Результаты. 
Способы обнаружения компьютерных атак

В данном разделе приводятся результаты сравнения рассмотренных семи СОА. Системы сначала сравниваются отдельно по каждому из критериев, а в конце раздела приводится сводная таблица сравнения по всем критериям.

Класс обнаруживаемых атак

Все исследованные системы могут обнаруживать атаки нескольких классов. Поэтому для улучшения читаемости и сокращения объема текста вводятся понятия объединения, пересечения и вложения классов атак. Для обозначения объединения и пересечения классов атак будем использовать символы «? «и «? «соответственно.

Системы, рассмотренные в данной работе, предназначены для обнаружения атак разных классов. Часть систем ориентированы на обнаружения локальных атак и при этом используют для анализа такие источники как журналы регистрации приложений, ОС, журналы систем аудита (AAFID, ASAX). Другие системы обнаруживают только внешние (сетевые) атаки и используют для анализа информацию, получаемую из каналов передачи данных в сети (SHADOW, Snort, SnortNet). Остальные системы являются гибридными и обнаруживают как локальные атаки, так и внешние атаки (NetSTAT, Prelude).

В пределах атак тех классов, на которые они ориентированы, все системы имеют различную полноту обнаружения, т. е. потенциальное число обнаруживаемых атак (отношение числа обнаруженных атак к числу проведенных атак). Это зависит от используемого метода обнаружения и от полноты базы описаний известных атак (если она есть).

Система AAFID является наименее развитой в этом плане, так как все еще не вышла за рамки экспериментальной системы. Набор обнаруживаемых атак для нее довольно беден. Система имеет набор агентов, обнаруживающих аномалии для конкретных групп ресурсов. Она обнаруживает следующие аномалии:

• — аномалии загрузки процессора;
• — аномалии входа в систему;
• — аномалии прав доступа к системным файлам;
• — аномалии конфигурации NFS и др.

Система обнаруживает атаки следующих классов: (L, R, A, D). Где:

• — L={li } (атакующие объекты внутренние для системы);
• — R={rl}? {ru? rs? rc} (локальные пользовательские, системные ресурсы и вычислительные ресурсы);
• — A={as? au? ar? ad} (сбор информации о системе, попытки получения прав пользователя, попытки получения прав администратора, нарушение работоспособности ресурса);
• — D={dn} (нераспределенные).

Система ASAX единственная из рассмотренных здесь является изначально ориентированной на обнаружения атак уровня системы (локальных). Она появилась раньше всех из рассмотренных здесь систем, и последняя версия предназначена, в частности, для анализа журналов регистрации системы аудита Solaris BSM. ASAX имеет набор правил на языке RUSSEL для обнаружения определенного набора атак для некоторых платформ. Эти правила включают в себя обнаружение несанкционированного доступа к системным файлам, сигнатуры известных атак на почтовые сервисы, обнаружение нарушения прав доступа к программам suid и пр. ASAX более эффективен, чем AAFID, так как долго использовался в целевых ОС и, соответственно, имеет более полную базу описаний известных атак.

Обнаруживаются атаки следующих классов: (L, R, A, D). Где:

• — L={li } (атакующие объекты внутренние для системы);
• — R={rl}? {ru? rs} (локальные пользовательские и системные ресурсы);
• — A={au? ar? ad} (попытки получения прав пользователя, попытки получения прав администратора, нарушение работоспособности ресурса);
• — D={dn} (нераспределенные).

Система NetSTAT также пока находится в стадии экспериментальной разработки. Для компонентов, анализирующих сетевые данные, есть описания некоторого набора известных атак на типовые сервисы. Локальные системные компоненты ориентированы на анализ журналов регистрации системы аудита Solaris BSM. Базы описаний известных атак малы, поэтому эффективность системы низка.

СОА обнаруживает атаки следующих классов: (L, R, A, D). Где:

• — L={li? le} (внутренние и внешние атаки);
• — R={rl? rn }? {ru? rs} (атаки на локальные или сетевые пользовательские ресурсы и системные ресурсы);
• — A={as? au? ar? ad} (сбор информации о системе, попытки получения прав пользователя, попытки получения прав администратора и нарушение работоспособности ресурса);
• — D={dn} (нераспределенные).

Система Prelude, как и NetSTAT, является гибридной, т. е. способна обнаруживать атаки как на уровне системы, так и на уровне сети. Данная система активно разрабатывается в настоящее время. По классам обнаружения сетевых атак Prelude превосходит систему Snort, так как способна использовать базу описаний атак этой системы в дополнение к собственной. Системная часть Prelude имеет достаточно широкий набор описаний атак и использует в качестве источника информации различные журналы регистрации:

• — журналы регистрации межсетевого экрана IPFW, входящего в состав ОС FreeBSD;
• — журналы регистрации NetFilter ОС Linux 2.4.x;
• — журналы регистрации маршрутизаторов Cisco and Zyxel;
• — журналы регистрации GRSecurity;
• — журналы регистрации типовых сервисов OC UNIX.

СОА обнаруживает атаки следующих классов: (L, R, A, D). Где:

• — L={li? le} (внутренние и внешние атаки);
• — R={rl? rn}? {ru? rs? rp} (атаки на локальные или сетевые пользовательские ресурсы, системные ресурсы и ресурсы защиты);
• — A={as? au? ar? ad} (сбор информации о системе, попытки получения прав пользователя, попытки получения прав администратора и нарушение работоспособности ресурса);
• — D={dn} (нераспределенные).

Система SHADOW является сетевой системой обнаружения атак. Она представляет собой систему фильтров собираемых сетевых данных и обнаруживает простейшие аномалии в сети. При этом она является довольно требовательной к ресурсам и требует выделенного оборудования для каждого из своих компонентов.

Системой обнаруживаются атаки следующих классов (L, R, A, D):

• — L={li? le} (внутренние и внешние атаки);
• — R={rn}? {ru? rs} (атаки на сетевые пользовательские ресурсы и системные ресурсы);
• — A={as? au? ar? ad} (сбор информации о системе, попытки получения прав пользователя, попытки получения прав администратора и нарушение работоспособности ресурса);
• — D={dn} (нераспределенные).

Система Snort это наиболее популярная на сегодняшний день некоммерческая СОА. Она активно и динамично развивается, обновления базы известных атак происходят с частотой, сравнимой с коммерческими аналогами. Snort является чисто сетевой СОА и, кроме основной базы описаний атак, имеет набор подключаемых модулей для обнаружения специфических атак или реализующих альтернативные методы обнаружения.

Системой обнаруживаются атаки следующих классов (L, R, A, D):

• — L="внутренние"? «внешние»;
• — R={rl? rn}? {ru? rs? rp} (атаки на локальные или сетевые пользовательские ресурсы, системные ресурсы и ресурсы защиты);
• — A={as? au? ar? ad} (сбор информации о системе, попытки получения прав пользователя, попытки получения прав администратора и нарушение работоспособности ресурса); D={dn} (нераспределенные).

Система SnortNet это распределенная СОА, основанная на системе Snort. В SnortNet добавляется управляющая станция и набор агентов пересылки сообщений для организации распределенной сети сенсоров Snort. Классы обнаруживаемых атак у систем SnortNet и Snort эквивалентны.

Таким образом, по критерию обнаруживаемых классов атак, наиболее эффективными и перспективными представляются системы Prelude и Snort (SnortNet).