Работа в коммутированных сетях и сетях с канальным шифрованием

Обнаружение атак, не обнаруживаемых другими средствами

Контроль деятельности конкретного узла

Эти системы контролируют деятельность пользователя, доступ к файлам, из­менения прав доступа к файлам, попытки установки новых программ и попытки получить доступ к привилегированным сервисам. Например, они могут контроли­ровать все системные входы и выхода пользователя. Для системы сетевого уровня очень трудно, а зачастую и невозможно, обеспечить такой уровень детализации событий. Средства обнаружения атак на системном уровне могут.также контро­лировать деятельность администратора, которая обычно никем не отслеживается. Операционные системы регистрируют любое событие, при котором добавляются, удаляются или изменяются учетные записи пользователей. Средства обнаруже­ния атак данного класса могут обнаруживать соответствующее изменение сразу, как только оно происходит.

Кроме того, системы обнаружения атак, функционирующие на уровне узла, могут контролировать изменения в ключевых системных или исполняемых фай­лах. Попытки перезаписать такие файлы или инсталлировать «троянских коней» могут быть своевременно обнаружены и пресечены. Системы сетевого уровня иногда упускают такой тип деятельности.

Системы данного класса могут обнаруживать атаки, которые не могут быть обнаружены средствами сетевого уровня. Например, атаки, осуществляемые с са­мого атакуемого сервера. Кроме того, некоторые системы (например RealSecure Server Sensor) могут обнаруживать сетевые атаки, направленные на контролируе­мый узел, но по каким-либо причинам пропущенные системой обнаружения атак на уровне сети.

Поскольку данные средства обнаружения атак устанавливаются на различ­ных узлах сети предприятия, они могут преодолеть некоторые из проблем, возникающие при эксплуатации систем сетевого уровня в коммутируемых сетях и се­тях с канальным шифрованием.

Коммутация позволяет управлять крупномасштабными сетями как несколь­кими небольшими сетевыми сегментами. В результате бывает трудно определить наилучшее место для установки системы, обнаруживающей атаки в сетевом тра­фике. Иногда могут помочь специальные порты (mirror ports, managed ports, span ports) на коммутаторах, но не всегда. Обнаружение атак на системном уровне обеспечивает более эффективную работу в коммутируемых сетях, так как позво­ляет разместить системы обнаружения только на тех узлах, на которых это необ­ходимо.

Канальное шифрование также может являться проблемой для систем обнару­жения атак сетевого уровня, так как они могут оставаться «слепыми» к опреде­ленным, зашифрованным, атакам. Системы, работающие на уровне узла, не име­ют этого ограничения, так как на уровень ОС поступает уже расшифрованный трафик.

Дата добавления: 2014-01-15