уровне Атаки, реализуемые на нижних или более высоких уровнях (сети и приложений), остаются за пределами рассмотрения данных средств Запуск механизмов аудита для фиксирования всех действий в журналах регистрации может потребовать выделения дополнительных ресурсов Когда журналы регистрации используются в качестве источников данных, они могут потребовать довольно большого дискового пространства для хранения Эти методы зависят от конкретной платформы Расходы на стоимость эксплуатации и управление, связанные со средствами обнаружения атак уровня операционной системы, как правило, значительно выше, чем при других подходах Средства данного класса практически не применимы для обнаружения атак на маршрутизаторы и иное сетевое оборудование При недостатке данных эти системы могут "пропускать"какие-либо атаки |
Уровень сети
Системы обнаружения атак уровня сети собирают информацию из самой сети, т.е. из сетевого трафика. Выполняться эти системы могут на обычных компьютерах (такие как RealSecure Network Sensor или NetProwler), на специализированных компьютерах (RealSecure for Nokia, Cisco Secure IDS или VelociProwler Intrusion Detection Appliance) или интегрируются в маршрутизаторы или коммутаторы (например, CiscoSecure IOS Integrated Software или Cisco IDS blade, известная также как Cisco Catalyst 6000 IDS Module). В первых двух случаях анализируемая информация собирается посредством захвата и анализа пакетов, при этом обращение к сетевым интерфейсам осуществляется в беспорядочном (promiscuous) режиме.
Достоинства и недостатки систем данного класса описаны в табл. 6.8.
Таблица 6.8. Достоинства и недостатки систем обнаружения атак
на уровне сети
| Достоинства | Недостатки |
| Данные поступают без каких-либо специальных требований для механизмов аудита Использование этих систем не оказывает влияния на существующие источники данных Системы данного класса могут контролировать и обнаруживать сетевые атаки типа "отказ в обслуживании" (например, атаки типа SYN flood или packet storm), направленные на выведение узлов сети из строя Системы данного класса могут контролировать одновременно большое число узлов сети (в случае с разделяемыми средами передачи данных) Низкая стоимость эксплуатации Трудность "заметания следов" для злоумышленника Обнаружение и реагирование на атаки в реальном масштабе времени Обнаружение подозрительных событий (например, "чужих" IP-адресов) Обнаружение атак, пропускаемых средствами, функционирующими на других уровнях Независимость от используемых в организации операционных систем и прикладного программного обеспечения, т.к. все они взаимодействуют при помощи универсальных протоколов | Атаки, реализуемые на более высоких уровнях (ОС и приложений), остаются за пределами рассмотрения данных средств Системы данного класса не применимы в сетях, использующих канальное и, тем более, прикладное шифрование данных Системы данного класса неэффективно работают в коммутируемых сетях Системы данного, класса существенно зависят от конкретных сетевых протоколов Современные подходы к мониторингу на сетевом уровне не могут работать, на высоких скоростях (например, Gigabit Ethernet) |
| 2015-12-04 |
681 |
Обсуждений (0) |
из
5.00
|
Обсуждение в статье: Введение в классификацию |
|
Обсуждений еще не было, будьте первым... ↓↓↓ |
Почему 1285321 студент выбрали МегаОбучалку...
Система поиска информации
Мобильная версия сайта
Удобная навигация
Нет шокирующей рекламы