Системы обнаружения атак. Традиционно системы защиты компьютерной информации опираются на три основных средства

Традиционно системы защиты компьютерной информации опираются на три основных средства.

1. Аутентификация – означает средство, позволяющее одному участнику компьютерного взаимодействия доказать своему партнеру свою идентичность. Чаще всего она сводится к указанию имени и пароля.

2. Авторизация означает средство распределения ресурсов, позволяющее определить, какие ресурсы должны быть доступны аутентифицированному пользователю.

3. Аудит означает наблюдение за событиями, происходящими в системе, в том числе, событиями безопасности.

Системы защиты, основанные на указанных методах, имеют один существенный недостаток. Все они позволяют блокировать атаки на компьютер, но совершенно неспособны упредить атаку.

Защита компьютерной системы должна опираться на накопленные знания о технологии и методах хакерских атак и учитывать все уязвимости, присущие защищаемой компьютерной системе. Для этого следует применять технологии выявления атак, опирающиеся на следующие базовые средства:

1. Накопленную информацию о признаках атаки. К числу признаков можно отнести многие характеристики поведения системы, включая отклонения от стандартных значений различных параметров работы системы. К таким признакам относятся внезапное изменение сетевого трафика или параметров конфигурации компьютера, появление непонятных отказов системы или многократно повторяемых событий определенного типа и т.д.

2. Контроль источников информации о признаках атаки. К таким источникам информации относятся сведения о сетевом трафике, журналы регистрации событий безопасности о текущей деятельности пользователей и программно-аппаратного обеспечения системы.

3. Накопленные методы анализа информации, предоставляемые различными источниками с целью выявления признаков атаки.

Системы защиты, построенные на основании современных технологий, должны включать в себя следующие функциональные возможности:

1. Сканеры безопасности, которые действуют как средство анализа защищенности системы путем имитации хакерской атаки на этапе выявления уязвимостей атакуемой системы.

2. Классические средства выявления вторжений, действующие в режиме реального времени и позволяющие обнаруживать атаки на этапе их реализации.

3. Контроль целостности, обнаруживающий изменения в контролируемых ресурсах, например, в ресурсах файловой системы, для выявления последствия выполнения атаки.

Эти возможности должны обеспечить выявление вторжений на всех трех этапах хакерской атаки. Рассмотрим эти средства по порядку.

Сканеры безопасности применяются для превентивного анализа защищаемой системы с целью выявления уязвимостей. Сканеры делают моментальный «снимок» состояния системы в текущий момент времени, по которому можно судить о ее готовности к обороне. Сканеры безопасности, в принципе, должны выявлять уязвимости всех типов, рассмотренных в разделе «классификация уязвимостей и угроз», а именно уязвимости проектирования, реализации и эксплуатации.

Уязвимости проектирования выявляются путем анализа аппаратного и программного обеспечения компьютерной системы организации, а также ее проекта. Практически это сводится к сертификации всех указанных компонентов информационной системы на их соответствие требованиям безопасности.

Уязвимости реализации выявляются верификацией программного и аппаратного обеспечения на предмет наличия ошибок, могущих стать причиной уязвимости системы. Для поиска таких ошибок применяются два метода – аналитико-математические исследования программного кода и контрольно-испытательные проверки, заключающиеся в генерации множества тестов компьютерной системы. Первый метод применяется, как правило, при сертификации разрабатываемой компьютерной системы различными государственными организациями. Второй метод весьма широко применяется на практике, в силу его дешевизны, простоты и эффективности. Наиболее часто метод контрольно-испытательных проверок реализуется с помощью программ, имитирующих атаки на компьютерные системы.

Уязвимости эксплуатации позволяют определить дефекты в системе защиты всех компонентов информационной системы. Наиболее широко сканеры уязвимостей эксплуатации применяются для анализа безопасности сетевых служб и протоколов, а также операционных систем. Для выявления уязвимостей сканеры безопасности применяют два метода – пассивный и активный. При пассивном методе выполняется проверка параметров настройки приложений и ОС на соответствие некоторым правилам политики безопасности, например, правилу обязательного использования сложных паролей определенной длины. Активный метод поиска уязвимостей сводится к описанному выше методу имитации сетевых атак и анализу реакции системы с целью устранения дефектов защиты системы.

Дата добавления: 2014-01-15