Модель СIDF

В модели, предложенной СIDF (Common Intrusion Detection Framework), выделяют 4 основных компонента:

· генератор событий (E-box, event) – собирает данные для принятия решения анализатором. Данные могу содержать имя контролируемого параметра, его особенности и значения. Сенсор может использовать определенное преобразование данных (например, для преобразования в заданный формат, для уменьшения V передаваемых данных);

· анализатор (A-box, analyzer) – принимает решение о наличии симптомов атаки на основании данных от сенсоров. Анализатор может выполнять функции преобразования, фильтрации, нормализации и корреляции данных. При обнаружении атаки к данным для генерации тревоги может добавляться семантическое описание обнаруженной атаки. Может быть многоуровневая схема, в которой анализаторы одного уровня передают данные анализаторам более высокого уровня;

· хранилище данных (D-box, database) – необходимо для принятия решений и, может быть, данных сенсоров. Кроме того, в хранилище содержатся параметры управления (перечни контролируемых параметров, частота проведения контроля и т.п.) и семантические описания атак. Хранилище может иметь различные формы – от текстового файла до реляционной базы данных;

· модуль реакции системы на обнаруженную атаку (R-box, reaction, C-boxу Корта) – при пассивной реакции СОВ оповещает о начале атаки, используя выдачу сообщения на экран монитора, посылку e-mail, сигнал на пейджер или звонок на сотовый телефон. К активным реакция относят, например, прекращение процесса, вызвавшего атаку, разрыв сетевого соединения или активную деградацию режима, вызвавшего тревогу.

Можно добавить модули:

· Датчик значений параметров защищаемой системы — Сбор данных о конфигурации защищаемо системы, представляемы ею сервисах, версиях аппаратно-программного обеспечения и пр.

· Модуль обучения — Вычисление показателей нормального и/или аномального потока событий в системе, использующих алгоритмы обнаружения с обучением;

· Модуль управления работой компонентов системы и контроля ее собственной безопасности — Управление, контроль и обеспечение безопасности компонентов защиты.

Основные задачи:

· Сбор и фильтрация данных;

· Анализ данных – непосредственный процесс обнаружение вторжений;

· Отчет о вторжениях и возможно реакция системы на атаку.

Минусы:

· Модель недостаточно специфична.

· Невозможность однозначного соотнесения некоторых современных типов компонентов защиты и модулей структуры CIDF.

· Несоответствие потоков обработки информации современными системами структуре CIDF.

· Отсутствие в CIDF требований к самоконтролю и обеспечению системой собственной безопасности.

Дата добавления: 2014-01-15