Методика и критерии сравнения

Сравнительный анализ вышеназванных систем производился следующим образом: был составлен набор критериев сравнения качественных характеристик СОА, для которых определено множество возможных значений. Далее по каждому из критериев оценивалось соответствие ему каждой системы в отдельности и сравнение полученных характеристик систем в совокупности.

Для сравнительного анализа были выбраны следующие критерии:

Класс обнаруживаемых атак. Данный критерий определяет, какие классы атак способна обнаруживать рассматриваемая система. Это один из ключевых критериев, так как сегодня ни одна система не способна обнаруживать атаки всех классов. Поэтому для более полного покрытия всего спектра атак необходимо комбинировать различные СОА. Здесь мы используем классификацию атак, основанную на разделении ресурсов защищаемой системы по типам.

Класс атаки — это четверка <L,R,A,D>, где L — расположение атакующего объекта, R — атакуемый ресурс, A — целевое воздействие на ресурс, D — признак распределенного характера атаки.

L: расположение атакующего объекта. Оно может быть внутренним по отношению к защищаемой системе (li), либо внешним (le).

R: атакуемый ресурс. Ресурсы разделяются по расположению и по типу. По расположению: локальные (rl), сетевые (rn).

По типу: пользовательские ресурсы (ru), системные ресурсы (rs), ресурсы СУБД (rd), вычислительные ресурсы (rc), ресурсы защиты (rp).

A: целевое воздействие на ресурс: сбор информации (as), получение прав пользователя ресурса (au), получение прав администратора ресурса (ar), нарушение целостности ресурса (ai), нарушение работоспособности ресурса (ad).

D: признак распределенного характера атаки: распределенные (dd), нераспределенные (dn). Следующий критерий характеризует источники и способы сбора информации о поведении объектов и состоянии ресурсов:

Уровень наблюдения за системой. Определяет, на каком уровне защищаемой системы собирают данные для обнаружения атаки. Различаются системные и сетевые источники. В пределах системных источников разделяются уровни ядра, процесса и приложения. От уровня наблюдения за системой зависит скорость сбора информации, влияние системы на собираемую информацию, вероятность получения искаженной информации.

В одном случае СОА может иметь собственные наблюдающие модули, которые в реальном времени получают информацию из первичных источников — из канала передачи данных в сети, системной шины узла сети, ядра ОС узла, от встроенных в приложения модулей.

В другом случае СОА может использовать лишь вторичные источники информации — журналы регистрации ОС узла, приложений, сетевые данные, собранные другими средствами (на других узлах). В этом случае вероятность получение искаженных данных выше и заведомо меньше скорость обнаружения возможной атаки.

Следующий критерий определяет эффективность обнаружения атаки на основе анализа полученной информации.

Используемый метод обнаружения. Метод обнаружения также является ключевым критерием сравнения. Методы подразделяются на формальные и эвристические. Формальные методы базируются на механизмах определения текущего состояния ресурсов системы и оценки опасности этих состояний. В этих методах ля каждого состояния одного ресурса должна быть однозначно определена мера «безопасности». Существующие системы используют эвристические методы обнаружения, которые обнаруживают и классифицируют атаки на основе неполной информации и с некоторой долей вероятности неправильного обнаружения и классификации.

Адаптивность к неизвестным атакам. Определяет, позволяет ли используемый метод обнаруживать ранее неизвестные атаки. Экспертные методы требуют постоянного обновления базы знаний об атаках описаниями новых атак, которые производятся экспертами. Пока не построено эффективного представления базы знаний об атаках, которое позволило бы получать описания возможных новых атак на основе описания известных атак. Методы обнаружения аномального поведения объектов позволяют обнаруживать неизвестные атаки, но они также имеют много слабых сторон — неустойчивость к малым изменениям поведения объектов, низкая точность классификации атаки.

Следующие три критерия определяют такие архитектурные особенности СОА как управление, распределенность, Управление. Определяет организацию управления системой. Управление может быть централизованное, распределенное. Дополнительно может присутствовать возможность удаленного управления СОА. Сюда включаются задачи установки, настройки и администрирования системы. При полностью распределенном управлении необходимо управлять всеми компонентами СОА в отдельности. При полностью централизованном управлении все компоненты СОА могут управляться с одного узла.

Архитектура. Определяет распределенность архитектуры СОА. Архитектура может быть нераспределенной или распределенной. Данная характеристика определяет скорость реакции СОА на атаку. При нераспределенной архитектуре СОА может собирать и анализировать информацию о поведении объектов в некотором ограниченном сегменте защищаемой системы. Она не может, в общем случае, оценить безопасность состояния всей защищаемой системы. Таким образом, распределенная архитектура СОА позволяет расширить горизонт наблюдения за защищаемой системой, который определяет время оценки защищенности системы и обнаружения атаки.

Расширяемость. Определяет, насколько система является открытой для интеграции в нее компонентов сторонних разработчиков и для сопряжения ее с другими системами защиты информации. Это могут быть программные интерфейсы для встраивания дополнительных модулей, реализация стандартов взаимодействия сетевых компонентов.

Формирование ответной реакции на атаку. Определяет наличие в системе встроенных механизмов ответной реакции на атаку, кроме самого факта ее регистрации. Возможны такие способы реагирования как разрыв соединения с атакующим объектом, блокировка его на межсетевом экране, отслеживание пути проникновения атакующего объекта в защищаемую системы.

Защищенность. Определяет степень защищенности СОА от атак на ее компоненты, включая защиту передаваемой информации, устойчивость к частичному выходу компонентов из строя или их компрометации. Затрагиваются вопросы наличия уязвимостей в компонентах СОА, защищенности каналов передачи данных между ними, авторизации компонентов внутри СОА.

Данный обзор строился, по большей части, на основе изучения описаний систем и их документации. Поэтому не изучены такие критерии сравнения как точность и полнота систем обнаружения атак, так как их изучение требует проведения большой экспериментальной работы.