Правовое регулирование обнаружения и предотвращения вторжений. Системы обнаружения и предотвращения вторжения

Некоторые виды атак имеют весьма сложный характер. В них даже не обязательна передача какого-либо файла или ВПО, вместо этого применяется какой-либо из множества других, более изощренных методов, например, могут использоваться уязвимости операционных систем или различных приложений. Для предотвращения сложных атак, как правило, используются два инструментальных средства.

7.3.1. Система обнаружения вторжений

Система обнаружения вторжений (Intrusion Detection System – IDS) представляет собой аппаратное или программное решение, пассивно наблюдающее за трафиком сети. Сетевой трафик не проходит непосредственно через IDS (рис.6.3). IDS следит за трафиком через сетевой интерфейс. Обнаруживая вредоносный трафик, IDS отправляет предупреждения на заранее настроенные станции.

IDS- предназначены для реакции на вторжение. Такие системы обнаруживают вторжение по особым сигнатурам трафика или по характеру поведения хостов. Они не препятствуют пересылке исходного трафика адресату, но позволяют отреагировать на событие. Правильно сконфигурированная IDS способна блокировать последующий трафик.

7.3.2. Cистема предотвращения вторжений

Система предотвращения вторжений (Intrusion Prevention System – IPS ). Представляет собой физическое устройство или программное средство. Трафик поступает через один интерфейс IPS и выходит через другой (рис. 6.3.).

Система IPS анализирует пакеты непосредственно составляющие сетевой трафик и в режиме реального времени разрешает или запрещает прохождение пакетов в сеть.

Обе рассмотренные системы реализуются в сети посредством сенсоров. Сенсором могут выступать следующие устройства:

Маршрутизатор, поддерживающий IPS;

специальное оборудование, которое выполняет функции IPS или IDS;

сетевой модуль, установленный в коммутаторе, маршрутизаторе или специальных устройствах защиты.

IPS, в отличие от IDS, предназначена для профилактики вторжений. IPS способна блокировать все подозрительные действия в реальном времени, способна анализировать практически всю информацию со второго по седьмой уровень модели OSI, позволяет автоматически отсылать оповещения о вторжениях на управляющие станции, блокировать как исходный, так и последующий вредоносный трафик.

Чаще всего IPS организуется совместно с брандмауэром. Брандмауэр не проверяет пакеты полностью в отличие от IPS. Брандмауэр отбрасывает большинство запрещённых пакетов, но может пропустить некоторые вредоносные. IPS требуется анализировать меньше пакетов, но проверять их полностью, таким образом, IPS способна блокировать атаки, которые не может предотвратить брандмауэр.

26.Основные виды вредоносного программного обеспечения и их отличительные особенности.

Сегодня почти каждый пользователь ПК в своей практике сталкивался проявлением как вполне «безобидных», так и весьма серьезных нарушений и сбоев в работе ПК, вызван­ных вредоносными программами .

Вредоносные программы отличаются условиями существования, применяемыми технологиями на различных этапах жизненного цикла, собственно вредоносным воздей­ствием – все эти факторы и являются основой для классификации. В результате по основ­ному (с исторической точки зрения) признаку – размножению, вредоносные программы де­лятся на три типа: собственно вирусы , черви и трояны .

Определение компьютерного вируса – непростой вопрос, поскольку весьма сложно очертить свойства, присущие только вирусам и не касающиеся других программ. И напротив, давая жесткое определение вируса как программы, обладающей определенными свойствами, практически сразу же можно найти пример ви­руса, таковыми свойствами не обладающего.

ГОСТ Р 51188-98 определяет вирус следующим образом: «Вирус – программа, спо­собная создавать свои копии (необязательно совпадающие с оригиналом) и внедрять их в файлы, системные области компьютера, компьютерных сетей, а также осуществлять иные деструктивные действия. При этом копии сохраняют способность дальнейшего рас­пространения. Компьютерный вирус относится к вредоносным программам» .

Первый настоящий компьютерный вирус Pervading Animal появился в конце 1960-х годов и представлял собой игру, написанную с непреднамеренной ошибкой. Первым сетевым червем стал Creeper (конец 1970-х), умевший самостоятельно выйти в сеть через модем и записать свою копию на удаленной машине. Первый троян – а Aids Information Diskette (1989 год) сразу вызвал эпидемию: будучи зараженным, компьютер по­сле 90 перезагрузок операционной системы показывал пользователю требование перевести на указанный в нем адрес около двухсот долларов, при этом все остальные файлы жесткого диска становились недоступны.

Первую глобальную эпидемию вызвал Brain (1986 год), по совместительству первый вирус для IBM-совместимых компьютеров, а также стелс-вирус . Он был написан в Паки­стане двумя братьями-программистами с целью определения уровня пиратства у себя в стране.

В 1984г. Фред Коэн (Fred Cohen ) в своей работе «Computer Viruses – Theory and Experiments » показал, что, теоретически, задача обнаружения компьютерных вирусов является неразрешимой. При этом он дал вирусу такое определение: «Компьютерным вирусом явля­ется программа, способная заражать другие программы изменяя их таким образом, чтобы они включали, возможно измененную, копию вируса ».

Тем не менее, на практике оказывается, что все известные вирусы могут быть обна­ружены антивирусными программами. Результат достигается, помимо прочего, еще и за счет того, что поврежденные или «неудачные» экземпляры вирусов, неспособные к созда­нию и внедрению своих копий, обнаруживаются и классифицируются наравне со всеми остальными «полноценными» вирусами. Следовательно, с практической точки зрения, т.е. с точки зрения алгоритмов поиска, способность к размножению вовсе не является обязатель­ной для причисления программы к вирусам.

В зависимости от характерных свойств вирусов для их обнаружения и нейтрализации могут применяться различные методы. В связи с этим возникает вопрос о классификации вредоносных программ. На практике классификации, принятые различными производите­лями антивирусных продуктов, отличаются, хотя и построены на близких принципах. По­этому ниже в этом разделе будут рассмотрены именно они.

Проблема, связанная с определением компьютерного вируса кроется в том, что сего­дня под вирусом чаще всего понимается не «традиционный» вирус, а практически любая вредоносная программа . Это приводит к путанице в терминологии, осложненной еще и тем, что практически все современные антивирусы способны выявлять указанные типы вредо­носных программ, и поэтому ассоциация «вредоносная программа – вирус » становится все более устойчивой.

Вредоносная программа – компьютерная программа или переносимый код, предна­значенный для реализации угроз информации, хранящейся в компьютере, либо для скры­того использования ресурсов компьютера, либо иного воздействия, препятствующего его нормальному функционированию. К вредоносным программам относятся компьютерные вирусы , трояны , сетевые черви и др.

Вредоносное программное обеспечение классифицируется в основном по различным аспектам их функционирования, таким как: среде обитания; способу заражения среды обита­ния; воздействию; особенностям алгоритма.

Поскольку отличительной особенностью вирусов в традиционном смысле является способность к размножению в рамках одного компьютера, деление вирусов на типы проис­ходит в соответствии со способами размножения.

Сам процесс размножения может быть условно разделен на несколько стадий:

проникновение на компьютер;

активация вируса;

поиск объектов для заражения;

подготовка вирусных копий;

внедрение вирусных копий.

Вирусы проникают на компьютер вместе с зараженными файлами или другими объ­ектами (загрузочными секторами носителей информации), не влияя на процесс проникнове­ния. Возможности проникновения полностью определяются возможностями заражения.

Для активации вируса необходимо, чтобы зараженный объект получил управление. На этой стадии деление вирусов происходит по типам объектов, которые могут быть зара­жены:

загрузочные вирусы – вирусы, заражающие загрузочные сектора постоянных и смен­ных носителей.

файловые вирусы – вирусы, заражающие файлы, и дополнительно подразделяющи­еся на три вида, в зависимости от среды, в которой выполняется код:

собственно файловые вирусы те, которые непосредственно работают с ресур­сами операционной системы (ОС);

макровирусы – вирусы, написанные на языке макрокоманд и исполняемые в среде какого-либо приложения (в подавляющем большинстве случаев речь идет о макро­сах в документах Microsoft Office);

скрипт-вирусы – вирусы, исполняемые в среде определенной командной обо­лочки: раньше – bat -файлы в командной оболочке DOS, сейчас чаще VBS и JS - скрипты в командной оболочке Windows Scripting Host (WSH ).

Стоит отметить тот факт, что вирусы, рассчитанные для работы в среде определен­ной ОС или приложения, обычно оказываются неработоспособными в среде других ОС и приложений. Поэтому как отдельный атрибут вируса выделяется среда, в которой он спосо­бен выполняться. Для файловых вирусов это Windows , Linux , MacOS и т.п. Для макровиру­сов – Word , Excel , PowerPoint , Office .

На стадии поиска объектов для заражения встречается два способа поведения виру­сов:

получив управление, вирус производит разовый поиск жертв, после чего передает управление ассоциированному с ним объекту (зараженному объекту);

получив управление, вирус, так или иначе, остается в памяти и производит поиск жертв непрерывно, до завершения работы среды, в которой он выполняется.

Вирусы второго типа во времена однозадачной DOS было принято называть рези­дентными. С переходом на Windows проблема остаться в памяти перестала быть актуаль­ной: практически все вирусы, исполняемые в среде Windows, равно как и в среде приложе­ний MS Office, являются вирусами второго типа. И напротив, скрипт-вирусы являются ви­русами первого типа.

Отдельно имеет смысл отметить так называемые stealth -вирусы (невидимки ) – ви­русы, которые, находясь постоянно в памяти, перехватывают обращения к зараженному файлу и на ходу удаляют из него вирусный код, передавая в ответ на запрос неизмененную версию файла. Таким образом, эти вирусы маскируют свое присутствие в системе. Для их обнаружения антивирусным средствам требуется возможность прямого обращения к диску в обход средств ОС. Сейчас этот тип вирусов распространен мало.

Процесс подготовки копий для распространения может существенно отличаться от простого копирования. Авторы наиболее сложных в технологическом плане вирусов стара­ются сделать разные копии максимально непохожими для усложнения их обнаружения ан­тивирусными средствами. Как следствие, составление сигнатуры для такого вируса крайне затруднено либо вовсе невозможно.

Внедрение вирусных копий может осуществляться двумя принципиально разными методами:

внедрение вирусного кода непосредственно в заражаемый объект;

замена объекта на вирусную копию; замещаемый объект, как правило, переименовы­вается.

Для вирусов характерным является преимущественно первый метод. Второй метод намного чаще используется, так называемыми, червями и троянами (см. далее), а точнее троянскими компонентами червей, поскольку трояны сами по себе не распространяются.

Червь (сетевой червь ) – тип вредоносных программ, распространяющихся по сете­вым каналам, способных к автономному преодолению систем защиты автоматизированных и компьютерных сетей, а также к созданию и дальнейшему распространению своих копий, не всегда совпадающих с оригиналом, и осуществлению иного вредоносного воздействия.

Так же как для вирусов, жизненный цикл червей можно разделить на определенные стадии: проникновение в систему; активация; поиск «жертв»; подготовка копий; распро­странение копий.

На этапе проникновения в систему черви делятся преимущественно по типам ис­пользуемых протоколов:

сетевые черви – черви, использующие для распространения протоколы Internet и ло­кальных сетей. Обычно этот тип червей распространяется с использованием неправиль­ной обработки некоторыми приложениями базовых пакетов стека протоколов TCP/IP;

почтовые черви – черви, распространяющиеся в формате сообщений электронной по­чты;

IRC-черви – черви, распространяющиеся по каналам IRC (Internet Relay Chat );

P2P-черви – черви, распространяющиеся при помощи пиринговых (peer - to - peer ) файлообменных сетей;

IM-черви – черви, использующие для распространения системы мгновенного об­мена сообщениями (IM, Instant Messenger – ICQ, MSN Messenger , AIM и др.)

Сегодня наиболее многочисленную группу составляют почтовые черви. Сетевые черви тоже являются заметным явлением, но не столько из-за количества, сколько из-за ка­чества: эпидемии, вызванные сетевыми червями, зачастую отличаются высокой скоростью распространения и большими масштабами. IRC-, P2P- и IM-черви встречаются достаточно редко, чаще они служат альтернативными каналами распространения для почто­вых и сетевых червей.

На этапе активации черви делятся на две большие группы, отличающиеся как по технологиям, так и по срокам жизни: в одном случае для активации необходимо активное участие пользо­вателя ; в другом – для активации участие пользователя не требуется вовсе либо достаточно лишь пассивного участия . Под пассивным участием пользователя во второй группе понимается, например, просмотр писем, при котором пользователь не открывает вложенные файлы, но его компьютер, тем не менее, оказывается зараженным. В последнее время наметилась тен­денция к совмещению в червях обоих способов распространения.

Способ поиска компьютера-жертвы полностью базируется на используемых прото­колах и приложениях. В частности, если речь идет о почтовом черве, производится скани­рование файлов компьютера на предмет наличия в них адресов электронной почты, по ко­торым в результате и производится рассылка копий червя. Точно так же Internet-черви ска­нируют диапазон IP адресов в поисках уязвимых компьютеров, а P2P-черви встраивают свои копии в общедоступные каталоги клиентов пиринговых сетей.

Сказанное выше о подготовке копий для распространения вирусов, применимо и для червей. Некоторые черви способны рассылать свои копии в письмах, как с внедрением скрипта приводящего к автоматической активации червя, так и без внедрения. Такое пове­дение червя обусловлено двумя факторами: скрипт автоматической активации повышает вероятность запуска червя на компьютере пользователя, но при этом уменьшает вероят­ность проскочить антивирусные фильтры на почтовых серверах. Черви также могут менять тему и текст инфицированного сообщения, имя, расширение и даже формат вложенного файла – исполняемый модуль может быть приложен «как есть» или в заархивированном виде.

Троян (троянский конь ) – тип вредоносных программ, основной целью которых яв­ляется вредоносное воздействие по отношению к компьютерной системе. Трояны отлича­ются отсутствием механизма создания собственных копий. Некоторые трояны способны к автономному преодолению систем защиты компьютера с целью проникновения и заражения системы. В общем случае, троян попадает в систему вместе с вирусом либо червем, в ре­зультате неосмотрительных действий пользователя или же активных действий злоумыш­ленника.

В силу отсутствия у троянов функций размножения и распространения, их жизнен­ный цикл включает в себя всего три стадии: проникновение на компьютер; активация; вы­полнение заложенных функций. Но это не означает малого времени жизни троянов. Напро­тив, троян может длительное время незаметно находиться в памяти компьютера, никак не выдавая своего присутствия, до тех пор, пока не будет обнаружен антивирусными сред­ствами.

Задачу проникновения на компьютер пользователя трояны решают обычно одним из двух следующих методов:

Маскировка – троян выдает себя за полезное приложение, которое пользователь само­стоятельно загружает из Internet и запускает. Иногда пользователь исключается из этого процесса за счет размещения на web-странице специального скрипта, который, ис­пользуя дыры в браузере, автоматически инициирует загрузку и запуск трояна. Чаще всего внедрение троянов на компьютеры пользователей происходит через web-сайты. При этом используется либо вредоносный скрипт, загружающий и запускающий троянскую про­грамму на компьютере пользователя, используя уязвимость в web-браузере, либо наполне­ние и оформление web-сайта провоцирует пользователя к самостоятельной загрузке трояна. При таком методе внедрения может использоваться не одна копия трояна, а несколько; но­вая копия создается при каждой загрузке.

Кооперация с вирусами и червями – троян путешествует вместе с червями или, реже, с вирусами. В принципе, такие пары червь-троян можно рассматривать целиком как составного червя, но в сложившейся практике принято троянскую составляющую червей, если она реализована отдельным файлом, считать независимым трояном с собственным именем. Кроме того, троянская составляющая может попадать на компьютер позже, чем файл червя. Нередко наблюдается кооперация червей с вирусами, когда червь обеспечивает транспортировку вируса между компьютерами, а вирус распространяется по компьютеру, заражая файлы.

Активация троянов та же, что и у червей: ожидание запуска файла пользователем, либо использование уязвимостей для автоматического запуска.

В отличие от вирусов и червей, деление которых на типы производится по способам размножения-распространения, трояны делятся на типы по характеру выполняемых ими вредоносных действий. Наиболее распространены следующие виды троянов:

Клавиатурные шпионы – трояны, постоянно находящиеся в памяти и сохраняющие все данные, поступающие от клавиатуры с целью последующей передачи этих данных зло­умышленнику. Обычно таким образом злоумышленник пытается узнать пароли или другую конфиденциальную информацию.

Похитители паролей – трояны, также предназначенные для получения паролей, но не использующие слежение за клавиатурой. В таких троянах реализованы способы извлече­ния паролей из файлов, в которых эти пароли хранятся различными приложениями.

Утилиты удаленного управления – трояны, обеспечивающие полный удаленный кон­троль над компьютером пользователя. Существуют легальные утилиты такого же свой­ства, но они отличаются тем, что сообщают о своем назначении при установке или же снабжены документацией, в которой описаны их функции. Троянские утилиты удаленного управления, напротив, никак не выдают своего реального назначения, так что пользователь и не подозревает о том, что его компьютер подконтролен злоумышленнику.

Люки (backdoor ) – трояны предоставляющие злоумышленнику ограниченный кон­троль над компьютером пользователя. От утилит удаленного управления отличаются более простым устройством и, как следствие, небольшим количеством доступных действий. Тем не менее, обычно одними из действий являются возможность загрузки и запуска любых файлов по команде злоумышленника, что позволяет при необходимости превратить ограни­ченный контроль в полный.

Анонимные SMTP -серверы и прокси – трояны, выполняющие функции почтовых сер­веров или прокси и использующиеся в первом случае для спам-рассылок, а во втором для заметания следов хакерами.

Утилиты дозвона – сравнительно новый тип троянов, представляющий собой ути­литы dial - up доступа в Internet через почтовые службы. Такие трояны прописываются в си­стеме как утилиты дозвона по умолчанию и влекут за собой огромные счета за пользование Internet.

Модификаторы настроек браузера – трояны, которые меняют стартовую страницу в браузере, страницу поиска или еще какие-либо настройки, открывают дополнительные окна браузера, имитируют нажатия на баннеры и т.п.

Логические бомбы – чаще не столько трояны, сколько троянские составляющие чер­вей и вирусов, суть работы которых состоит в том, чтобы при определенных условиях (дата, время суток, действия пользователя, команда извне) произвести определенное дей­ствие: например, уничтожение данных.

Независимо от типа, вредоносные программы способны наносить значительный ущерб, реализуя любые угрозы информации - угрозы нарушения целостности, конфиденци­альности, доступности. В связи с этим при проектировании комплексных систем антиви­русной защиты, и даже в более общем случае - комплексных систем защиты информации, необходимо проводить градацию и классифицировать объекты сети по важности обрабаты­ваемой на них информации и по вероятности заражения этих узлов вирусами.

27.Антивирусная защита информации. Антивирусная программа (антивирус ) – любая программа для обнаружения нежела­тельных (считающихся вредоносными) программ вообще и восстановления зараженных (модифицированных) такими программами файлов, а также для профилактики – предот­вращения заражения (модификации) файлов или ОС вредоносным кодом.

На данный момент антивирусное программное обеспечение разрабатывается в ос­новном для ОС семейства Windows от компании Microsoft, что вызвано большим количе­ством вредоносных программ именно под эту платформу. Это, в свою очередь, вызвано большой популярностью ОС этого семейства, также как и большим количеством средств разработки, в том числе бесплатных, и даже «инструкций по написанию вирусов». В насто­ящий момент на рынок выходят продукты и под другие платформы настольных компьюте­ров, такие как Linux и Mac OS X. Это вызвано началом распространения вредоносных про­грамм и под эти платформы, хотя UNIX-подобные системы всегда славились своей надеж­ностью.

Помимо ОС для настольных компьютеров и ноутбуков, также существуют плат­формы и для мобильных устройств, такие как Windows Mobile , Symbian , iOS Mobile , BlackBerry , Android , Windows Phone 7 и др. Пользователи устройств с такими ОС также под­вержены риску заражения вредоносным программным обеспечением, и некоторые разра­ботчики антивирусных программ выпускают продукты и для таких устройств.

Классифицируются антивирусные продукты по различным признакам, например: ис­пользуемые технологии антивирусной защиты, функционал продуктов, целе­вые платформы.

На сегодня на рынке программного обеспечения представлены антивирусные про­дукты многочисленных производителей. Среди них большой популярностью пользуются и антивирусные пакеты российских программистов, которые и будут рассмотрены ниже.

Любая компьютерная программа потенциально может быть инфицирована. Это озна­чает, что необходимо постоянно следить за выпуском заплат и обновлений к ней. Обычно информация такого рода всегда доступна на сайте компании-производителя.

Любой компьютер, способный к обмену информацией (через съемные носители или по сети) потенциально может быть инфи­цирован. Следовательно, даже если компьютер включается всего раз в год, то во время этого сеанса он все равно может быть заражена вирусом. В защите не нуждаются разве что нера­бочие и никогда не включаемые компьютеры.

Для проверки работоспособности установленной антивирусной защиты существует специальный тестовый вирус – Eicar . Все ведущие антивирусные продукты его детектируют, при этом никаких действий он не совершает. Загрузить сам тестовый вирус в разных форма­тах или инструкцию по его написанию можно на сайте www.eicar.org .

Основанием для подозрения на наличие вируса в системе могут служить:

внезапное и несанкционированное изменение настроек браузера;

необычные всплывающие окна и другие сообщения;

неожиданный несанкционированный дозвон в Internet;

самопроизвольное блокирование антивирусной программы;

невозможность загрузки файлов с веб-сайтов антивирусных компаний;

необоснованные на первый взгляд сбои в работе операционной системы или других программ;

почтовые уведомления с заслуживающих доверие сайтов об отправке пользователем инфицированных сообщений.

Для предотвращения проникновения в систему вредоносной программы необходимо соблюдать следующие правила:

вовремя устанавливать последние обновления и заплаты используемого программ­ного обеспечения, особенно – для ОС семейства Microsoft Windows;

перед чтением данных с любого сменного носителя обязательно проводить проверку на наличие на нем вирусов;

не загружать из Internet файлы неизвестного происхождения, тем более – про­граммы, и не устанавливать их. Особенно это касается не заслуживающих доверия сайтов;

не открывать электронные письма, полученные от незнакомых людей или имеющие подозрительную тему сообщения;

если на компьютере установлен антивирус – никогда не выключать постоянную про­верку, поддерживать актуальность антивирусных баз (регулярно загружая обновления), периодически проводить тщательную проверку жестких дисков на наличие вирусов;

при интенсивном обмене электронными сообщениями или привычке оставлять свой электронный адрес на публичных сайтах, рекомендуется установить и использовать антис­памовую программу.

Обязательно следует помнить, что попытки создавать вредоносные программы или созна­тельно участвовать в их распространении подпадают под действие ряда статей Уголовного Кодекса Российской Фе­дерации, предусматривающих наказание за такую деятельность, вплоть до лишения свободы на срок до пяти лет, а современные технологии позволяют весьма быстро вычислить автора или распространителя вредоносных программ.

Установка и правильная настройка антивирусного программного обеспечения - это самый надежный способ обеспечить защиту против вредоносных программ.

Существуют вредоносные программы и для мобильных телефонов. Поэтому в работе с любыми компь­ютеризированными устройствами необходимо соблюдать перечисленные выше правила «компьютерной гигиены », а именно – не допускать загрузку файлов, сообщений и программ из неизвестных или подозрительных источников.

Антивирусы для мобильных телефонов тоже существуют: для большинства смартфонов уже налажен выпуск антивирусных средств. Поэтому, если на телефоне хранится важная информация или, тем более, конфиденциальные данные, установка антивирусной защиты является обязательной.

28. IP -телефония: принципы организации; особенности; оборудование

P-телефония часто заменяется понятием VoIP (Voice over IP), которое определяет технологию передачи голосового трафика поверх сети с помощью протоколов TCP/IP. При этом передача данных может осуществляться не только по сети Internet, но и с использованием Ethernet, что легко осуществимо практически для любых корпоративных сетей с поддержкой TCP/IP.

LAN телефония имеет свои собственные особенности, т.к. представляет собой слияние двух направлений: компьютерного с его удобством, гибкостью, совместимостью и знакомым интерфейсом и обычного телефонного. В таком случае появляется возможность использовать многие преимущества компьютеризации для управления телефонной связью, в том числе входящими и исходящими звонками и получать доступ к информации о звонках через компьютерные приложения. Телефонная система оказывается интегрированной с сетью передачи данных. Таким образом, телефон выступает в роли терминала для взаимодействия с ПК.

IP-телефония, объединяющая голос и данные в одной сети, не смотря на свои широкие возможности, является весьма экономичным способом связи. Междугородные и международные звонки благодаря IP-телефонии обходятся гораздо дешевле привычной связи.

IP-сеть может существенно увеличивает возможности телефонии за счет своих уникальных характеристик. Так, IP-сети позволяют выйти за рамки физических границ, присущих обычной телефонии, не влияя при этом на полноту традиционных телефонных услуг. Пользователи телефонии могут сами выбрать среду для передачи данных, исходя из ее стоимости и местонахождения. Чтобы правильно выбрать оптимальный вариант подключения (ATM, Ethernet, аналоговые линии и т.д.), нужно учитывать, какие требования к полосе пропускания предъявляют используемые вами приложения. Однако преимуществом IP-сетей является то, что работа телефонии не зависит от оборудования, т.к. устройства, выпускаемые разными фирмами, вполне совместимы между собой. Такая возможность предоставляется универсальными глобальными стандартами и благодаря конкуренции оказала значительное влияние на уровень цен и спектр услуг провайдеров. Между тем, можно быть уверенным в качестве и надежности связи.

Принцип работы телефонных серверов основан на связи сервера с телефонными линиями с возможностью соединения с любым телефонным номером, а также на связи с Интернетом, который позволяет подключиться к любому компьютеру. При поступлении голосового сигнала на сервер он при необходимости оцифровывается, сжимается, разбивается на пакеты и с помощью протокола TCP/IP отправляется адресату. Обратный процесс, т.е. прием пакетов на телефонный сервер из сети и отправка в телефонную линию, осуществляется, начиная с конца рассмотренной выше операции. Такие базовые операции позволяют строить самые разнообразные конфигурации.

Однако в любую систему IP-телефонии обязательно входят четыре взаимосвязанных между собой элемента: аппаратура (IP телефоны, ПК со специализированным ПО и т.д.), сетевое оборудование (коммутаторы, маршрутизаторы, шлюзы и др.), служебные серверные приложения (управляющие серверы, видео серверы и т.д.), а также пользовательские приложения

1 WWW (W EB ) – World Wide Web – глобальная распределенная информационная система, предназначенная для поиска информационных ресурсов в Internet и предоставляющая сервисы доступа к ним. Основам организации WWW посвящена следующая тема.

2 В общем случае сетевой архитектурой «клиент-сервер» называют механизм передачи данных и информации ме­жду удаленным компьютером, предоставляющим свои ресурсы в распоряжение пользователей (сервер), и пользовательским ком­пьютером, эксплуатирующим эти ресурсы (клиент).

3 Более подробно CGI рассматривается в следующей теме курса.

4 Движок браузера – программа, преобразующая содержимое Web -страниц (файлы HTML, XML, цифровые изображения и т.д.) и информацию о форматировании (в форматах CSS, XSL и т.д.) в интерактивное изображение на экране.

5 В Российской Федерации, с юридической точки зрения, услуга хостинга не относится к телематическим услугам связи в силу различия определения телематических услуг связи (предоставление доступа пользовательского оборудования к сети связи оператора ) и сути хостинга (предоставление ресурсов оборудования подключенного к сети связи для размещения и функционирования Web - сайта пользователя сети).

7 Релевантность (relevo - поднимать, облегчать, лат.) – в широком смысле: мера соответствия получаемого результата желаемому результату; в поисковых системах – мера соответствия результатов поиска задаче, поставленной в запросе. Различают содержательную и формальную релевантности.

8 Поисковые роботы , называемые также « Web -пауками » или «кроулерами» (crawler , англ.) – программные модули, занимающиеся поиском W eb-страниц в Internet .

9 Ранжированием в применении к поисковым системам называют сортировку Web -сайтов в поисковой выдаче. Как правило, существует множество факторов для ранжирования, среди которых можно отметить рейтинг сайта, количество и качество внешних ссылок, релевантность текста к поисковому запросу и многие другие, на основании которых поисковая система формирует список сайтов в поисковой выдаче.

10 Поисковая оптимизация (SEO – search engine optimization, англ.) - комплекс мер для поднятия позиций (рейтинга) Web -сайта в результатах выдачи поисковых систем по определенным запросам пользователей с целью продвижения Web -сайта.

11 Асессор – специалист, сотрудник поисковой системы, в задачи которого входит оценка поисковойвыдачи, сделаннойпоисковым роботом. Вердикт асессора является подтверждением того, что Web - сайт, найденный роботом в соответствии с поисковым запросом, является полезным пользователю, а не представляет собой бесполезный или даже вредный и опасный ресурс. Для некоторых Web -сайтов асессор может выступать в роли «киллера», от имени поисковой системы вообще вычеркивающим их из поля зрения поисковой машины даже при формальном соответствии всем требованиям. В этом случае речь идет о Web -сайтах, оптимизаторыкоторых, в нарушение правил, занимаются «черным» продвижением, и которым удалось каким-то образом обмануть поискового робота.

12 Техническая сторона здесь не рассматривается в силу сложности используемых технологий – по большей части, искусственного интеллекта, машинного обучения, интеллектуального анализа данных (data mining ).

14 SGML (Standard Generalized Markup Language, англ. – стандартный обобщённый язык разметки) – метаязык, на котором можно определять язык разметки для документов. SGML – наследник разработанного в 1969 году в IBM языка GML (Generalized Markup Language ),

15 Скрипт – программа, выполняемая на Web-странице по запросу посетителя Web-сайта. Обычно язык скриптов включает простые структуры управления: линейные последовательности, циклы и условные выражения. В сетевых технологиях различают скрипты клиентской и серверной сторон.

16 Сокет (в рассматриваемом случае) – программный интерфейс, обеспечивающий обмен данными между процессами (приложениями).

17 Сервлет – программный интерфейс, реализуемый на языке Java , позволяющий расширить возможности Web -сервера. Это, своего рода, аналог CGI с расширенными возможностями.

19 XMPP (Extensible Messaging and Presence Protocol ) – расширяемый протокол обмена сообщениями и информацией о присутствии, основанный на XML . Со спецификацией XMPP можно ознакомиться в документе RFC 3920.

• Кирилович Екатерина Игоревна , бакалавр, студент
• Башкирский государственный аграрный университет

• МЕТОД АНОМАЛИЙ
• СИСТЕМЫ ОБНАРУЖЕНИЯ ВТОРЖЕНИЙ
• СЕТЕВЫЕ АТАКИ

В данной статье рассматриваются системы обнаружения вторжений, которые так актуальны в настоящее время для обеспечения широкой информационной безопасности в информационных корпоративных сетях.

• The onion router: механизм работы и способы обеспечения анонимности
• Совершенствование формирования фонда капитального ремонта в многоквартирных домах
• Нормативно-правовое регулирование вопросов оценки качества предоставляемых государственных (муниципальных) услуг в России

На сегодняшний день системы обнаружения и предотвращения вторжений (IDS/IPS, Intrusion detection system / Intrusion prevention system) являются важным элементом защиты от сетевых атак. Главной целью таких систем является обнаружение случаев несанкционированного входа в корпоративную сеть и принятие мер сопротивления.

Системами обнаружения вторжений (СОВ) называют множество различных программных и аппаратных средств, объединяемых одним общим свойством - они занимаются анализом использования вверенных им ресурсов и, в случае обнаружения каких-либо подозрительных или просто нетипичных событий, способны предпринимать некоторые самостоятельные действия по обнаружению, идентификации и устранению их причин.

Использование IDS помогает достичь таких целей, как: обнаруживать вторжение или сетевую атаку; прогнозировать возможные будущие атаки и выявить уязвимости для предотвращения их дальнейшего развития; выполнять документирование существующих угроз; получать полезную информацию о проникновениях, которые имели место, для восстановления и корректирования вызвавших проникновение факторов; определять расположение источника атаки по отношению к локальной сети.

В зависимости от того, каким способом сбирается информация, IDS могут быть сетевыми и системными (хостовыми).

Сетевые (NIDS) следят за пакетами в сетевом окружении и отслеживают попытки злоумышленника проникнуть внутрь защищаемой системы. После того, как NIDS определит атаку, администратор должен вручную исследовать каждый атакованный хост для определения, происходило ли реальное проникновение.

Системными (хостовыми) называются IDS, которые устанавливаются на хосте и обнаруживают злонамеренные действия на нём. В качестве примера хостовых IDS можно взять системы контроля целостности файлов, которые проверяют системные файлы для определения внесения изменений.

Первым методом, примененным для обнаружения вторжений, был анализ сигнатур. Детекторы атак анализируют деятельность системы, используя для этого событие или множество событий на соответствие заранее определенному образцу, который описывает известную атаку. Соответствие образца известной атаке называется сигнатурой. Во входящем пакете просматривается байт за байтом и сравнивается с сигнатурой (подписью) – характерной строкой программы, указывающей на характеристику вредного трафика. Такая подпись может содержать ключевую фразу или команду, которая связана с нападением. Если совпадение найдено, объявляется тревога.

Следующий метод – метод аномалий. Он заключается в определении необычного поведения на хосте или в сети. Детекторы аномалий предполагают, что атаки отличаются от нормальной деятельности и могут быть определены системой, которая умеет отслеживать эти отличия. Детекторы аномалий создают профили, представляющие собой нормальное поведение пользователей, хостов или сетевых соединений. Эти профили создаются, исходя из данных истории, собранных в период нормального функционирования. Затем детекторы собирают данные о событиях и используют различные метрики для определения того, что анализируемая деятельность отклоняется от нормальной. Каждый пакет сопровождается различными протоколами. У каждого протокола имеется несколько полей, имеющих ожидаемые или нормальные значения. IDS просматривает каждое поле всех протоколов входящих пакетов: IP, TCP, и UDP. Если имеются нарушения протокола, объявляется тревога.

У систем обнаружения вторжений различают локальную и глобальную архитектуру. В первом случае реализуются элементарные составляющие, которые затем могут быть объединены для обслуживания корпоративных систем. Первичный сбор данных осуществляют агенты (сенсоры). Регистрационная информация может извлекаться из системных или прикладных журналов, либо добываться из сети с помощью соответствующих механизмов активного сетевого оборудования или путем перехвата пакетов посредством установленной в режим мониторинга сетевой карты.

Агенты передают информацию в центр распределения, который приводит ее к единому формату, осуществляет дальнейшую фильтрацию, сохраняет в базе данных и направляет для анализа статистическому и экспертному компонентам. Если в процессе анализа выявляется подозрительная активность, соответствующее сообщение направляется решателю, который определяет, является ли тревога оправданной, и выбирает способ реагирования. Хорошая система обнаружения вторжений должна уметь объяснить, почему она подняла тревогу, насколько серьезна ситуация и каковы рекомендуемые способы действия.

Глобальная архитектура подразумевает организацию одноранговых и разноранговых связей между локальными системами обнаружения вторжений. На одном уровне могут находиться компоненты, которые анализируют подозрительную активность с разного ракурса.

Разноранговые связи используются для обобщения результатов анализа и получения целостной картины происходящего. Иногда локальный компонент не имеет достаточно оснований для возбуждения тревоги, но в целом подозрительные ситуации могут быть объединены и совместно проанализированы, после чего порог подозрительности окажется превышенным. Целостная картина позволяет выявить скоординированные атаки на разные участки информационной системы и оценить ущерб в масштабе организации.

Как и любая система безопасности, IDS не гарантирует стопроцентную защиту сети или компьютера, но выполняемые ею функции позволят своевременно обнаружить атаку, тем самым сократив ущерб от утечки информации, удалении файлов, использования компьютера в противоправных действиях.

Список литературы

1. Сайт института механики сплошных сред [Электронный ресурс]. – Режим доступа: http://www.icmm.ru/~masich/win/lexion/ids/ids.html. – Системы обнаружения вторжений.
2. МЕЖСОСЕДСКАЯ КООПЕРАЦИЯ ХОЗЯЙСТВ НАСЕЛЕНИЯ Шарафутдинов А.Г. В сборнике: Интеграция науки и практики как механизм эффективного развития АПК материалы Международной научно-практической конференции в рамках XXIII Международной специализированной выставки "АгроКомплекс-2013". 2013. С. 212-214.
3. Учебное пособие [Электронный ресурс]. - Милославская Н.Г., Толстой А.И. Интрасети: обнаружение вторжений. М.:ЮНИТИ-ДАНА, 2001.
4. НЕСАНКЦИОНИРОВАННЫЕ СПОСОБНОСТИ НАРУШЕНИЯ ЦЕННОСТИ КСОД Мухутдинова Р.Д., Шарафутдинов А.Г. Экономика и социум. 2014. № 4-3 (13). С. 1596-1599.
5. ИНФОРМАЦИОННЫЕ ТЕХНОЛОГИИ КАК ОБЫДЕННОСТЬ ФУНКЦИОНИРОВАНИЯ СОВРЕМЕННЫХ КОМПАНИЙ Шарафутдинов А.Г., Мухамадиев А.А. В сборнике: ИНФОРМАЦИОННЫЕ ТЕХНОЛОГИИ В ЖИЗНИ СОВРЕМЕННОГО ЧЕЛОВЕКА Материалы IV международной научно-практической конференции. Ответственный редактор: Зарайский А. А.. 2014. С. 90-92.

Подсистема обнаружения и предотвращения вторжений включает в себя:

Таблица 1. Подсистемы обнаружения и предотвращения вторжений

Обнаружение вторжений - это процесс мониторинга событий, происходящих в информационной системе и их анализа на наличие признаков, указывающих на попытки вторжения: нарушения конфиденциальности, целостности, доступности информации или нарушения политики информационной безопасности. Предотвращение вторжений - процесс блокировки выявленных вторжений.

Средства подсистемы обнаружения и предотвращения вторжений автоматизируют данные процессы и необходимы в организации любого уровня, чтобы предотвратить ущерб и потери, к которым могут привести вторжения.

По способу мониторинга средства подсистемы делятся на:

• средства предотвращения вторжений сетевого уровня (network-based IDS/IPS), которые осуществляют мониторинг сетевого трафика сегментов сети.
• средства предотвращения вторжений системного уровня (host-based IDS/IPS), которые выявляют события информационной безопасности и выполняют корректирующие действия в пределах защищаемого узла.

Выделяется несколько методов анализа событий:

• обнаружение злоупотреблений, при котором событие или множество событий проверяются на соответствие заранее определенному образцу (шаблону), который описывает известную атаку. Шаблон известной атаки называется сигнатурой.
• обнаружение аномалий, при котором определяются ненормальные (аномальные) события. Данный метод предполагает, что при попытке вторжении, полученные события отличаются от событий нормальной деятельности пользователей или взаимодействия узлов сети и могут, следовательно, быть определены. Сенсоры собирают данные о событиях, создают шаблоны нормальной деятельности и используют различные метрики для определения отклонения от нормального состояния.

В подсистеме выделяются средства защиты от DDoS атак, которые анализируют пограничный сетевой трафик методом обнаружения аномалий.

Решение по предотвращению вторжений состоит из сенсоров, одного или нескольких серверов управления, консоли оператора и администраторов. Иногда выделяется внешняя база данных для хранения информации о событиях информационной безопасности и их параметров.

Сервер управления получает информацию от сенсоров и управляет ими. Обычно на серверах осуществляется консолидация и корреляция событий. Для более глубокой обработки важных событий, средства предотвращения вторжений системного уровня интегрируются с подсистемой мониторинга и управления инцидентами.

Консоли представляют интерфейсы для операторов и администраторов подсистемы. Обычно это программное средство, устанавливаемое на рабочей станции.

Для организации централизованного администрирования, управления обновлениями сигнатур, управления конфигурациями применяется интеграция с подсистемой управления средствами защиты организации.

Необходимо учитывать, что только комплексное использование разных типов средств подсистемы позволяет достигнуть всестороннего и точного обнаружения и предотвращения вторжений.

Предотвращение вторжений системного уровня

Подсистема предотвращения вторжений системного уровня (host-based IDS/IPS) обеспечивает незамедлительное блокирование атак системного уровня и оповещение ответственных лиц. Агенты (сенсоры) обнаружения атак системного уровня собирают информацию, отражающую деятельность, которая происходит в отдельной операционной системе.

Преимуществами данной подсистемы является возможность контроля доступа к информационным объектам узла, проверка их целостности, регистрацию аномальной деятельности конкретного пользователя.

К недостаткам можно отнести не возможность обнаруживать комплексных аномальных событий, использование дополнительные ресурсы защищаемой системы, необходимость установки на все защищаемые узлы. Кроме того, уязвимости операционной системы могут нарушить целостность и работу сенсоров.

Варианты решения:

Предотвращение вторжений сетевого уровня

Подсистема предотвращения вторжений сетевого уровня (network-based IPS или NIPS) обеспечивает немедленное блокирование сетевых атак и оповещение ответственных лиц. Преимуществом применения средств сетевого уровня является возможность защиты одним средством сразу нескольких узлов или сегментов сети.

Программные или программно-аппаратные сенсоры, устанавливаются в разрыв соединения или пассивно просматривают сетевой трафик определенных узлов или сегментов сети и анализируют сетевые, транспортные и прикладные протоколы взаимодействия.

Захваченный трафик сравнивается с набором определенных образцов (сигнатур) атак или нарушений правил политики безопасности. Если сигнатуры будут обнаружены в сетевом пакете, применяются меры противодействия.

В качестве мер противодействия, может выполняться:

• блокирование выбранных сетевых пакетов;
• изменение конфигурации средств других подсистем обеспечения информационной безопасности (например, межсетевого экрана) для более эффективного предотвращения вторжения;
• сохранения выбранных пакетов для последующего анализа;
• регистрация событий и оповещение ответственных лиц.

Дополнительной возможностью данных средств может являться сбор информации о защищаемых узлах. Для получения информации о защищенности и критичности узла или сегмента сети применяется интеграция с подсистемой контроля эффективности защиты информации.

Пример решения предотвращения вторжений сетевого уровня на основе продуктов Cisco Systems приведен на рисунке:

Рисунок 1. Пример решения предотвращения вторжений сетевого уровня на основе продуктов Cisco Systems

Варианты решения:

Защита от DDoS атак

Одним из наиболее критичных, по последствиям, классов компьютерных атак являются атаки типа «Распределенный отказ в обслуживании» (Distributed Denial of Service, DDoS), направленные на нарушение доступности информационных ресурсов. Эти атаки осуществляются с использованием множества программных компонентов, размещаемых на хостах в сети Интернет. Они могут привести не только к выходу из строя отдельных узлов и сервисов, но и остановить работу корневых DNS-серверов и вызвать частичное или полное прекращение функционирования сети.

Основная цель защиты против DDoS-атак заключается в предотвращении их реализации, точном обнаружении этих атак и быстром реагировании на них. При этом важно также эффективно распознавать легитимный трафик, который имеет признаки, схожие с трафиком вторжения, и обеспечивать надежную доставку легитимного трафика по назначению.

Общий подход к защите от атак DDoS включает реализацию следующих механизмов:

• обнаружение вторжения;
• определение источника вторжения;
• предотвращение вторжения.

Решение для операторов связи

Бизнес-преимущества внедряемого решения:

• возможность предложить новый сервис высокого уровня с перспективой масштабирования для больших, средних и малых предприятий;
• возможность позиционировать себя как доверенное лицо, участвующее в предотвращении ущерба и потерь клиентов;
• улучшается управляемость сетевой инфраструктурой;
• возможность предоставления абонентам отчетов об атаках.

Данное решение позволяет операторам связи предложить своим клиентам защиту от распределенных DoS-атак, одновременно укрепить и защитить собственные сети. Фундаментальной задачей решения является удаление аномального трафика из канала связи и доставка только легитимного трафика.

Провайдер услуг может предлагать защиту от DDoS-атак своим корпоративным клиентам по двум схемам:

• выделенная услуга – подходит для компаний, бизнес которых связан с сетью Интернет: это компании, занимающиеся «онлайновой» торговлей, финансовые структуры и другие предприятия, занимающиеся электронной коммерцией. Выделенная услуга обеспечивает возможность очистки передаваемого трафика, а также дополнительные возможности обнаружения DDoS-атак и активацию процедур очистки трафика по требованию клиента;
• услуга коллективного пользования – предназначена для корпоративных клиентов, которым необходим определенный уровень защиты от DDoS-атак для своих «онлайновых» сервисов. Однако эта проблема не стоит для них остро. Услуга предлагает возможность очистки трафика коллективно для всех клиентов и стандартную политику для обнаружения DDoS-атаки

Архитектура решения

Рисунок 2. Архитектура решения защиты от DDoS-атак для операторов связи

Архитектура решения предлагает упорядоченный подход к обнаружению распределенных DoS-атак, отслеживанию их источника и подавлению распределенных DoS-атак.

В начале своей работы средствам защиты от DDoS-атак необходимо пройти процесс обучения и создать модель нормального поведения трафика в пределах сети, используя поток данных, доступный с маршрутизаторов. После процесса обучения система переходит в режим мониторинга трафика и в случае обнаружения аномальной ситуации, системному администратору отправляется уведомление. Если атака подтверждается, администратор безопасности сети переводит устройство очистки трафика в режим защиты. Также возможно настроить устройства мониторинга на автоматическую активацию средств очистки трафика в случае обнаружения аномального трафика. При включении в режим защиты средство фильтрации изменяет таблицу маршрутизации граничного маршрутизатора с целью перенаправления входящего трафика на себя и производит очистку его очистку. После этого очищенный трафик перенаправляется в сеть.

Решение для предприятий

При разработке данного решения применялся комплексный подход для построения системы защиты, способной защитить не только отдельные сервера предприятия, но и каналы связи с соответствующими операторами связи. Решение представляет собой многоуровневую систему с четко выстроенной линией обороны. Внедрение решения позволяет повысить защищенность корпоративной сети, устройств маршрутизации, канала связи, почтовых серверов, web-серверов и DNS-серверов.

• осуществление компаниями своего бизнеса через Интернет;
• наличие корпоративного web-сайта компании;
• использование сети Интернет для реализации бизнес-процессов.

Архитектура решения

Рисунок 3. Архитектура решения защиты от DDoS-атак для предприятий

В данном решении применяются сенсоры обнаружения аномалий, просматривающие проходящий внешний трафик в непрерывном режиме. Данная система находится на границе с оператором связи, таким образом, процесс очистки начинается еще до попадания трафика атаки во внутреннюю сеть компании.

Метод обнаружения аномалий не может обеспечить 100% вероятность очистки трафика, поэтому появляется необходимость интеграции с подсистемами предотвращения атак на сетевом и системном уровне.

Технические преимущества внедряемых решений:

• мгновенная реакция на DDoS-атаки;
• возможность включения системы только по требованию обеспечивает максимальную надежность и минимальные затраты на масштабирование.

Варианты решения:

IDS/IPS системы — это уникальные инструменты, созданные для защиты сетей от неавторизованного доступа. Они представляют собой аппаратные или компьютерные средства, которые способны оперативно обнаруживать и эффективно предотвращать вторжения. Среди мер, которые принимаются для достижения ключевых целей IDS/IPS, можно выделить информирование специалистов по информационной безопасности о фактах попыток хакерских атак и внедрения вредоносных программ, обрыв соединения со злоумышленниками и перенастройку сетевого экрана для блокирования доступа к корпоративным данным.

Для чего применяют системы обнаружения вторжения в сеть

Кибератаки — одна из основных проблем, с которыми сталкиваются субъекты, владеющие информационными ресурсами. Даже известные антивирусные программы и брандмауэры — это средства, которые эффективны лишь для защиты очевидных мест доступа к сетям. Однако злоумышленники способны находить пути обхода и уязвимые сервисы даже в самых совершенных системах безопасности. При такой опасности неудивительно, что зарубежные и российские UTM-решения получают все более широкую популярность среди организаций, желающих исключить возможность вторжения и распространения вредоносного ПО (червей, троянов и компьютерных вирусов). Многие компании принимают решение купить сертифицированный межсетевой экран или другой инструмент для комплексной защиты информации.

Особенности систем обнаружения вторжений

Все существующие сегодня системы обнаружения и предотвращения вторжений объединены несколькими общими свойствами, функциями и задачами, которые с их помощью решают специалисты по информационной безопасности. Такие инструменты по факту осуществляют беспрерывный анализ эксплуатации определенных ресурсов и выявляют любые признаки нетипичных событий.

Организация безопасности корпоративных сетей может подчиняться нескольким технологиям, которые отличаются типами выявляемых инцидентов и методами, применяемыми для обнаружения таких событий. Помимо функций постоянного мониторинга и анализа происходящего, все IDS системы выполняют следующие функции:

• сбор и запись информации;
• оповещения администраторам администраторов сетей о произошедших изменениях (alert);
• создание отчетов для суммирования логов.

Технология IPS в свою очередь дополняет вышеописанную, так как способна не только определить угрозу и ее источник, но и осуществить их блокировку. Это говорит и о расширенном функционале подобного решения. Оно способно осуществлять следующие действия:

• обрывать вредоносные сессии и предотвращать доступ к важнейшим ресурсам;
• менять конфигурацию «подзащитной» среды;
• производить действия над инструментами атаки (например, удалять зараженные файлы).

Стоит отметить, что UTM межсетевой экран и любые современные системы обнаружения и предотвращения вторжений представляют собой оптимальную комбинацию технологий систем IDS и IPS.

Как происходит обнаружение вредоносных атак

Технологии IPS используют методы, основанные на сигнатурах — шаблонах, с которыми связывают соответствующие инциденты. В качестве сигнатур могут выступать соединения, входящие электронные письма, логи операционной системы и т.п. Такой способ детекции крайне эффективен при работе с известными угрозами, но очень слаб при атаках, не имеющих сигнатур.

Еще один метод обнаружения несанкционированного доступа, называемый HIPS, заключается в статистическом сравнении уровня активности происходящих событий с нормальным, значения которого были получены во время так называемого «обучающего периода». Средство обнаружения вторжений может дополнять сигнатурную фильтрацию и блокировать хакерские атаки, которые смогли ее обойти.

Резюмируя функции и принципы работы IDS и IPS систем предотвращения вторжений, можно сказать, что они решают две крупные задачи:

• анализ компонентов информационных сетей;
• адекватное реагирование на результаты данного анализа.

Детекторы атак Suricata

Одним из решений IPS предотвращения вторжений являются детекторы атак, которые предназначены для своевременного выявления множества вредоносных угроз. В Интернет Контроль Сервере они реализованы в виде системы Suricata — продвинутого, многозадачного и очень производительного инструмента, разработанного для превентивной защиты сетей, а также сбора и хранения информации о любых поступающих сигналах. Работа детектора атак основана на анализе сигнатур и эвристике, а удобство его обусловлено наличием открытого доступа к исходному коду. Такой подход позволяет настраивать параметры работы системы для решения индивидуальных задач.

К редактируемым параметрам Suricata относятся правила, которым будет подчиняться анализ трафика, фильтры, ограничивающие вывод предупреждения администраторам, диапазоны адресов разных серверов, активные порты и сети.

Таким образом, Suricata как IPS-решение — это довольно гибкий инструмент, функционирование которого подлежит изменениям в зависимости от характера атаки, что делает его максимально эффективным.

В ИКС фиксируется и хранится информация о подозрительной активности, блокируются ботнеты, DOS-атаки, а также TOR, анонимайзеры, P2P и торрент-клиенты.

При входе в модуль отображается его состояние, кнопка «Выключить» (или «Включить», если модуль выключен) и последние сообщения в журнале.

Настройки

Во вкладке настроек можно редактировать параметры работы детектора атак. Здесь можно указать внутренние, внешние сети, диапазоны адресов различных серверов, а также используемые порты. Всем этим переменным присвоены значения по умолчанию, с которыми детектор атак может корректно запуститься. По умолчанию, анализируется трафик на внешних интерфейсах.

Правила

Детектору атак можно подключать правила, с помощью которых он будет анализировать трафик. На данной вкладке можно посмотреть наличие и содержимое того или иного файла с правилами, а также включить или выключить его действие (с помощью флажков справа). В правом верхнем углу располагается поиск по названию или по количеству правил в файле.

Фильтры

Для того, чтобы настроить ограничения в выводе предупреждений детектором атак, необходимо перейти на вкладку «Фильтры». Здесь можно добавить следующие ограничения:

• фильтр по количеству сообщений,
• фильтр сообщений по частоте появления,
• фильтр смешанного типа,
• запрет на сообщения определённого типа;

При настройке необходимо помнить, что поле «Id правила» в различных фильтрах должно быть различным.

Подобные документы

История развития стандарта SDH как системы высокоскоростных высокопроизводительных оптических сетей связи, его достоинства и недостатки. Измерение информации на сетях SDH, тестирование мультиплексорного оборудования. Измерения джиттера в сетях SDH.

реферат, добавлен 10.11.2013


Классификация информационных систем. Моделирование хранилищ данных. Системы поддержки принятия решений. Технические аспекты многомерного хранения данных. Системы автоматизации документооборота. Принципы иерархического проектирования корпоративных сетей.

учебное пособие, добавлен 20.05.2014


Понятие и изучение устройства корпоративных информационных систем; основные этапы их создания и методики внедрения. Описание моделей жизненного цикла программного обеспечения. Архитектура корпоративных компьютерных сетей, обеспечение их безопасности.

контрольная работа, добавлен 21.03.2013


Атаки на беспилотные летательные аппараты. Этапы воздействия на беспилотные авиационные комплексы и взаимодействующие сети и системы. Угрозы и уязвимые места беспилотных летательных аппаратов. Методы обнаружения и обезвреживания компьютерных атак.

статья, добавлен 02.04.2016


Разработка и проектирование информационного и программного обеспечения системы аттестационного тестирование по информатике. Архитектура и платформа реализации системы. Выбор технических средств и ресурсный анализ системы управления базами данных.

дипломная работа, добавлен 08.10.2018


Анализ и характеристика информационных ресурсов предприятия ООО "Овен". Цели и задачи формирования системы ИБ на предприятии. Предлагаемые мероприятия по улучшению системы информационной безопасности организации. Модель информационной защиты информации.

курсовая работа, добавлен 03.02.2011


Использование компьютерных технологий тестирования, их описание, значение и достоинства. Разработка технического задания для создания информационной системы. Выбор технического и программного обеспечения, проектирование приложения системы тестов.

дипломная работа, добавлен 03.03.2015


Компания "Гарант" как одна из крупнейших российских информационных компаний, история ее развития. Характеристика справочно-правовой системы "Гарант": услуги, клиентура, особенности функционирования. Главные преимущества поисковой системы "Гарант".

реферат, добавлен 19.05.2013


Определение информационной безопасности, ее угрозы в компьютерных системах. Базовые понятия политики безопасности. Криптографические методы и алгоритмы защиты компьютерной информации. Построение современной системы антивирусной защиты корпоративной сети.

учебное пособие, добавлен 04.12.2013


Общие принципы организации и функционирования сетевых технологий. Взаимодействие компьютеров в сети. Системы передачи данных и множество вычислительных сетей. Процесс маршрутизации и доменной системы имён в сети Интернет. Особенности DNS-сервиса.