Архитектура детекторов

АРХИТЕКТУРА СЕНСОРОВ.

АРХИТЕКТУРА СОА.

ЛЕКЦИЯ №8.

Архитектура СОА включает в себя 7 модулей:

1) Модуль работы с источниками информации отвечает за взаимодействие с журналом регистрации, сетевой картой или ядром ОС для получения данных, на основе которой делается вывод о наличие или отсутствие атаки.

2) Модуль управления компонентами – служит для управления всеми компонентами системы обнаружения атак и обеспечения взаимосвязи ними.

3) Хранилище данных - является обычным журналом регистрации

4) Модуль обнаружения атак – на основании полученного этим модулем результата могут отдавать команды модулю реагирования.

5) База знаний

6) Модуль реагирования. Предпринимает действия в соответствии с заданными правилами.

7) графический интерфейс

СОА делится на 2 категории:

1) автономная

2) клиент-серверная делится на 2 уровня:

а) сенсоры

б) детекторы

Сенсоры используют роль связующего звена СОА с вычислительной средой. Она собирают необходимую информацию об уязвимостях, фильтруют ее и отсылают детекторам. На следующем уровне производится анализ собранных событий, обнаружение в них вторжений и выработка уведомлений о подозрительной активности.

Детекторы выявляют атаки по заданным критериям обнаружения (сигнатуры, шаблоны, правила). Затем принимаются контроллеры в ответ на обнаруженную атаку.

Сенсор является компонентом СОА. Может являться, как конкретный узел сети, так и вся сеть в целом. Сенсоры осуществляют сбор событий и безопасности из сетевого трафика (клиент-серверный СОА) или производят предварительную фильтрацию потока событий в системе (локальные).

В связи с непосредственным контактом защищаемой системы на сенсоры зачастую возлагается реализация контрмер (закрытие соединений, завершение процессов и т.д.). Включает в себя локальный:

1) монитор ресурсов

2) монитор целостности

3) монитор доступа

4) монитор логинов

5) монитор выполнения

сетевой:

1) сетевое оборудование

2) МЭ

Детектор отвечает за обнаружение атак. Существует несколько механизмов обнаружения:

1) сигнатурный поиск

2) поиск регулярных выражений

3) интеллектуальный механизм распознавания атак

В первом случае производится поиск битов сигнатуры в проходящем потоке системных событий.

Во втором случае требует накопление ряда событий для поиска в них сценария атаки.

В третьем случае производится поиск на специализированном языке ретроспективного анализа с использованием методов искусственного интеллекта (накопление событий происходит за длительный период времени). Включает в себя: фильтр событий, анализатор протоколов и логов, коды сигнатурного поиска, поиска регулярных выражений, локальный банк критериев обнаружения и генератор уведомлений.

Дата добавления: 2014-01-07