Введение в обнаружение атак и анализ
защищенности
Ребекка Бейс, ICSA
перевод Алексея Лукацкого, Юрия Цаплева, НИП "Информзащита"
Предисловие
Системы и сети являются целями атак.
Все чаще и чаще фиксируются атаки на ресурсы Internet с
целью нарушения существующей политики безопасности.
Системы анализа защищенности проверяют системы и сети в
поиске проблем в их реализации и конфигурации, которые
приводят к этим нарушениям. Системы обнаружения атак
собирают различную информацию из разнообразных
источников и анализируют ее на наличие различных
нарушений политики безопасности. И анализ защищенности и
обнаружение атак позволяет организациям защитить себя от
потерь, связанных с нарушениями системы защиты.
Рынок систем обнаружения атак
постоянно растет. Обнаружение атак - логическое
дополнение межсетевых экранов, расширяющее возможности
по управлению защитой системы, включая аудит,
мониторинг, распознавание атак и реагирование на них.
Системы обнаружения выполняют ряд
функций:
- Мониторинг и анализ
пользовательской и системной активности;
- Аудит системной конфигурации и
уязвимостей;
- Контроль целостности системных
файлов и файлов данных;
- Распознавание шаблонов действий,
отражающих известные атаки;
- Статистический анализ шаблонов
аномальных действий;
- Управление журналами регистрации
операционной системы, с распознаванием действий
пользователя, характеризующих нарушения политики
безопасности.
Выгоды от систем обнаружения атак и
анализа защищенности следующие:
- Улучшение целостности частей
инфраструктуры информационной безопасности;
- Улучшение механизмов системного
мониторинга;
- Рассмотрение действий
пользователя начиная от точки входа в систему и
заканчивая точкой выхода, с промежуточными точками
воздействия;
- Распознавание и уведомление об
изменении системных файлов и файлов данных;
- Определение ошибок конфигурации
системы и, возможно, их исправление;
- Распознавание специфичных типов
атак и приведение персонала защиты в готовность;
- Уведомление персонала о недавних
изменениях в программах;
Не надо ждать невозможного от систем
обнаружения атак и анализа защищенности. Они:
- Не могут компенсировать слабые
механизмы аутентификации и идентификации;
- Не могут проводить исследования
атак без человеческого участия;
- Не могут компенсировать
"слабости" сетевых протоколов;
- Не могут компенсировать проблемы
в обеспечиваемых системой, надежности и целостности;
- Не могут анализировать весь
трафик на загруженной сети;
- Не могут иметь дела с атаками на
уровне сетевых пакетов;
- Не могут иметь дела с
современными сетевыми устройствами и сетевыми
технологиями.