Система предупреждения вторжений

Принятая в настоящее время концепция эшелонированной обороны корпоративных сетей в качестве второго уровня предусматривает обнаружение наличия атак, в трафике, разрешенном межсетевом экраном, и защиту от них. Эти функции возлагаются на системы обнаружения вторжений, которые в силу ряда причин не могут обеспечить достаточно высокий уровень защиты.

Современные СОВ характеризуются достаточно большим числом ложных срабатываний, что требует значительных затрат времени и ресурсов для анализа причин возникновения тревог, их достаточно трудно инсталлировать, обновлять и эксплуатировать. Управление СОВ требует высокой классификации администраторов системы.

Возрастает число атак, направленных на обход или обман СОВ. Наиболее часто для этого используется подмена путей, кодирование знаков и искусственная фрагментация. Кроме того, появился полиморфные атаки, которые могут обмануть большинство СОВ.

За последние годы число и масштабы корпораций значительно выросли. Если несколько лет назад система с 50 сенсорами считалась большой, то в настоящее время многие корпорации требуют установки сотен и даже тысяч сенсоров. Поэтому современные СОВ должны учитывать постоянную расширяемость сетей корпорации. Считается, что использование полосы пропускания растет экспоненциально, большие корпорации уже сейчас используют гигантские сети. Поэтому СОВ должны обеспечивать функционирование при пиковых гамбитных сетей без потери какой либо части трафика.

То, что СОВ является пассивным устройством, является их охилесовой пятой. Пассивные средства всегда являются уязвимыми к различными атаками (обмана). Поэтому необходим переход к активным функциям. В настоящее время обнаружение атак ценится ниже их предупреждения. Пассивные средства всегда являются уязвимыми к различным атакам обхода.

Посылка пакета TCP Reset. При обнаружении атаки устройство посылает пакет TCP Reset в оба направления, что разрывает соединение и препятствует развитию атаки. Данный подход, несмотря на свою кажущуюся простоту, обладает следующими недостатками:

• 1) Этот период применим только к проколу TCP или прикладным протоколам, базирующимся на TCP. Одним из вариантов преодоления данного недостатка является посылка сообщения ICMP Host unreachable является посылка сообщения ICMP Host unreachable, что в свою очередь, вызывает проблемы;
• 2) При посылке TCP Reset необходимо указать соответствующие последовательный номер пакета. Если это легко сделать для пакета, направленного на защищаемый хост, то для посылки пакета атакующего хосту необходимо найти соответствующий последовательный номер.
• 3) Существует временная задержка, которая складывается из времени обработки пришедшего пакета, принятие решения о наличии обработки пришедшего пакета, принятие решения о наличии атаки, формирование пакета TCP Reset и времени передачи пакета к месту назначения. За это время атака может быть реализована.

Выдача сигналов фильтрующему устройству. В этом случае устройство обнаружения атаки сигнализирует маршрутизатору или МЭ о наличии атаки, чтобы была заблокирована соответствующая часть трафика путем введения дополнительных правил фильтрации. Реализации данного подхода также связана с определенными трудностями:

• 1) Межсетевой экран должен иметь возможность принимать соответствующие сигналы и оперативную память свои фильтрующие правила в зависимости от получения сигнала.
• 2) Межсетевой экран должен «знать», какую часть трафика необходимо заблокировать. Это реализуется путем блокировки соответствующего IP — адреса, что может привести к отказу в обслуживании;
• 3) Временной промежуток от получения пакта атаки до блокирования соответствующего трафика, которого может быть достаточно для успеха атаки.

Активные системы предупреждения вторжений. Эти системы могут удалять пакет, если считают его источником атаки.

Кроме того, они должны обеспечить минимальное число ложных тревог, так как будут блокировать трафик, признанный зловредным. Поэтому такие системы должны базироваться на технологиях, обеспечивающих высокую точность обнаружения атак.

Одним из важнейших показателей таких систем является производительность. Системы предупреждения вторжений должны обеспечить функционирование с такой скоростью, чтобы не снизить имеющуюся пропускную способность канала. Это приводит к тому, что современные СОВ строятся с использованием специализированных для приложений интегральных систем и программной логики.

Термин «предупреждение вторжений» можно рассматривать как широкое понятие, охватывающее много свойств, которые уже существуют в устройствах защиты. Таких как антивирусная защита, межсетевые экраны и и системы обнаружения вторжений, как правило, используют технологию обнаружения сигнатур. В качестве примера рассмотрим подходы, использования в системе Attack Mitigator IPS компании Top Layer Туемщклыб Inc.

Данная система используется ASIC устройства для обеспечения высокой скорости обработки. Собственно система представляет собой многоуровневую архитектуру, на каждом уровне которой принимается решение об отнесении анализируемой части трафика к одному из трех состояний: «хорошее» — трафик передается на последний уровень;

«зловредное» — трафик удаляется и «подозрительное» — трафик передается для обработки на следующий уровень. Архитектура включает в себя следующие пять уровней:

• 1) Анализ трафика на уровне каждого сеанса — для каждого сеанса создается записи в таблицах сеансов. Контроль сеансов позволяет обнаружить атаки, реализуют одним пакетом, и атаки, использующие фрагментацию;
• 2) Осуществление блокировки атак отказа в обслуживании и распределенных атак отказа в обслуживании. Для этого используется оператвная память для 200 000 IPадресов текущих соединений;
• 3) Защита от червей и Webприложений, функционирующем на 80 -м порту. Для защиты от червей используются специальные алгоритмы анализа состояний, идентифицирующие варианты существующих эксплойтов. Для защиты протокола HTTP используется механизм нормализации протокола, который в частности, декодирует URI;
• 4) Обнаружение аномалий протоколов и аномалий трафика на основе заранее установленных порогов. Пороги устанавливаются администратором системы или автоматически в процессе нормальной работы системы. Кроме того, а данном уровне можно определить число возможных полуоткрытых сеансов, таких, например, как TCPсоединений;
• 5) Обработка всего подозрительного трафика, не пропущенного предыдущими уровнями. На этом уровне определяется стратегия реакции системы в зависимости от установленной политики безопасности организации.

Данный подход в той или иной степени поддерживается и другими производителями систем предупреждения вторжений. Дополнительным свойством таких систем может быть использование корреляции между событиями, обнаруженными в различных уровнях.

Контрольные вопросы.

• 1) Перечислите основные причины невозможности обеспечения адекватной защиты только средствами межсетевыхэкранов.
• 2) Перечислите основные проблемы формирования сигнатур атак.
• 3) Дайте определение понятий «атака» и «вторжение».
• 4) Что характеризуют профили в модели Д. Деннинг?
• 5) Каково основное отличие между профилями шаблонами профилей в модели Д. Деннинг?
• 6) Что понимается под анномальностью в модели Д. Деннинга?
• 7) Объясните наличие в модели CIDF двусторонних связей.
• 8) Что включает в себя понятие «сигнатуры» СОВ? Какие виды сигнатур могут использоватся?
• 9) Перечислите задачи, выполняемые системами обнаружения аномалий протоколов.
• 10) Какие подходы могут использоваться для определения «нормальности» поведения?
• 11) Дайте определение понятия data mining.
• 12) Укажите основные достоинства применения технологии агентов для обнаружения вторжений.
• 13) Почему при реализации генетических алгоритмов применяются малые знания вероятности мутации?
• 14) Какие подходы используются для нахождения генетическими алгоритмами локальных максимумов?
• 15) Предположим, что СОВ реализует модель CIDF с использованием аппарата нейтронных сетей. Какие связи в модели CIDF нуждаются в изменении?
• 16) Чем определяется выбор размерности для входного слоя нейтронной сети?
• 17) Перечислите основные методы обхода систем обнаружения вторжений.
• 18) В чем состоит основная цель Honeypot и Honeynet?
• 19) Что такое десинхронизация СОВ?
• 20) Укажите причины появления ошибок ложного срабатывания и ошибок пропуска для различных технологий обнаружения: обнаружения сигнатур и обнаружения аномалий.
• 21) Укажите принципиальное отличие систем предупреждения вторжений от систем обнаружения вторжений.