Технологии систем обнаружения сетевых атак. Работа современных IDS и различные виды атак

Задачи, преследуемые в борьбе с хакерами, достаточно очевидны:

Уведомление: о предпринятой попытке несанкционированного доступа должно быть известно немедленно;

Отражение атаки и минимизация потерь: чтобы противостоять злоумышленнику, следует незамедлительно разорвать сеанс связи с ним;

Переход в контрнаступление: хакер должен быть идентифицирован и наказан.

Именно такой сценарий использовался при тестировании четырех наиболее популярных систем выявления сетевых атак из присутствующих сегодня на рынке. Программное обеспечение BlackICE и ICEcap производства Network ICE получило Голубую ленту за доблесть, проявленную в сражении с хакерами, и титул «Продукт мирового класса» (World Class Award) за превосходные средства мониторинга сетевого трафика и выдачи предупреждающих сообщений.

BlackICE - специализированное приложение-агент, которое предназначено исключительно для выявления злоумышленников. Обнаружив непрошеного гостя, оно направляет отчет об этом событии управляющему модулю ICEcap, анализирующему информацию, поступившую от разных агентов, и стремящемуся локализовать атаку на сеть.

Впрочем, протестированные продукты трех других производителей тоже неплохо справлялись со своими обязанностями. Так, ПО Intruder Alert компании Axent Technologies больше похоже на инструментарий для специалистов в области информационной безопасности, поскольку оно предоставляет максимальную гибкость в определении стратегий защиты сети. Пакет Centrax производства CyberSafe устроен по принципу «все в одном»: в его составе нам удалось обнаружить средства контроля за системой безопасности, мониторинга трафика, выявления атак и выдачи предупреждающих сообщений. Система eTrust Intrusion Detection корпорации Computer Associates, напротив, особенно сильна функциями контроля за информационной безопасностью и управления стратегиями защиты, хотя и в этом продукте реализованы средства выдачи предупреждений в режиме реального времени, шифрования данных и обнаружения атак.

Общая тревога

Хакеры нечасто бесцеремонно вторгаются в вашу сеть с оружием в руках. Вместо этого они предпочитают проверить, надежны ли запоры на задней двери и все ли окна вы закрыли. Они незаметно анализируют образцы трафика, входящего в вашу сеть и исходящего из нее, отдельные IP-адреса, а также выдают внешне нейтральные запросы, адресованные отдельным пользователям и сетевым устройствам.

Для обнаружения этих искусно закамуфлированных врагов приходится устанавливать интеллектуальное ПО детектирования сетевых атак, обладающее высокой чувствительностью. Приобретаемый продукт должен предупреждать администратора не только о случаях явного нарушения системы информационной безопасности, но и о любых подозрительных событиях, которые на первый взгляд кажутся совершенно безобидными, а в действительности скрывают полномасштабную хакерскую атаку.

Нет нужды доказывать, что о всякой активной попытке взлома системных паролей администратор должен быть извещен немедленно. Но предположим, что один из компьютеров сети получил ping-запрос от управляющего приложения pcANYWHERE. Источником такого события может быть как зарегистрированный удаленный пользователь указанного ПО, так и хакер, стремящийся установить связь с незащищенной станцией-клиентом, где инсталлировано приложение pcANYWHERE. В обоих случаях эта ситуация должна быть отмечена для последующего углубленного анализа.

Предупреждения, генерируемые агентами BlackICE, очень конкретны, чтобы не сказать прямолинейны. Вот примеры выдаваемых ими сообщений: «Атака BackOrifice», «Команда ping от pcANYWHERE», «Unix-команда scan». Подобный текст не заставит администратора усомниться в характере зарегистрированного события, а в большинстве случаев и в его важности. Кроме того, продукт позволяет администратору настроить содержание собственных предупреждающих сообщений, но по большому счету в этом нет никакой необходимости.

Весьма полезным свойством разработок Network ICE, а также пакета Intruder Alert компании Axent Technologies является возможность загрузки самых свежих сигнатур хакерских атак с сервера фирмы-производителя: ведь именно сигнатуры позволяют точно идентифицировать злоумышленника. Правда, отыскать интересовавшие нас сигнатуры для ПО Intruder Alert оказалось не так-то просто, зато на сервере корпорации Network ICE мы сразу нашли все что нужно.

По средствам уведомления администратора пальму первенства могли бы разделить упомянутый пакет Intruder Alert и система Centrax производства CyberSafe, однако они превратятся в эффективное средство отражения внешних нападений только после того, как будут определены наборы правил, относящиеся к защите данных, заданы тексты предупреждающих сообщений и сконфигурированы сценарии их выдачи. Другими словами, эти две разработки представляют собой скорее инструментарий для построения собственной системы детектирования сетевых атак. Чтобы в полной мере воспользоваться их возможностями, организация должна иметь в своем штате программистов соответствующей квалификации либо располагать бюджетом, позволяющим заказать подобную работу по схеме аутсорсинга.

Как написано в «Руководстве пользователя» к пакету Intruder Alert, «необходимо выполнить компоновку правил защиты для выявления таких изощренных атак, в которых используются сетевые зонды или SYN-запросы». Приведенная фраза вызвала у нас неподдельное удивление, поскольку упомянутые в ней атаки широко распространены и непонятно, почему средства их выявления надо разрабатывать с нуля.

Несмотря на то что все испытывавшиеся продукты легко инсталлируются, управление системами Intruder Alert и Centrax простым не назовешь. Скажем, если Centrax выдает предупреждающее сообщение неизвестного или неопределенного содержания (а такая ситуация не раз имела место в наших тестах), администратор вряд ли сумеет быстро определить, что же, собственно, произошло, особенно если для уточнения диагноза ему придется обратиться к файлам регистрации событий. Эти файлы отличаются исчерпывающей полнотой, однако разработчики, по-видимому, решили, что обычному человеку достаточно только намекнуть, о чем может идти речь, и характер происходящего будет безошибочно идентифицирован. В регистрационных журналах этой системы присутствуют описания выданных предупреждений, но нет их идентификаторов. Администратор видит адреса портов, к которым относились подозрительные запросы, либо параметры других операций, но не получает никакой информации о том, что же все это может означать.

Отмеченное обстоятельство сильно снижает ценность сообщений, выдаваемых в режиме реального времени, поскольку невозможно сразу сообразить, отражает ли описание события реальную угрозу системе безопасности или это всего лишь попытка провести более тщательный анализ трафика. Иными словами, покупать названные продукты имеет смысл лишь в том случае, если в штате вашей организации есть опытные специалисты по информационной безопасности. Впрочем, фирма CyberSafe, как и ее конкуренты Axent и Network ICE, за отдельную плату оказывает профессиональные консалтинговые услуги в данной области.

Программное обеспечение eTrust Intrusion Detection корпорации Computer Associates представляет собой нечто большее, чем просто систему мониторинга сетевой активности и выявления хакерских атак. Этот продукт способен не только декодировать пакеты различных протоколов и служебный трафик, но и перехватывать их для последующего вывода на управляющую консоль в исходном формате. Система производства CA осуществляет мониторинг всего трафика TCP/IP и предупреждает администратора о случаях нарушения установленных стратегий в области информационной безопасности. Правда, эта разработка не поддерживает такого же уровня детализации наборов правил, как Intruder Alert.

В любом случае продукт Computer Associates не стоит сбрасывать со счетов. Представление захваченных сетевых пакетов в их первоначальном формате позволяет администратору использовать eTrust для чтения электронной почты, просмотра содержимого Web-страниц, которые загружают пользователи на свои компьютеры, и идентификации запрашиваемых ими документов. Все это заметно упрощает наблюдение за подозрительными видами сетевой активности. Однако чтобы достичь подлинного разнообразия типов сетевых атак, выявляемых этим пакетом, администратору придется сначала потратить изрядное количество времени на разработку наборов правил и интеграцию их в систему eTrust Intrusion Detection.

В пылу борьбы

С целью проверить способность каждого из пакетов обнаружить попытку вторжения и дать неприятелю достойный отпор мы попытались сымитировать несколько серьезных хакерских атак на тестовую сеть. Единственными продуктами, сумевшими распознать все предпринятые атаки и сгенерировать соответствующие предупреждения, оказались BlackICE и ICEcap компании Network ICE. Все остальные пропустили отдельные события, представлявшие серьезную угрозу сетевой безопасности, в основном из-за невозможности детально описать стратегии защиты. Например, в ответ на атаку типа BackOrifice программы Centrax и Intruder Alert просто не могли ничего предпринять, поскольку не знали, к какому типу относится возникшая угроза. Эти два продукта оказались особенно сложными в плане конфигурирования, так что нападение типа BackOrifice нам просто не удалось описать. Что же касается упомянутых BlackICE и ICEcap, моделировавшиеся атаки сразу же выявлялись и мы немедленно получали предупреждающие сообщения.

Нельзя не признать, что в конечном счете не все угрозы были опознаны из-за того, что мы не обладали достаточным опытом работы с этими сложными продуктами, ведь после нескольких попыток нам удалось-таки залатать дыры, которые первоначально возникли в системе сетевой защиты. Однако в реальной жизни никто не может позволить себе роскошь второго или третьего «подхода к снаряду», особенно столкнувшись с новым типом несанкционированного доступа, несущего реальную угрозу бизнесу компании. Вот почему мы отдали свои симпатии разработкам фирмы Network ICE: они оказались в состоянии полной боевой готовности сразу после инсталляции.

В процессе отражения атак неприятеля легко увлечься защитой ресурсов корпоративной сети как таковой. Но нельзя забывать и о безопасности удаленных сотрудников. В этом отношении нам показалось особенно полезным присутствие в составе ПО BlackICE персонального брандмауэра, предназначенного для пользователей, которые работают в сети своей организации через коммутируемое соединение. Как известно, с удаленным доступом связано наибольшее число лазеек для недоброжелателей, и система BlackICE была единственным из протестированных продуктов, обеспечивающим комплексную защиту удаленных и мобильных пользователей.

BlackICE выдает предупреждающие сообщения непосредственно на экран удаленной станции-клиента, а не пытается немедленно отправить их на управляющую консоль корпоративной сети. Это позволяет пользователю оперативно среагировать на происходящее. Впрочем, в последующих версиях этого продукта мы все же надеемся увидеть функцию генерации отчетов, передающую информацию о нападении, которому подвергся удаленный компьютер, на центральную административную консоль, поскольку анализ этих сведений помог бы бороться с аналогичными атаками в дальнейшем.

Однако детектирование попыток несанкционированного доступа и выдача предупреждающих сообщений - это только полдела. Программные средства сетевой защиты должны остановить действия хакера и принять контрмеры. В этом смысле наилучшее впечатление на нас произвели пакеты Intruder Alert и Centrax, те самые, что вызвали немалые нарекания по части настройки конфигурации. Если программы фирмы Network ICE и ПО eTrust мгновенно закрывают угрожающие сеансы связи, то системы Intruder Alert и Centrax идут еще дальше. Например, приложение компании Axent Technologies можно настроить таким образом, что оно будет запускать на выполнение тот или иной командный файл в зависимости от характера зарегистрированных событий, скажем перезагружать сервер, который подвергся атаке, приводящей к отказу в обслуживании.

Отразив атаку, хочется сразу перейти в контрнаступление. Приложения BlackICE и Centrax поддерживают таблицы с идентификаторами хакеров. Эти таблицы заполняются после прослеживания всего пути до «логовища», где затаился неприятель. Возможности программного обеспечения BlackICE особенно впечатляют, когда дело доходит до выявления источника атаки, расположенного внутри или вне сети: несмотря на многочисленные хитроумные маневры, нам так и не удалось сохранить инкогнито.

А вот система eTrust поразила нас степенью проникновения в характер деятельности каждого пользователя сети, зачастую даже не подозревающего о том, что он находится под пристальным наблюдением. Одновременно этот пакет предоставляет наиболее полную (и, пожалуй, наиболее точную) информацию о злоумышленниках и их расположении. В ходе тестирования, воспользовавшись ПО BlackICE, мы попытались выявить предполагаемых хакеров внутри сети, а затем при помощи пакета eTrust определить их точное местонахождение.

Завершая тему, отметим, что приложение Centrax способно создавать так называемые файлы-приманки, присваивая второстепенному файлу многозначительное название вроде «Ведомость.xls» и тем самым вводя в заблуждение излишне любопытных пользователей. Такой алгоритм представляется нам слишком прямолинейным, но и он может сослужить неплохую службу - с его помощью удается «застукать» сотрудников за «прочесыванием» корпоративной сети на предмет выявления конфиденциальной информации.

Каждый из протестированных продуктов генерирует отчеты о подозрительных случаях сетевой активности. Высоким качеством таких отчетов и удобством работы с ними выделяются приложения ICEcap и eTrust Intrusion Detection. Последний пакет отличается особенной гибкостью, возможно, потому, что ведет свое происхождение от декодера протоколов. В частности, администратор может проанализировать сетевые события в проекции на отдельные ресурсы, будь то протоколы, станции-клиенты или серверы. В eTrust предусмотрено множество заранее разработанных форматов отчетов. Их хорошо продуманная структура заметно облегчает обнаружение злоумышленников и позволяет наказать провинившихся пользователей.

Резюме

Каждый продукт имеет свои сильные и слабые стороны, поэтому рекомендовать его можно только для решения определенных задач. Если речь идет о защите коммутируемых сетей, неплохим выбором, на наш взгляд, являются разработки Network ICE, Axent Technologies и CyberSafe. Пакет eTrust Intrusion Detection корпорации CA идеален для своевременного уведомления о случаях нарушения этики бизнеса, например об употреблении ненормативной лексики в сообщениях электронной почты. Системы Intruder Alert и Centrax являются прекрасным инструментарием для консультантов по вопросам информационной безопасности и организаций, располагающих штатом профессионалов в данной области. Однако тем компаниям, которые не могут себе позволить прибегнуть к услугам высокооплачиваемых гуру, мы рекомендуем установить продукты компании Network ICE. Эти приложения заменят истинного эксперта по сетевой защите лучше любой другой системы из тех, что когда-либо попадалась нам на глаза.

ОБ АВТОРЕ

Тер Парнелл - консультант по телекоммуникационным технологиям и независимый автор из Далласа (шт. Техас). С ним можно связаться по электронной почте:

SYN-атаки

Эти попытки вывести из строя корпоративный сервер, который в результате вынужден на запросы об обслуживании отвечать отказом (denial-of-service), таят в себе довольно серьезную угрозу бизнесу компаний, предоставляющих своим клиентам услуги по глобальной сети. Суть нападения сводится к тому, что злоумышленник генерирует тысячи запросов SYN (запросов на установление соединения), адресованных атакуемому серверу. Каждый запрос снабжается фальшивым адресом источника, что значительно затрудняет точную идентификацию самого факта атаки и выслеживание атакующего. Приняв очередной запрос SYN, сервер предполагает, что речь идет о начале нового сеанса связи и переходит в режим ожидания передачи данных. Несмотря на то что данные после этого не поступают, сервер обязан выждать определенное время (максимум 45 секунд), перед тем как разорвать соединение. Если несколько тысяч таких ложных запросов будут направлены на сервер в течение считанных минут, он окажется перегружен их обслуживанием, так что на обработку настоящих запросов о предоставлении того или иного сервиса ресурсов попросту не останется. Другими словами, в результате предпринятой SYN-атаки настоящим пользователям будет отказано в обслуживании.

Архитектурные вариации

Способность того или иного приложения выявлять злоумышленников напрямую зависела от его архитектуры и от усилий, требующихся для настройки конфигурации продукта. Во всех тестировавшихся системах, за исключением eTrust Intrusion Detection корпорации Computer Associates, использована модель программных агентов, которые сначала инсталлируются на сетевых устройствах, а затем осуществляют сбор информации о потенциальных атаках и пересылают ее на консоль. Агенты выявляют случаи нарушения установленных стратегий защиты и после этого генерируют соответствующие сообщения. Системы на базе агентов являются наилучшим решением для коммутируемых сетей, поскольку в таких сетях не существует какой-либо одной точки, через которую обязательно проходит весь трафик. Вместо того чтобы следить за единственным соединением, агент осуществляет мониторинг всех пакетов, принимаемых или отправляемых устройством, где он установлен. В результате злоумышленникам не удается «отсидеться» за коммутатором. Сказанное можно проиллюстрировать на примере продукции фирмы Network ICE. Программе BlackICE отведена роль агента, устанавливаемого в полностью автономной операционной среде, например на компьютере удаленного пользователя либо на одном из узлов корпоративной сети передачи данных. Обнаружив хакера, атакующего удаленную машину, агент выдаст предупреждение непосредственно на ее экран. Если же аналогичное событие окажется зафиксировано в корпоративной сети, сообщение о попытке несанкционированного доступа будет передано другому приложению - ICEcap, содержащему средства сетевого мониторинга. ICEcap собирает и сопоставляет информацию, поступающую от разных подчиненных ему агентов, и это дает ему возможность оперативно выявлять события, действительно угрожающие безопасности сети. Система eTrust, напротив, основана на централизованной архитектуре. Она устанавливается на центральном узле и анализирует трафик в подведомственном сетевом сегменте. Отсутствие агентов не позволяет данному продукту отслеживать все события в коммутируемой сети, поскольку в ней невозможно выбрать единственную «смотровую площадку», откуда вся сеть была бы видна как на ладони.

Процедура тестирования

Для изучения функциональных возможностей программ обнаружения сетевых атак в тестовую сеть были объединены три сервера под Windows NT 4.0, брандмауэр, пять рабочих станций с операционной системой Windows NT Workstation и десять компьютеров под Windows 95 или 98. Клиентские компьютеры были оснащены процессорами Pentium II-266, а серверы - процессорами Pentium III с тактовой частотой 500 МГц. На отдельном компьютере (также с процессором Pentium III-500) был установлен брандмауэр Raptor Firewall for NT 5.0.1 компании Axent Technologies. Указанный брандмауэр мы сконфигурировали таким образом, что компьютеры сети в ответ на поступавшие извне запросы могли предоставлять наиболее общеупотребительные сервисы вроде DNS, HTTP и telnet, однако любое взаимодействие с внешним миром по протоколам FTP и SMTP допускалось только через брандмауэр. Впрочем, для имитации атаки, приводящей к отказам в обслуживании, мы разрешили брандмауэру пропускать SYN-запросы. После инсталляции продукта мы запустили сценарии, позволившие смоделировать традиционную сетевую активность: обращение к документам, базам данных и Web-серверам, а также отправку и прием сообщений электронной почты. Затем мы предприняли несколько открытых хакерских атак на тестовую сеть и ряд замаскированных подозрительных действий. Здесь были и попытка прямого несанкционированного вторжения, и атака при помощи SYN-запросов, и сканирование трафика на отдельных портах, а также стробирующее и разделяемое сканирование пакетов, атака типа BackOrifice и выдача команд ping ко всем узлам сети. Перейдя в наступление на сеть, мы тут же регистрировали выдачу предупреждающих сообщений, факты активизации средств защиты данных (в том числе на основе наборов правил), инициируемые тестировавшимися системами, и работу механизмов обнаружения источника атаки. Впоследствии нам удалось также проанализировать содержание сгенерированных отчетов, результаты слежения за действиями «хакера» и рекомендации в области сетевой защиты, выданные отдельными системами. Если продукт советовал администратору произвести корректирующие действия или исправить ошибку в конфигурации, мы скрупулезно следовали этим рекомендациям, а затем предпринимали атаку повторно. В том случае, когда системе удавалось идентифицировать возмутителя спокойствия, мы проверяли, насколько эта идентификация соответствует действительности. Наконец, у всех приложений оценивались функции управления выдачей уведомлений и генерацией отчетов о зафиксированных событиях, а также простота использования продуктов.

Программы обнаружения сетевых атак

Злоумышленники редко бесцеремонно вторгаются в сеть с «оружием» в руках. Они
предпочитают проверить, надежны ли запоры на двери и все ли окна закрыты. Они незаметно анализируют образцы трафика, входящего в вашу сеть и исходящего из отдельные IP-адреса, а также выдают внешне нейтральные запросы, адресованные от­дельным пользователям и сетевым устройствам.

Для обнаружения этих искусно закамуфлированных врагов приходится устанавливать интеллектуальное программное обеспечение детектирования сетевых атак, обладающее высокой чувствительностью. Приоб­ретаемый продукт должен предупреждать админист­ратора не только о случаях явного нарушения систе­мы информационной безопасности, но и о любых
подозрительных событиях, которые на первый взгляд кажутся совершенно безобидными, а в действительно­сти скрывают полномасштабную хакерскую атаку. Нет нужды доказывать, что о вся­кой активной попытке взлома системных паролей администратор должен быть изве­щен немедленно.
Современные корпорации находятся буквально под перекрестным огнем со сторо­ны злоумышленников, стремящихся похитить ценные сведения или просто вывести из
строя информационные системы. Задачи, преследуемые в борьбе с хакерами, доста­точно очевидны:
уведомление о предпринятой попытке несанкционированного доступа должно быть немедленным;
отражение атаки и минимизация потерь (чтобы противостоять злоумышленни­ку, следует незамедлительно разорвать сеанс связи с ним);
□ переход в контрнаступление (злоумышленник должен быть идентифицирован и
наказан).
Именно такой сценарий использовался при тестировании четырех наиболее попу­лярных систем выявления сетевых атак из присутствующих сегодня на рынке: a BlacklCE;
□ Intruder Alert; a Centrax;
□ eTrust Intrusion Detection.
Характеристика указанных программных систем обнаружения сетевых атак при­ведена в табл. 3.2.
Программа BlacklCE фирмы Network ICE - специализированное приложение-агент, предназначенное исключительно для выявления злоумышленников. Обнаружив непрошеного гостя, оно направляет отчет об этом событии управляющему модулю ICEcap, анализирующему информацию, поступившую от разных агентов, и стремяще­муся локализовать атаку на сеть.
Программное обеспечение Intruder Alert компании Alert Technologies больше похоже на инструментарий для специалистов в области информационной безопасности, посколь­ку оно предоставляет максимальную гибкость в определении стратегий защиты сети.
Пакет Centrax производства CyberSafe устроен по принципу «все в одном»: в его
составе есть средства контроля за системой безопасности, мониторинга трафика, вы­явления атак и выдачи предупреждающих сообщений.
Система eTrust Intrusion Detection корпорации Computer Associates особенно силь­на функциями контроля за информационной безопасностью и управления стратегия­ми защиты, хотя и в этом продукте реализованы средства вьщачи предупреждений в режиме реального времени, шифрования данных и обнаружения атак.

Таблица 3.2. Характеристика программных систем обнаружения сетевых атак

Программная система	Производитель	Характеристика системы
BlacklCE (специализированное приложение-агент)		Устанавливается на компьютере удаленного поль­зователя или на узле корпоративной сети. Выдает предупреждение об атаке на экран мони­тора пользователя. Сообщает о попытке НСД на средства сетевого мониторинга. Имеет возможность загрузки свежих сигнатур ха-керских атак с сервера. Выявляет источник атаки сети.
Intruder Alert (инструментарий детектирования сетевых атак)	Alert Technologies	Выбирает стратегию защиты сети. Поддерживает высокий уровень набора правил се­тевой защиты. Загружает сигнатуры хакерских атак. Требует наличия опытных специалистов для об­служивания.
Centrax (инструментарий детектирования сетевых атак)		Контролирует систему безопасности сети. Осуществляет мониторинг трафика. Выдает предупреждающие сообщения о сетевой атаке. Требует наличия опытных специалистов для об­служивания.
eTrust Intrusion Detection (анализатор трафика сети сегмента)	Computer Associates	Управляет стратегиями защиты. Выдает предупреждения об атаке в режиме реаль­ного времени. Осуществляет мониторинг трафика. Предупреждает администратора о нарушениях стратегии защиты. Сообщает о наличии ненормативной лексики в электронной почте. Располагает информацией о злоумышленнике.

Предупреждения, генерируемые агентами BlacklCE, очень конкретны. Текст сооб­щений не заставит администратора усомниться в характере зарегистрированного со­бытия, а в большинстве случаев и в его важности. Кроме того, продукт позволяет ад­министратору настроить содержание собственных предупреждающих сообщений, но по большому счету в этом нет необходимости.
Весьма полезным свойством разработок Network ICE, а также пакета Intruder Alert является возможность загрузки самых свежих сигнатур хакерских атак с сервера.
Попытки вывести из строя корпоративный сервер, который в результате вынужден на запросы об обслуживании отвечать отказом (denial-of-service),TaflT в себе довольно серьезную угрозу бизнесу компаний, предоставляющих своим клиентам услуги по глобальной сети. Суть нападения сводится к тому, что злоумышленник генерирует тысячи запросов (на установление соединения), адресованных атакуемому сер­веру. Каждый запрос снабжается фальшивым адресом источника, что значительно зат­рудняет точную идентификацию самого факта атаки и выслеживание атакующего. Приняв очередной запрос сервер предполагает, что речь идет о начале нового сеанса связи и переходит в режим ожидания передачи данных. Несмотря на то, что данные после этого не поступают, сервер обязан выждать определенное время (макси­мум 45 с), перед тем как разорвать соединение. Если несколько тысяч таких ложных

запросов будут направлены на сервер в течение считанных минут, он окажется пере­гружен, так что на обработку настоящих запросов о предоставлении того или иного сервиса ресурсов попросту не останется. Другими словами, в результате настоящим пользователям будет отказано в обслуживании.
Во всех описываемых системах, за исключением eTrust Intrusion Detection корпо­рации Computer Associates, использована модель программных агентов, которые сна­чала инсталлируются на сетевых устройствах, а затем осуществляют сбор информа­ции о потенциальных атаках и пересылают ее на консоль. Агенты выявляют случаи нарушения установленных стратегий защиты и после этого генерируют соответству­ющие сообщения.
Системы на базе агентов являются наилучшим решением для коммутируемых се­тей, поскольку в таких сетях не существует какой-либо одной точки, через которую
обязательно проходит весь трафик. Вместо того чтобы следить за единственным со­единением, агент мониторинг всех пакетов, принимаемых или отправ­ляемых устройством, где он установлен. В результате злоумышленникам не удается «отсидеться» за коммутатором.
Сказанное можно проиллюстрировать на примере продукции фирмы Network ICE. Программе отведена роль агента, устанавливаемого в полностью автоном-
ной операционной среде, например, на компьютере удаленного пользователя либо на одном из узлов корпоративной сети передачи данных. Обнаружив хакера, атакующего удаленную машину, агент выдаст предупреждение непосредственно на ее экран. Если
же аналогичное событие окажется зафиксировано в корпоративной сети, сообщение о
попытке несанкционированного доступа будет передано другому приложению - ICEcap, содержащему средства сетевого мониторинга. Последнее собирает и сопос­тавляет информацию, поступающую от разных подчиненных ему агентов, и это дает ему возможность оперативно выявлять события, действительно угрожающие безопас­ности сети.
Система eTrust, напротив, основана на централизованной архитектуре. Она уста­навливается на центральном узле и анализирует трафик в подведомственном сетевом сегменте. Отсутствие агентов не позволяет данному продукту отслеживать все собы­тия в коммутируемой сети, поскольку в ней невозможно выбрать единственную «смот­ровую площадку», откуда вся сеть была бы видна как на ладони.
Пакет Intruder Alert и система Centrax производства CyberSafe представляют со­бой скорее инструментарий для построения собственной системы детектирования се­тевых атак. Чтобы в полной мере воспользоваться их возможностями, организация
должна иметь в своем штате программистов соответствующей квалификации либо располагать бюджетом, позволяющим заказать подобную работу.
Несмотря на то, что все описываемые продукты легко инсталлировать, управление
системами Intruder Alert и Centrax простым не назовешь. Скажем, если Centrax выда­ет предупреждающее сообщение неизвестного или неопределенного содержания (а такая ситуация не раз имела место в наших тестах), администратор вряд ли сумеет быстро определить, что же, собственно, произошло, особенно если для уточнения диагноза ему придется обратиться к файлам регистрации событий. Эти файлы отлича­ются исчерпывающей полнотой, однако разработчики, по-видимому, решили, что обыч­ному человеку достаточно только намекнуть, о чем может идти речь, и характер про­

исходящего будет безошибочно идентифицирован. В регистрационных журналах этой системы присутствуют описания выданных предупреждений, но нет их идентификато­ров. Администратор видит адреса портов, к которым относились подозрительные зап­росы, либо параметры других операций, но не получает никакой информации о том,
что же все это может означать.
Отмеченное обстоятельство значительно снижает ценность сообщений, выдавае­мых в режиме реального времени, поскольку невозможно сразу сообразить, отражает ли описание события реальную угрозу системе безопасности или это всего лишь по­пытка провести более тщательный анализ трафика. Иными словами, покупать назван­ные продукты имеет смысл лишь в том случае, если в штате вашей организации есть
опытные специалисты по информационной безопасности.
Программное обеспечение eTrust Intrusion Detection корпорации Computer
Associates представляет собой нечто большее, чем просто систему мониторинга сете­вой активности и выявления хакерских атак. Этот продукт способен не только декоди­ровать пакеты различных протоколов и служебный трафик, но и перехватывать их для последующего вывода на управляющую консоль в исходном формате. Система осуще­ствляет мониторинг всего трафика TCP/IP и предупреждает администратора о случа­ях нарушения установленных стратегий в области информационной безопасности.
Правда, эта разработка не поддерживает такого же уровня детализации наборов пра­вил, как Intruder Alert.
Однако детектирование попыток несанкционированного доступа и выдача предуп­реждающих сообщений - это только полдела. Программные средства сетевой защи­ты должны остановить действия хакера и принять контрмеры. В этом смысле наилуч­шее впечатление производят пакеты Intruder Alert и Centrax, те самые, что вызвали немалые нарекания по части настройки конфигурации. Если программы фирмы Network ICE и ПО eTrust мгновенно закрывают угрожающие сеансы связи, то системы Intruder Alert и Centrax идут еще дальше. Например, приложение компании Axent Technologies
можно настроить таким образом, что оно будет запускать тот или иной командный
файл в зависимости от характера зарегистрированных событий, скажем перезагружать сервер, который подвергся атаке, приводящей к отказу в обслуживании.
Отразив атаку, хочется сразу перейти в контрнаступление. Приложения Black-ICE и Centrax поддерживают таблицы с идентификаторами хакеров. Эти таблицы заполня­ются после прослеживания всего пути до «логовища», где затаился неприятель. Воз­можности программного обеспечения особенно впечатляют, когда дело до­ходит до выявления источника атаки, расположенного внутри или вне сети: несмотря на многочисленные хитроумные маневры, нам так и не удалось сохранить инкогнито.
А вот система eTrust поражает степенью проникновения в характер деятельности каждого пользователя сети, зачастую даже не подозревающего о том, что он находит­ся под пристальным наблюдением. Одновременно этот пакет предоставляет наиболее полную (и, пожалуй, наиболее точную) информацию о злоумышленниках, даже о том,
где они находятся.
Приложение Centrax способно создавать так называемые файлы-приманки, при­сваивая второстепенному файлу многозначительное название вроде «Ведо-MocTb.xls» и тем самым вводя в заблуждение излишне любопытных пользователей. Такой алго­ритм представляется нам слишком прямолинейным, но и он может сослужить непло­

хую службу: с его помощью удается «застукать» сотрудников за «прочесыванием»
корпоративной сети на предмет выявления конфиденциальной информации.
Каждый из рассмотренных программных продуктов генерирует отчеты о подозри­тельных случаях сетевой активности. Высоким качеством таких отчетов и удобством работы с ними выделяются приложения ICEcap и eTrust Intrusion Detection. После­дний пакет отличается особенной гибкостью, возможно, потому, что ведет свое проис­хождение от декодера протоколов. В частности, администратор может проанализиро­вать сетевые события в проекции на отдельные ресурсы, будьте протоколы, станции-клиенты или серверы. В eTrust предусмотрено множество заранее разрабо­танных форматов отчетов. Их хорошо продуманная структура заметно облегчает об­наружение злоумышленников и позволяет наказать провинившихся пользователей.
Каждый продукт имеет свои сильные и слабые стороны, поэтому рекомендовать его можно только для решения определенных задач. Если речь идет о защите комму­тируемых сетей, неплохим выбором являются разработки Network ICE, Axent Technologies и CyberSafe. Пакет eTrust Intrusion Detection идеален для своевременно­го уведомления о случаях нарушения этики бизнеса, например, об употреблении не­нормативной лексики в сообщениях электронной почты. Системы Intruder Alert и Centrax - прекрасный инструментарий для консультантов по вопросам информаци­онной безопасности и организаций, располагающих штатом профессионалов в данной области. Однако тем компаниям, которые не могут себе позволить прибегнуть к услу­гам высокооплачиваемых специалистов, рекомендуем установить продукты компании Network ICE. Эти приложения заменят истинного эксперта по сетевой защите лучше любой другой системы из тех, что когда-либо попадалась нам на глаза.
Сканеры как средства проверки защиты сети
Когда-то давным-давно (или не очень) жесткие диски персональных компьютеров были объемом всего-навсего 10 Мбайт, а их оперативная память не превышала 640 Кбайт. Модемы работали на скоростях от 300 до 1200 бит/с, и мало кто из пользо­вателей слышал о глобальной компьютерной сети Internet. Конечно, эта сеть суще­ствовала уже тогда, но использовалась исключительно в военных целях, а работать с ней можно было только при помощи командной строки. Но не это служило основным препятствием для массового доступа к сети Internet. Вычислительные машины, кото­рые могли быть задействованы в качестве серверов, были очень дорогими - их сто­имость исчислялась миллионами долларов. Да и сами персональные компьютеры сто­или тогда весьма недешево, и были по карману только
обеспеченным людям.
Но уже тогда находились люди, которые охотились за чужими секретами. Представим себе, как за персо­нальным компьютером сидит юноша лет 15-17 и об­званивает при помощи модема телефонные номера, которые ему сообщил приятель. В большинстве слу­чаев на другом конце провода оказывается другой модем, и на экране монитора появляется приглаше­ние зарегистрироваться, т. е. ввести имя и пароль.

Каждый раз, получив такое регистрационное приглашение, юноша начинает лихора­дочно перебирать различные пары имен и соответствующих им паролей. Наконец, одна пара подходит, и юный взломщик получает возможность управлять удаленным компь­ютером, не выходя из дома.
Сейчас уже трудно поверить, что первым компьютерным взломщикам приходи­лось так напрягаться. Ведь известно, что они очень не любят выполнять рутинную работу и при всяком удобном случае стараются заставить свои компьютеры занимать­ся такой работой. Поэтому неудивительно, что компьютерные взломщики вскоре со­здали специальное программное средство, чтобы не набирать вручную дюжину ко­манд. Это программное средство назвали боевым номеронабирателем.
Боевой номеронабиратель представляет собой программу, обзванивающую задан­ные пользователем телефонные номера в поисках компьютеров, которые в ответ на по­ступивший звонок выдают регистрационное приглашение. Программа аккуратно сохра­няет в файле на жестком диске все такие телефонные номера вместе с данными о скорости соединения с ними. Один из самых известных и совершенных боевых номеронабирате­лей - TONELOC, предназначенный для работы в среде операционной системы DOS (он может быть запущен под управлением Windows 95/98 в режиме командной строки).
Дальнейшее совершенствование боевых номеронабирателей привело к созданию сканеров. Первые сканеры были весьма примитивными и отличались от боевых номе­ронабирателей только тем, что специализировались исключительно на выявлении ком­пьютеров, подключенных к сети Internet или к другим сетям, использующим протокол
TCP/IP. Они были написаны на языке сценариев программной оболочки операцион­ной системы UNIX. Такие сканеры пытались подсоединиться к удаленной хост-маши­не через порты TCP/IP, отправляя всю информацию, которая выводилась на устройство стандартного вывода этой хост-машины, на экран монитора того компь­ютера, где был запущен сканер.
Ныне сканеры стали грозным оружием как нападения, так и защиты в Internet. Что же представляет собой современный сканер?
Сканер - это программа, предназначенная для автоматизации процесса поиска слабостей в защите компьютеров, подключенных к сети в соответствии с протоколом
TCP/IP. Наиболее совершенные сканеры обращаются к портам TCP/IP удаленного ком­пьютера и в деталях протоколируют отклик, который они получают от этого компью­тера. Запустив сканер на своем компьютере, пользователь, даже не выходя из дома, может найти бреши в защитных механизмах сервера, расположенного, например, на другом конце земного шара.
Большинство сканеров предназначено для работы в среде UNIX, хотя к настояще­му времени такие программы имеются практически для любой операционной систе­мы. Возможность запустить сканер на конкретном компьютере зависит от операцион­ной системы, под управлением которой работает этот компьютер, и от параметров подключения к Internet. Есть сканеры, которые функционируют только в среде UNIX, а с остальными операционными системами оказываются несовместимыми. Другие от­казываются нормально работать на устаревших компьютерах с Windows и с мед­ленным (до 14 400 бит/с) доступом по коммутируемым линиям к Internet. Такие ком­пьютеры будут надоедать сообщениями о переполнении стека, нарушении прав доступа или станут просто зависать.

Критичным является и объем оперативной памяти компьютера. Сканеры, которые управляются при помощи командной строки, как правило, предъявляют более слабые требования к объему оперативной памяти. А самые «прожорливые» - сканеры, снаб­женные оконным графическим интерфейсом пользователя.
Написать сканер не очень трудно. Для этого достаточно хорошо знать протоколы TCP/IP, уметь программировать на С или Perl и на языке сценариев, а также разби­раться в программном обеспечении сокетов. Но и в этом случае не следует ожидать, что созданный вами сканер принесет большую прибыль, поскольку в настоящее время предложение на рынке сканеров значительно превышает спрос на них. Поэтому наи­большая отдача от усилий, вложенных в написание сканера, будет скорее моральной (от осознания хорошо выполненной работы), чем материальной.
Не стоит переоценивать положительные результаты, которых можно достичь бла­годаря использованию сканера. Действительно, сканер может помочь выявить дыры в защите хост-машины, однако в большинстве случаев информацию о наличии этих дыр сканер выдает в завуалированном виде, и ее надо еще уметь правильно интерпретиро­вать. Сканеры редко снабжают достаточно полными руководствами пользователя. Кроме того, сканеры не в состоянии сгенерировать пошаговый сценарий взлома ком­пьютерной системы. Поэтому для эффективного использования сканеров на практике прежде всего необходимо научиться правильно интерпретировать собранные с их по­мощью данные, а это возможно только при наличии глубоких знаний в области сете­вой безопасности и богатого опыта.
Обычно сканеры создают и применяют специалисты в области сетевой безопасно­сти. Как правило, они распространяются через сеть Internet, чтобы с их помощью сис­темные администраторы могли проверять компьютерные сети на предмет наличия в них изъянов. Поэтому обладание сканерами, равно как и их использование на практи­ке, вполне законно. Однако рядовые пользователи (не системные администраторы) должны быть готовы к тому, что, если они будут применять сканеры для обследования чужих сетей, то могут встретить яростное сопротивление со стороны администрато­ров этих сетей.
Более того, некоторые сканеры в процессе поиска брешей в защите компьютерных сетей предпринимают такие действия, которые по закону можно квалифицировать как несанкционированный доступ к компьютерной информации, или как создание, исполь­зование и распространение вредоносных программ, или как нарушение правил эксп­луатации компьютеров, компьютерный систем и сетей. И если следствием этих дея­ний стало уничтожение, блокирование, модификация или копирование информации,
хранящейся в электронном виде, то виновные лица в соответствии с российским зако­нодательством подлежат уголовному преследованию. А значит, прежде чем начать пользоваться первым попавшимся под руку бесплатным сканером для UNIX-платформ, стоит убедиться, а не копирует ли случайно этот сканер заодно и какие-нибудь файлы
с диска тестируемой им хост-машины (например, файл password из каталога /ETC).
Часто к сканерам ошибочно относят утилиты типа host, rusers, finger, Traceroute, Showmount. Связано это с тем, что, как и сканеры, данные утилиты позволяют соби­рать полезную статистическую информацию о сетевых службах на удаленном компь­ютере. Эту информацию можно затем проанализировать на предмет выявления оши­бок в их конфигурации.

Действительно, сетевые утилиты выполняют ряд функций, которые характерны для сканеров. Однако в отличие от них использование этих утилит вызывает меньше подо­зрений у системных администраторов. Выполнение большинства сетевых утилит на
удаленной хост-машине практически не оказывает никакого влияния на ее функцио­нирование. Сканеры же зачастую ведут себя как слон в посудной лавке оставляют следы, которые трудно не заметить. Кроме того, хороший сканер - явление довольно редкое, а сетевые утилиты всегда под рукой. К недостаткам сетевых утилит можно отнести то, что приходится выполнять вручную слишком большую работу, чтобы до­биться того же результата, который при помощи сканера получается автоматически.

Полное название таких систем, это системы предотвращения и обнаружения атак . Или же называют СОА как один из подходов к . Принцип работы СОА состоит в постоянном осмотре активности, которая происходит в информационной системе. А также при обнаружении подозрительной активности предпринимать определенные механизмы по предотвращению и подаче сигналов определенным лицам. Такие системы должны решать .

Существует несколько средств и типичных подходов у обнаружении атак которые уменьшают .

Времена, когда для защиты хватало одного брандмауэра прошли. На сегодня предприятия реализуют мощные и огромные структурированные системы защиты, для ограничения предприятия от возможных угроз и рисков. С появлением таких атак, как атак на отказ в обслуживании (DDoS), адрес отправителя пакетов не может дать вам однозначный ответ, была ли против вас атака направленная или случайная. Нужно знать как реагировать на инцидент, а также как идентифицировать злоумышленника (Рис.1).

Выявить злоумышленника можно по следующим особенностям к действию:

• реализует очевидные проколы
• реализует неоднократные попытки на вхождение в сеть
• пытается замести свои следы
• реализует атаки в разное время

Рисунок — 1

Также можно поделить злоумышленников на случайных и опытных. Первые же при неудачной попытке доступа к серверу, пойдут на другой сервер. Вторые будут проводить аналитику относительно ресурса, что бы реализовать следующие атаки. К примеру администратор видит в журнале IDS, что кто-то сканирует порты вашего почтового сервера, затем с того же IP-адреса приходят команды SMTP на 25 порт. То, как действует злоумышленник, может очень много сказать о его характере, намерениях и тд. На рис.2 показан алгоритм эффективного выявление атак. Все сервисы выявления атак используют начальные алгоритмы:

• выявление злоупотреблений
• выявление аномалий

Рисунок — 2

Для хорошей расстановки систем обнаружения, нужно составить схему сети с:

• границы сегментов
• сетевые сегменты
• объекты с доверием и без
• ACL — списки контроля доступа
• Службы и сервера которые есть

Обычная ошибка — то, что ищет злоумышленник при анализе вашей сети. Так как система обнаружения атак использует анализ трафика, то производители признают, что использование общего порта для перехвата всех пакетов без снижения производительности невозможно. Так что эффективная настройка систем выявления очень важная задача.

Средства обнаружения атак

Технология обнаружения атак должна справляться со следующим:

• Распознавание популярных атак и предупреждение о них определенных лиц
• Понимание непонятных источников данных об атаках
• Возможность управления методами защиты не-специалистами в сфере безопасности
• Контроль всех действий субъектов информационной сети (программ, пользователей и тд)
• Освобождение или снижение функций персонала, который отвечает за безопасность, текущих рутинных операций по контролю

Зачастую системы обнаружения атак могут реализовывать функции, которые расширяют спектр их применения. К примеру:

• Контроль эффективность . Можно расположить систему обнаружения после межсетевого экрана, что бы определить недостающих правил на межсетевом экране.
• Контроль узлов сети с устаревшим ПО
• Блокирование и контроль доступа к некоторым ресурсам Internet. Хоть они далеки от возможностей таких как сетевых экранов, но если нету денег на покупку сетевого экрана, можно расширить функции системы обнаружения атак
• Контроль электронной почты. Системы могут отслеживать вирусы в письмах, а также анализировать содержимое входящих и исходящих писем

Лучшая реализация опыта и времени профессионалов в сфере информационной безопасности заключается в выявлении и устранении причин реализации атак, а не обнаружение самих атак. Устранив причину, из-за которой возможна атака, сохранит многим временного ресурса и финансового.

Классификация систем обнаружения атак

Существует множество классификаций систем обнаружения атак, однако самой топовой есть классификация по принципу реализации:

• host-based — система направлена на конкретный узел сети
• network-based — система направлена на всю сеть или сегмент сети

Системы обнаружения атак которые стоят на конкретных компьютерах, обычно анализируют данных из журналов регистрации ОС и разных приложений. Однако в последнее время выпускаются программы которые тесно интегрированные с ядром ОС.

Плюсы систем обнаружения атак

Коммутация разрешает управлять большими сетями, как несколькими небольшими сетевыми сегментами. Обнаружение атак на уровне конкретного узла дает более эффективную работу в коммутируемых сетях, так как разрешает поставить системы обнаружения на тех узлах, где это нужно.

Системы сетевого уровня не нуждаются, что бы на хосте ставилось ПО системы обнаружения атак. Для контроля сетевого сегмента, нужен только один сенсор, независимо от количества узлов в данном сегменте.

Пакет отправленный от злоумышленника, не будет возвращен назад. Системы которые работают на сетевом уровне, реализуют обнаружение атак при живом трафике, тоесть в масштабе реального времени. Анализируемая информация включает данные, которые будут доказательством в суде.

Системы обнаружения которые работают на сетевом уровне, не зависят от ОС. Для таких систем все равно, какая именно ОС создала пакет.

Технология сравнения с образцами

Принцип таков, что идет анализ наличия в пакете определенной постоянной последовательности байтов — шаблон или сигнатуры. К примеру, если пакет протокола IPv4 и транспортного протокола TCP, он предназначен порту номеру 222 и в поле данных содержит строку foo , это можно считать атакой. Положительные стороны:

• самый простой механизм обнаружения атак;
• разрешает жестко сопоставить образец с атакующим пакетом;
• работает для всех протоколов;
• сигнал об атаке достоверен, если же образец верно определен.

Отрицательные стороны:

• если атака нестандартная, есть вероятность пропустить ее;
• если образец слишком обобщен, то вероятен большой процент ложных срабатываний;
• Возможно что придется создавать несколько образцов для одной атаки;
• Механизм ограничен анализом одного пакета, уловить тенденцию и развитие атаки не возможно.

Технология соответствия состояния

Так как атака по своей сущности это не единичный пакет, а поток пакетов, то этот метод работает с потоком данных. Проходит проверка несколько пакетов из каждого соединения, прежде чем делается вердикт.
Если сравнивать с предыдущим механизмом, то строка foo может быть в двух пакетах, fo и o . Итог срабатывания двух методов я думаю понятен.
Положительные стороны:

• этот метод немного сложнее от предыдущего метода;
• сообщение об атаке правдиво, если образец достоверный;
• разрешает сильно увязать атаку с образцом;
• работает для всех протоколов;
• уклонение от атаки более сложнее чем в прошлом методе.

Отрицательные стороны:

• Все отрицательные критерии идентичны как и в прошлом методе.

Анализ с расшифровкой протокола

Этот метод реализует осмотр атак на отдельные протоколы. Механизм определяет протокол, и применяет соответственные правила. Положительные стороны:

• если протокол точно определен, то снижается вероятность ложных срабатываний;
• разрешает жестко увязать образец с атакой;
• разрешает выявить случаи нарушения правил работы с протоколами;
• разрешает улавливать разные варианты атак на основе одной.

Отрицательные стороны:

• Механизм является сложным для настройки;
• Вероятен высокий процент ложных срабатываний, если стандарт протокола разрешает разночтения.

Статический анализ

Этот метод предполагает реализации логики для определения атак. Используются статистическая информация для анализа трафика. Примером выявления таких атак будет выявление сканирования портов. Для механизма даются предельные значения портов, которые могут быть реализованы на одном хосте. В такой ситуации одиночные легальные подключения в сумме дадут проявление атаки. Положительные стороны:

• Есть такие типы атак, которые могут быть выявлены только этим механизмом.

Отрицательные стороны:

• Такие алгоритмы требуют сложной тонкой дополнительной настройки.

Анализ на основе аномалий

Этот механизм используется не для четкого обнаружения атак, а для обнаружения подозрительной активности, которая отличается от нормальной. Основная проблема настройки такого механизма, это определения критерия нормальной активности. Также нужно учитывать допустимые отклонения от обычного трафика, которые не есть атакой. Положительные стороны:

• Правильно настроенный анализатор выявляет даже неизвестные атаки, но нужно дополнительная работа по вводу новых правил и сигнатур атак.

Отрицательные стороны:

• Механизм не показывает описание атаки по каждому элементу, а сообщает свои подозрение по ситуации.
• Что бы делает выводы, не хватает полезной информации. В сети зачастую транслируется бесполезная.
• Определяющий фактор это среда функционирования.

Варианты реакций на обнаруженные атаки

Обнаружить атаку это пол дела, нужно еще и сделать определенные действия. Именно варианты реагирования определяют эффективность системы обнаружения атак. Ниже приведем следующие варианты реагирования.

Злоумышленники редко бесцеремонно вторгаются в сеть с «оружием» в руках. Они предпочитают проверить, надежны ли запоры на двери и все ли окна закрыты. Они незаметно анализируют образцы трафика, входящего в вашу сеть и исходящего из нее, отдельные IP-адреса, а также выдают внешне нейтральные запросы, адресованные от­дельным пользователям и сетевым устройствам.

Для обнаружения этих искусно закамуфлированных врагов приходится устанавливать интеллектуальное программное обеспечение детектирования сетевых атак, обладающее высокой чувствительностью. Приоб­ретаемый продукт должен предупреждать админист­ратора не только о случаях явного нарушения систе­мы информационной безопасности, но и о любых подозрительных событиях, которые на первый взгляд кажутся совершенно безобидными, а в действительно­сти скрывают полномасштабную хакерскую атаку. Нет нужды доказывать, что о вся­кой активной попытке взлома системных паролей администратор должен быть изве­щен немедленно.

Современные корпорации находятся буквально под перекрестным огнем со сторо­ны злоумышленников, стремящихся похитить ценные сведения или просто вывести из строя информационные системы. Задачи, преследуемые в борьбе с хакерами, доста­точно очевидны:

– уведомление о предпринятой попытке несанкционированного доступа должно быть немедленным;

– отражение атаки и минимизация потерь (чтобы противостоять злоумышленни­ку, следует незамедлительно разорвать сеанс связи с ним);

– переход в контрнаступление (злоумышленник должен быть идентифицирован и наказан).

Именно такой сценарий использовался при тестировании четырех наиболее попу­лярных систем выявления сетевых атак из присутствующих сегодня на рынке:

– Intruder Alert;

– еTrust Intrusion Detection.

Характеристика указанных программных систем обнаружения сетевых атак при­ведена в табл. 3.2.

Программа BlackICE фирмы Network ICE - специализированное приложение-агент, предназначенное исключительно для выявления злоумышленников. Обнаружив непрошеного гостя, оно направляет отчет об этом событии управляющему модулю ICEcap, анализирующему информацию» поступившую от разных агентов, и стремяще­муся локализовать атаку на сеть.

Программное обеспечение Intruder Alert компании Alert Technologies больше похоже на инструментарий для специалистов в области информационной безопасности, посколь­ку оно предоставляет максимальную гибкость в определении стратегий защиты сети.

Пакет Centrax производства CyberSafe устроен по принципу «все в одном»: в его составе есть средства контроля за системой безопасности, мониторинга трафика, вы­явления атак и выдачи предупреждающих сообщений.

Система eTrust Intrusion Detection корпорации Computer Associates особенно силь­на функциями контроля за информационной безопасностью и управления стратегия­ми защиты, хотя и в этом продукте реализованы средства выдачи предупреждений в режиме реального времени, шифрования данных и обнаружения атак.

Таблица 3.2. Характеристика программных систем обнаружения сетевых атак
Программная система	Производитель	Характеристика системы
BlackICE (специализированное приложение-агент)	Network ICE	Устанавливается на компьютере удаленного поль­зователя или на узле корпоративной сети. Выдает предупреждение об атаке на экран мони­тора пользователя. Сообщает о попытке НСД на средства сетевого мониторинга. Имеет возможность загрузки свежих сигнатур ха­керских атак с сервера. Выявляет источник атаки сети.
Intruder Alert (инструментарий детектирования сетевых атак)	Alert Technologies	Выбирает стратегию защиты сети. Поддерживает высокий уровень набора правил се­тевой защиты. Загружает сигнатуры хакерских атак. Требует наличия опытных специалистов для об­служивания.
Centrax (инструментарий детектирования сетевых атак)	Cyber Safe	Контролирует систему безопасности сети. Осуществляет мониторинг трафика. Выдает предупреждающие сообщения о сетевой атаке. Требует наличия опытных специалистов для об­служивания.
eTrust Intrusion Detection (анализатор трафика сети сегмента)	Computer Associates	Управляет стратегиями защиты. Выдает предупреждения об атаке в режиме реаль­ного времени. Осуществляет мониторинг трафика. Предупреждает администратора о нарушениях стратегии защиты. Сообщает о наличии ненормативной лексики в электронной почте. Располагает информацией о злоумышленнике

Предупреждения, генерируемые агентами BlackICE, очень конкретны. Текст сооб­щений не заставит администратора усомниться в характере зарегистрированного со­бытия, а в большинстве случаев и в его важности. Кроме того, продукт позволяет ад­министратору настроить содержание собственных предупреждающих сообщений, но по большому счету в этом нет необходимости.

Весьма полезным свойством разработок Network ICE, а также пакета Intruder Alert является возможность загрузки самых свежих сигнатур хакерских атак с сервера.

Попытки вывести из строя корпоративный сервер, который в результате вынужден на запросы об обслуживании отвечать отказом (denial-of-service), таят в себе довольно серьезную угрозу бизнесу компаний, предоставляющих своим клиентам услуги по глобальной сети. Суть нападения сводится к тому, что злоумышленник генерирует тысячи запросов SYN (на установление соединения), адресованных атакуемому сер­веру. Каждый запрос снабжается фальшивым адресом источника, что значительно зат­рудняет точную идентификацию самого факта атаки и выслеживание атакующего. Приняв очередной запрос SYN, сервер предполагает, что речь идет о начале нового сеанса связи и переходит в режим ожидания передачи данных. Несмотря на то, что данные после этого не поступают, сервер обязан выждать определенное время (макси­мум 45 с), перед тем как разорвать соединение. Если несколько тысяч таких ложных запросов будут направлены на сервер в течение считанных минут, он окажется пере­гружен, так что на обработку настоящих запросов о предоставлении того или иного сервиса ресурсов попросту не останется. Другими словами, в результате SYN-атаки настоящим пользователям будет отказано в обслуживании.

Во всех описываемых системах, за исключением eTrust Intrusion Detection корпо­рации Computer Associates, использована модель программных агентов, которые сна­чала инсталлируются на сетевых устройствах, а затем осуществляют сбор информа­ции о потенциальных атаках и пересылают ее на консоль. Агенты выявляют случаи нарушения установленных стратегий защиты и после этого генерируют соответству­ющие сообщения.

Системы на базе агентов являются наилучшим решением для коммутируемых се­тей, поскольку в таких сетях не существует какой-либо одной точки, через которую обязательно проходит весь трафик. Вместо того чтобы следить за единственным со­единением, агент осуществляет мониторинг всех пакетов, принимаемых или отправ­ляемых устройством, где он установлен. В результате злоумышленникам не удается «отсидеться» за коммутатором.

Сказанное можно проиллюстрировать на примере продукции фирмы Network ICE. Программе BlackICE отведена роль агента, устанавливаемого в полностью автоном­ной операционной среде, например, на компьютере удаленного пользователя либо на одном из узлов корпоративной сети передачи данных. Обнаружив хакера, атакующего удаленную машину, агент выдаст предупреждение непосредственно на ее экран. Если же аналогичное событие окажется зафиксировано в корпоративной сети, сообщение о попытке несанкционированного доступа будет передано другому приложению - ICEcap, содержащему средства сетевого мониторинга. Последнее собирает и сопос­тавляет информацию, поступающую от разных подчиненных ему агентов, и это дает ему возможность оперативно выявлять события, действительно угрожающие безопас­ности сети.

Система eTrust, напротив, основана на централизованной архитектуре. Она уста­навливается на центральном узле и анализирует трафик в подведомственном сетевом сегменте. Отсутствие агентов не позволяет данному продукту отслеживать все собы­тия в коммутируемой сети, поскольку в ней невозможно выбрать единственную «смот­ровую площадку», откуда вся сеть была бы видна как на ладони.

Пакет Intruder Alert и система Centrax производства CyberSafe представляют со­бой скорее инструментарий для построения собственной системы детектирования се­тевых атак. Чтобы в полной мере воспользоваться их возможностями, организация должна иметь в своем штате программистов соответствующей квалификации либо располагать бюджетом, позволяющим заказать подобную работу.

Несмотря на то, что все описываемые продукты легко инсталлировать, управление системами Intruder Alert и Centrax простым не назовешь. Скажем, если Centrax выда­ет предупреждающее сообщение неизвестного или неопределенного содержания (а такая ситуация не раз имела место в наших тестах), администратор вряд ли сумеет быстро определить, что же, собственно, произошло, особенно если для уточнения диагноза ему придется обратиться к файлам регистрации событий. Эти файлы отлича­ются исчерпывающей полнотой, однако разработчики, по-видимому, решили, что обыч­ному человеку достаточно только намекнуть, о чем может идти речь, и характер происходящего будет безошибочно идентифицирован. В регистрационных журналах этой системы присутствуют описания выданных предупреждений, но нет их идентификато­ров. Администратор видит адреса портов, к которым относились подозрительные зап­росы, либо параметры других операций, но не получает никакой информации о том, что же все это может означать.

Отмеченное обстоятельство значительно снижает ценность сообщений, выдавае­мых в режиме реального времени, поскольку невозможно сразу сообразить, отражает ли описание события реальную угрозу системе безопасности или это всего лишь по­пытка провести более тщательный анализ трафика. Иными словами, покупать назван­ные продукты имеет смысл лишь в том случае, если в штате вашей организации есть опытные специалисты по информационной безопасности.

Программное обеспечение eTrust Intrusion Detection корпорации Computer Associates представляет собой нечто большее, чем просто систему мониторинга сете­вой активности и выявления хакерских атак. Этот продукт способен не только декоди­ровать пакеты различных протоколов и служебный трафик, но и перехватывать их для последующего вывода на управляющую консоль в исходном формате. Система осуще­ствляет мониторинг всего трафика ТСРЯР и предупреждает администратора о случа­ях нарушения установленных стратегий в области информационной безопасности. Правда, эта разработка не поддерживает такого же уровня детализации наборов пра­вил, как Intruder Alert.

Однако детектирование попыток несанкционированного доступа и выдача предуп­реждающих сообщений - это только полдела. Программные средства сетевой защи­ты должны остановить действия хакера и принять контрмеры. В этом смысле наилуч­шее впечатление производят пакеты Intruder Alert и Centrax, те самые, что вызвали немалые нарекания по части настройки конфигурации. Если программы фирмы Network ICE и ПО eTrust мгновенно закрывают угрожающие сеансы связи, то системы Intruder Alert и Centrax идут еще дальше. Например, приложение компании Axent Technologies можно настроить таким образом, что оно будет запускать тот или иной командный файл в зависимости от характера зарегистрированных событий, скажем перезагружать сервер, который подвергся атаке, приводящей к отказу в обслуживании.

Отразив атаку, хочется сразу перейти в контрнаступление. Приложения Black-ICE и Centrax поддерживают таблицы с идентификаторами хакеров. Эти таблицы заполня­ются после прослеживания всего пути до «логовища», где затаился неприятель. Воз­можности программного обеспечения BlackICE особенно впечатляют, когда дело до­ходит до выявления источника атаки, расположенного внутри или вне сети: несмотря на многочисленные хитроумные маневры, нам так и не удалось сохранить инкогнито.

А вот система eTrust поражает степенью проникновения в характер деятельности каждого пользователя сети, зачастую даже не подозревающего о том, что он находит­ся под пристальным наблюдением. Одновременно этот пакет предоставляет наиболее полную (и, пожалуй, наиболее точную) информацию о злоумышленниках, даже о том, где они находятся.

Приложение Centrax способно создавать так называемые файлы-приманки, при­сваивая второстепенному файлу многозначительное название вроде «Ведомость.xls» и тем самым вводя в заблуждение излишне любопытных пользователей. Такой алго­ритм представляется нам слишком прямолинейным, но и он может сослужить неплохую службу: с его помощью удается «застукать» сотрудников за «прочесыванием» корпоративной сети на предмет выявления конфиденциальной информации.

Каждый из рассмотренных программных продуктов генерирует отчеты о подозри­тельных случаях сетевой активности. Высоким качеством таких отчетов и удобством работы с ними выделяются приложения ICEcap и eTrust Intrusion Detection. После­дний пакет отличается особенной гибкостью, возможно, потому, что ведет свое проис­хождение от декодера протоколов. В частности, администратор может проанализиро­вать сетевые события в проекции на отдельные ресурсы, будьте протоколы, станции-клиенты или серверы. В eTrust предусмотрено множество заранее разрабо­танных форматов отчетов. Их хорошо продуманная структура заметно облегчает об­наружение злоумышленников и позволяет наказать провинившихся пользователей.

Каждый продукт имеет свои сильные и слабые стороны, поэтому рекомендовать его можно только для решения определенных задач. Если речь идет о защите комму­тируемых сетей, неплохим выбором являются разработки Network ICE, Axent Technologies и CyberSafe. Пакет eTrust Intrusion Detection идеален для своевременно­го уведомления о случаях нарушения этики бизнеса, например, об употреблении не­нормативной лексики в сообщениях электронной почты. Системы Intruder Alert и Centrax - прекрасный инструментарии для консультантов по вопросам информаци­онной безопасности и организаций, располагающих штатом профессионалов в данной области. Однако тем компаниям, которые не могут себе позволить прибегнуть к услу­гам высокооплачиваемых специалистов, рекомендуем установить продукты компании Network ICE. Эти приложения заменят истинного эксперта по сетевой защите лучше любой другой системы из тех, что когда-либо попадалась нам на глаза.

Системы обнаружения сетевых атак

Обзор систем обнаружения сетевых атак включает в себя описание наиболее популярных коммерческих и свободно распространяемых СОА. Каждая из систем рассматривается по следующим основным показателям:

Архитектура СОА - структура системы, описание ее составных частей, а также методов взаимодействия между ними;

Характеристики программно-аппаратной платформы, на основе которой функционирует СОА;

Функциональные возможности СОА в части выявления и предотвращения информационных атак;

Ключевые особенности и отличия от других продуктов, представленных на отечественном рынке информационной безопасности.

1. Система «Radware DefensePro»

СОА «Radware DefensePro» разработана компанией Radware и представляет собой программно-аппаратный комплекс, предназначенный для защиты от сетевых атак. В состав СОА входят датчики, устанавливаемые в разрыв каналов связи АС, а также программа управления, которая устанавливается на АРМ администратора безопасности. Датчики СОА

Рис. 1 Логическая структура датчика системы Radware DefensePro

реализованы в виде специализированных аппаратных блоков (так называемых «appliance»), которые состоят из следующих компонентов (рис. 6.1):

Сетевые процессоры, выполняющие функции коммутации пакетов данных, управления полосой пропускания и фильтрации данных. В одном датчике может быть установлено одновременно несколько процессоров;

Аппаратный акселератор «StringMatch Engine», предназначенный для сигнатурного анализа пакетов данных на основе метода контекстного поиска. Данный акселератор состоит из восьми специализированных микросхем ASIC, которые позволяют осуществлять параллельный строковый поиск более 250 тысяч сигнатур;

Шина данных, обеспечивающая функции приема и отправки пакетов данных по сети. Общая пропускная способность шины составляет 44 Гбит/с, в рамках которых можно подключать один 10-Гигабитный интерфейс, семь 1-Гигабитных интерфейсов и 16 интерфейсов типа Fast Ethernet;

Центральный RISC-процессор Power PC производства компании Motorola, который предназначен для управления работой аппаратного акселератора «StringMatch Engine» сетевых процессоров. Управление датчиками Radware DefensePro может осуществляться локально при помощи интерфейса командной строки или удаленно при помощи Web-интерфейса, протоколов telnet или SSH, а также протоколов управления SNMP. Одна консоль управления может взаимодействовать одновременно с несколькими датчиками СОА Radware.

Кроме функций обнаружения и предотвращения атак СОА может использоваться для распределения нагрузки (load balancing), управления полосой пропускания (traffic shaping) на основе механизмов качества обслуживания Quality of service (QoS) и мониторинга сетевых информационных потоков. Система Radware DefensePro также может эффективно применяться для защиты от распределенных атак класса «отказ в обслуживании» за счет того, что может корректно обрабатывать потоки SYN-запросов, поступающие со скоростью более чем 1 млн/с.

СОА реализует сигнатурный и поведенческий методы выявления сетевых атак, которые работают в реальном масштабе времени. Сигнатурный метод базируется на поиске определенных строковых выражений в обрабатываемых пакетах данных. Каждая сигнатура имеет один из трех уровней приоритета - низкий, средний или высокий. База данных сигнатур может регулярно обновляться через Интернет-сайт производителя. Кроме того, администратор безопасности может самостоятельно добавить новую сигнатуру атаки при помощи имеющихся интерфейсов системы. Поведенческий метод позволяет обнаруживать известные и новые типы атак путем выявления аномалий в пакетах. СОА также позволяет выявлять попытки маскирования несанкционированных действий путем обхода механизмов обнаружения.

В случае выявления атаки система позволяет выполнить произвольный набор из следующих методов реагирования:

Заблокировать пакет данных, в котором была найдена определенная сигнатура атаки;

Пропустить пакет данных, в котором была обнаружена сигнатура;

Записать информацию о выявленной атаке в журнал аудита;

Сформировать SNMP-trap сообщение об атаке и отправить его по заданному адресу;

Отослать сообщение об обнаруженной атаке по электронной почте;

Вывести сообщение об атаке на локальный терминал;

Передать сообщение о выявленной атаке серверу службы Syslog. СОА поддерживает два режима работы - активный и пассивный.

В пассивном режиме датчики системы анализируют весь проходящий через них трафик, но при этом не блокируют пакеты данных. Данный режим позволяет произвести настройку параметров СОА и адаптировать ее к особенностям защищаемой АС. Активный режим предоставляет возможность блокировать потенциально опасные пакеты и тем самым предотвращать сетевые атаки.

В СОА Radware DefensePro реализована поддержка многопользовательского режима, который позволяет работать с системой одновременно нескольким администраторам. При этом система позволяет разграничить права доступа администраторов на уровне различных датчиков.

В процессе работы системы ведется детализированный журнал аудита, в котором регистрируется следующая информация:

Дата и время выявленной атаки;

Имя и общее описание выявленной атаки. Все обнаруженные атаки могут быть автоматически отнесены к одной из следующих категорий:

сетевая аномалия, попытка сканирования, вторжение или атака типа «отказ в обслуживании»;

IP-адрес источника и объекта выявленной атаки;

Номера портов TCP и UDP-пакетов, в которых были выявлены признаки сетевых атак;

Количество пакетов, которые были выявлены в рамках сетевой атаки;

Статус сетевой атаки - начальная стадия, стадия реализация и атака уже была проведена;

Параметры методов реагирования, которые были применены в результате выявления атаки.

Система оснащена развитыми средствами генерации графических и текстовых отчетов на основе параметров, задаваемых администратором безопасности. В Radware DefensePro предусмотрено несколько встроенных шаблонов, на основе которых оператор может создавать готовые отчетные документы.

Отличительной особенностью системы Radware DefensePro является возможность выявления атак в высокоскоростных каналах связи, пропускная способность которых составляет несколько Гбит/с.

2. Система «ISS RealSecure»

Система «RealSecure» разработана компанией Internet Security Systems (в 2006 г. компания ISS была куплена корпорацией IBM и в настоящее время продукты RealSecure и Proventia продвигаются на рынке уже под маркой IBM). Система включает в себя следующие компоненты:

Сетевые сенсоры, предназначенные для выявления сетевых атак в заданном сетевом сегменте. Сетевой сенсор устанавливается на выделенный компьютер, который подключается к защищаемому сегменту АС при помощи концентратора или SPAN-порта коммутатора.

Серверные сенсоры, обеспечивающие защиту определенных хостов в АС. Сенсор данного типа представляет собой программный модуль, который устанавливается на защищаемый компьютер. Серверные сенсоры могут использоваться для защиты хостов, функционирующих под управлением разных операционных систем.

Консоль управления SiteProtector, предназначенную для просмотра результатов работы системы и управления параметрами ее функционирования. Консоль администратора взаимодействует только с сервером приложений СОА.

Базу данных, которая содержит информацию обо всех выявленных атаках. База данных реализуется на основе СУБД Microsoft SQL Server.

Сервер приложений, предоставляющий доступ консоли администратора к функциям управления сенсорами и просмотра содержимого базы данных.

Менеджер событий (Event Collector), обеспечивающий запись информации, генерируемой сенсорами в базу данных событий. В целях повышения отказоустойчивости в АС может одновременно использоваться два менеджера событий, которые дублируют друг друга на случай нарушения работоспособности одного из них.

На одном компьютере может быть установлено одновременно несколько компонентов. Так, например, на одном узле может размещаться консоль администратора, а также база данных активов и событий. Общая схема взаимодействия компонентов, входящих в состав СОА «Realsecure», показана на рис. 2.

Сетевые сенсоры СОА «RealSecure» являются пассивными и выполняют функции регистрации атак с возможным последующим реагированием на них. Серверные же сенсоры позволяют не только выявить, но и предотвратить обнаруженную атаку посредством фильтрации потенциально опасных пакетов данных.

Параметры работы сетевых и серверных сенсоров определяются при помощи политик безопасности. Каждая политика безопасности включает в себя определенный набор сигнатур, позволяющих сенсору обнаруживать атаки нарушителя на основе контекстного поиска информации. Все сигнатуры системы сгруппированы в различные категории, что значительно упрощает работу с ними. В системе «RealSecure» не предусмотрено встроенного языка для создания собственных сигнатур, однако вместо этого в состав поставки СОА включен программный модуль TRONS, позволяющий импортировать сигнатуры программного продукта «Snort», который будет рассмотрен далее. СОА также поддерживает возможность удаленного обновления базы данных сигнатур атак с Web-сайта производителя системы. Сигнатуры атак для системы «RealSecure» разрабатываются специализированной лабораторией X-Force, входящей в состав компании ISS. В случае выявления атаки датчик СОА может выполнить один или несколько методов реагирования, описание которых приведено в табл. 1

Рис. 2. Архитектура СОА «RealSecure»

Табл. 1. Описание методов реагирования СОА «RealSecure»

№	Метод реагирования	Описание метода реагирования
	BANNER	Метод посылает нарушителю предупреждающее текстовое сообщение, которое определяется администратором СОА
	BLOCK	Метод позволяет блокировать (отфильтровывать) трафик, поступающий от узла, с которого была зафиксирована атака
	DISABLE	Метод позволяет блокировать учетную запись пользователя, действия которого привели к срабатыванию сигнатуры атаки
	DISPLAY	Метод отображает на консоли управления информацию о событии, обнаруженном в результате срабатывания сигнатуры
	E-MAIL	Метод оповещает по электронной почте администратора безопасности о событии, обнаруженном в результате срабатывания сигнатуры
	LOGDB	Метод записывает в базу данных информацию о событии, обнаруженном в результате срабатывания сигнатуры
	SECURE-LOGIC	Метод позволяет запускать заданную программу, написанную на специальном сценарном языке TCL. Интерпретатор этого языка интегрирован в СОА «RealSecure»
	SNMP	Метод предназначен для посылки управляющих SNMP-trap-сообщений по указанному IP-адресу
	SUSPEND	Временно блокирует учетную запись пользователя, действия которого вызвали срабатывание сигнатуры. Время блокирования задается оператором
	USER SPECIFIED	Метод позволяет запустить произвольную программу с указанными параметрами вызова

Просмотр результатов работы СОА, а также управление параметрами функционирования системы осуществляется при помощи консоли администратора. По умолчанию интерфейс консоли администратора разделен на несколько разделов, каждый из которых отображает определенный тип информации. Помимо информации о выявленных атаках на консоли также отображаются данные о текущих настройках системы, а также о статусе работы компонент СОА. Консоль администратора СОА «RealSecure» может использоваться для управления другими средствами защиты производства компании ISS.

В консоли администратора предусмотрена возможность создания текстовых и графических отчетов по результатам работы СОА. Сформированные отчеты могут экспортироваться в файлы формата PDF, Word, RTF и др. Администратор также имеет возможность задавать свой формат отчетов на основе шаблонов Crystal Reports.

В СОА реализован режим многопользовательской работы администраторов с возможностью ролевого разграничения прав доступа. Так, например, в одной системе один администратор может обладать исключительно правами просмотра результатов работы, в то время как другой пользователь может дополнительно иметь права на управление сенсорами СОА. При этом действия всех пользователей регистрируются в журнале регистрации системы.

3. Система «ISS Proventia»

Система «Proventia» разработана компанией Internet Security Systems на основе программного продукта «RealSecure» и также предназначена для защиты от сетевых атак. Данная система представляет собой программно-аппаратный комплекс, который устанавливается в разрыв канала связи и позволяет блокировать вредоносные пакеты данных. Основным отличием СОА «Proventia» от системы «RealSecure», рассмотренной выше, является возможность не только выявлять, но и предотвращать атаки на уровне сети.

Система может иметь от двух до восьми сетевых интерфейсов и обрабатывать сетевой трафик, поступающий со скоростью до 2 Гбит/с. После установки система «Proventia» может функционировать в двух основных режимах:

Режиме пассивного мониторинга, в котором СОА проводит анализ проходящих через нее пакетов данных, не осуществляя при этом блокирования несанкционированного трафика. Данный режим используется на этапе обучения системы;

Режиме защиты, который позволяет функционировать СОА в качестве межсетевого экрана и блокировать выявленные сетевые атаки.

Для обнаружения атак СОА «Proventia» использует сигнатурные методы, которые основаны на механизмах, реализованных в описанной выше системе «RealSecure». Система поддерживает возможность удаленного обновления сигнатур при помощи службы X-Force. Управление СОА может осуществляться при помощи локальной консоли командной строки, Web-интерфейса по протоколу SSL или средствами консоли SiteProtector.

СОА «Proventia» реализует фирменную технологию компании ISS, которая получила название «Виртуальный модуль обновления ПО» (Virtual patch). В данном случае под виртуальным модулем обновления подразумевается совокупность настроек СОА, позволяющих обеспечить защиту АС от атак до того момента времени, когда в АС будет установлено реальное обновление ПО (patch, hotfix и т.д.), устраняющее уязвимости системы. Фактически технология обеспечивает блокирование попыток злоумышленников использовать уязвимости, которые не были исправлены при помощи соответствующих обновлений ПО.

Система «Proventia» поддерживает следующие основные виды пассивного и активного реагирования на атаки:

Оповещение администратора безопасности о выявленной атаке по электронной почте. СОА позволяет задать адрес сервера, через который должны отправляться почтовые сообщения, а также состав направляемой администратору информации;

Запись в базу данных содержимого пакета данных, который вызвал срабатывание сигнатуры атаки;

Помещение определенного узла АС в карантинную зону. Данный метод реагирования позволяет изолировать компьютеры, которые являются источником или объектом атаки;

Генерация SNMP-сообщений, содержащих заданную информацию о выявленных сетевых атаках;

запуск программы, определенной администратором безопасности. Отличительной особенностью СОА «Proventia» является возможность работы в АС высокой доступности (high availability), которые предусматривают резервирование всех узлов системы. В этом случае в АС устанавливаются два программно-аппаратных блока СОА, которые дублируют друг друга в случае возникновения сбоя (рис. 3). Некоторые модели семейства «Proventia» в дополнение к функциям выявления атак также включают средства защиты от компьютерных вирусов и спама.

Рис. 3 Схема установки СОА в системе высокой доступности

4. Система «Juniper Networks IDP»

Система «IDP» разработана компанией Juniper Networks и предназначена для выявления и предотвращения сетевых атак (ранее данная система выпускалась компанией NetScreen). COA «IDP» имеет трехуровневую архитектуру и включает в себя следующие компоненты:

Сенсоры «IDP», которые предназначены для защиты тех сегментов АС, в которых они установлены; представляют собой стоечные программно-аппаратные блоки, которые могут устанавливаться в разрыв канала связи или подключаться к SPAN-порту коммутатора;

Сервер управления «IDP», выполняющий функции хранения служебной информации, а также управления сенсорами СОА;

Консоль администратора, предназначенная для управления СОА.

В зависимости от модификации СОА позволяет обрабатывать трафик, поступающий со скоростью от 50 Мбит/с до 1 Гбит/с. Также как и ранее рассмотренные СОА система «IDP» может функционировать в пассивном и активном режимах. При размещении СОА в разрыв канала связи администратор может настроить сенсор системы в качестве моста или маршрутизатора. В первом случае установка сенсора не потребует внесения каких-либо дополнительных изменений в настройку коммуникационного оборудования АС, что делает его «невидимым» для хостов системы. Установка СОА в качестве маршрутизатора повлечет за собой необходимость изменения схемы IP-адресации в АС. Выбор того или иного варианта установки определяется в зависимости от топологии АС.

Для выявления атак СОА использует экспертную систему, включающую в себя базу данных правил, на основе которых осуществляется обнаружение вторжений в АС. СОА предусматривает наличие следующих типов правил:

Правила, предназначенные для выявления известных типов атак на основе сигнатур. В СОА предусмотрен встроенный язык, позволяющий администратору создавать собственные сигнатуры. Данный язык базируется на регулярных выражениях языка Perl.

Правила, обеспечивающие возможность выявления аномалий в сетевых протоколах. В данном случае в качестве аномалии понимается несоответствие формата пакета данных требованиям, описанным в стандартах RFC или других спецификаций. СОА поддерживает возможность выявления аномалий в более чем шестидесяти видов протоколов.

Правила, позволяющие выявлять наличие в АС вредоносного ПО типа «троянский конь». Правила данного типа используют эвристические алгоритмы выявления интерактивного сетевого взаимодействия, которое может являться признаком наличия троянского кода.

Правила, которые используются для выявления попыток сканирования портов АС.

Правила, предназначенные для выявления атак класса «IP spoofing», направленных на подмену реального IP-адреса отправителя пакета данных.

Правила, позволяющие выявить атаки класса «отказ в обслуживании», которые реализуются посредством посылки большого количества SYN-запросов на установление ТСР-соединений.

Правила для выявления атак, реализующихся на втором уровне стека TCP/IP. Большая часть данных атак связана с протоколом ARP и направлена на несанкционированный перехват передаваемой по сети информации.

Правила, обеспечивающие возможность создания ложных целей для атаки, тем самым выявляя потенциальных нарушителей АС.

В СОА имеются встроенные типовые шаблоны правил, которые могут быть использованы в качестве основы для формирования политики защиты Web-сервера, почтового сервера, файлового сервера и других объектов АС. В случае выявления атаки СОА имеет возможность выполнить как пассивные, так и активные методы реагирования. К активным методам относится блокирование вредоносного пакета данных, а также закрытие TCP-соединения. Пассивные методы реагирования включают в себя:

Оповещение администратора безопасности по электронной почте;

Генерация SNMP-trap-сообщений для систем управления;

Формирование и отсылка сообщения об атаке по протоколу Syslog;

Запуск заданной программы;

Запись в базу данных содержимого пакетов данных, в которых были выявлены признаки наличия атаки.

Сенсоры СОА «IDP» могут объединяться в единый кластер, который может использоваться для повышения отказоустойчивости работы системы, а также для распределения нагрузки между сенсорами. В случае, если будет нарушена работоспособность одного из сенсоров, то пакеты данных будут автоматически перенаправлены на другой сенсор кластера. Для выявления подобных сбоев все сенсоры одного кластера обмениваются между собой служебной информацией, на основе которой определяется текущий статус работы устройства. При этом в один кластер могут объединяться от двух до шестнадцати сенсоров.

Сервер управления СОА функционирует под управлением ОС Sun Solaris 8/9 (для платформы SPARC), а также Linux RedHat 7.2, 8 или RedHat Enterprise Linux 3.0 (для платформы Intel). Сервер обеспечивает централизованное хранение конфигурационных параметров СОА, а также информации, поступающей от сенсоров «IDP». Для взаимодействия сервера управления с сенсорами «IDP» используется специализированный криптографически защищенный протокол, созданный на основе модифицированного варианта UDP. Для хранения результатов работы СОА на сервере применяется специализированная СУБД собственного производства. Система поддерживает возможность многопользовательской работы, однако одновременно в системе может работать только один администратор.

Для управления СОА используется консоль администратора, реализованная в виде Java-приложения. Консоль администратора позволяет гибко настраивать параметры просмотра результатов работы СОА. Консоль также оснащена возможностью генерации отчетов по результатам работы СОА на основе заданного множества шаблонов.

5. Система «Cisco IDP 4200»

Системы «Cisco IDP» серии 4200 разработаны компанией Cisco Systems и предназначены для выявления и блокирования сетевых атак. СОА данного типа реализованы в виде специализированных стоечных устройств, которые могут устанавливаться в разрыв канала связи или подключаться к SPAN-порту коммутатора. Компания Cisco также поставляет специализированные модули СОА, которые могут быть установлены в коммутаторы Catalyst 6500. В общем случае системы «Cisco IDP» включают в себя компоненты двух типов - сенсоры, предназначенные для защиты от атак посредством анализа сетевого трафика, и консоль управления администратора безопасности.

Сенсоры «Cisco IDP» могут функционировать в пассивном или активном режимах и обрабатывать пакеты данных, поступающие со скоростью до 1 Гбит/с. Для выявления атак СОА используют сигнатурные методы. Отличительной особенностью сенсоров является наличие встроенного механизма корреляции событий безопасности Meta Event Generator (MEG). Данный механизм позволяет проводить автоматизированный анализ событий безопасности, регистрируемых сенсорами СОА, с целью генерации мета-событий. Так, например, если в АС в течение трех секунд будет зарегистрировано пять определенных событий, связанных с использованием уязвимостей Web-сервера Microsoft IIS, то сенсор сможет сгенерировать мета-событие, указывающее на несанкционированную активность Интернет-червя Nimda (рис. 4). Использование механизма MEG позволяет значительно упростить процесс анализа информации, которая собирается сенсорами СОА «Cisco IDP».

Управление СОА «Cisco IDP» может осуществляться при помощи одного из следующих способов:

На основе интерфейса командной строки CLI, который может использоваться удаленно при помощи протокола SSH или локально посредством подключения клавиатуры и монитора непосредственно к сенсору. Интерфейс командной строки аналогичен интерфейсам локального управления другими устройствами компании Cisco, базирующимися на ОС Cisco IOS.

При помощи консоли IPS Device Manager, реализованной в виде Java-приложения, которое хранится непосредственно на сенсоре. Доступ к этой консоли может осуществляться при помощи любого Интернет-браузера на основе криптопротокола TLS. Данная консоль позволяет одновременно управлять только одним сенсором и, как правило, используется для внесения оперативных изменений в один из сенсоров СОА.

Рис. 4 Пример корреляции событий безопасности на основе механизма MEG

Посредством системы управления CiscoWorks VMS, которая обеспечивает возможность централизованного управления и мониторинга различных средств защиты компании Cisco, включая СОА, межсетевые экраны, средства построения виртуальных частных сетей VPN и т. д. Для применения CiscoWorks VMS требуется наличие выделенного сервера управления, выполняющего функции хранения конфигурационной информации и результатов работы СОА.

В случае выявления атаки СОА может выполнить один из следующих методов реагирования:

Заблокировать пакеты данных, в которых были обнаружены признаки информационной атаки;

Модифицировать содержимое пакета данных, в котором была выявлена атака;

Закрыть TCP-соединение, в котором была выявлена атака;

Оповестить администратора безопасности о выявленной атаке посредством посылки сообщения на консоль или генерации SNMP-trap-сообщения.

Каждому событию, связанному с выявлением атаки, СОА присваивает определенный уровень риска, на основе которого выбирается подходящий метод реагирования. Значение риска рассчитывается на основе четырех основных параметров:

Коэффициент опасности события (Alert Severity Rating). Данный параметр определяет уровень приоритета событий на основе потенциального ущерба, который может быть нанесен АС в результате успешного завершения обнаруженной атаки. В соответствии с этим параметром событие может классифицироваться по четырем основным категориям: информационные, а также события с низким, средним или высоким уровнем приоритета. Значение коэффициента опасности может редактироваться администратором безопасности.

Коэффициент точности сигнатуры атаки (Signature Fidelity Rating), который определяет степень применимости сигнатуры к действующему окружению АС. Так, например, если атака направлена на использование уязвимости, которая отсутствует в АС, то коэффициент точности ее сигнатуры будет стремиться к нулю. Значение данного коэффициента устанавливается администратором безопасности.

Коэффициент релевантности атаки (Attack Relevancy Rating), являющийся внутренним параметром, который автоматически корректируется СОА по результатам своей работы. В процессе функционирования СОА получает дополнительные данные о характере сетевого трафика, циркулирующего в АС, на основе которых вносятся изменения к текущее значение коэффициента релевантности.

Коэффициент оценки узлов AC (Target Value Rating), который используется для определения уровня критичности того или иного узла системы. При помощи этого коэффициента администратор может регулировать значение риска с учетом того, какой узел является объектом для атаки. Так, например, если нападению подвергся сервер, обслуживающий критические бизнес-процессы компании, то такая атака должна иметь высокий уровень риска. И, наоборот, если злоумышленник атакует файловый сервер, на котором отсутствует значимая для компании информация, то такое вторжение должно иметь низкий уровень риска.

Для обработки информации о выявленных атаках на уровне консоли администратора используется специализированный программный модуль MARS (Monitoring, Analysis & Response System), который позволяет генерировать отчеты и проводить корреляционный анализ событий безопасности.

6. Система «Symantec SNS 7100»

Системы «SNS» (Symantec Network Security) серии 7100 разработаны компанией Symantec и предназначены для выявления и предотвращения атак на уровне сети. СОА состоит из консоли администратора и сенсоров, которые реализуются в виде стоечных программно-аппаратных блоков, функционирующих в пассивном или активном режимах. В первом случае, сенсоры СОА подключаются к SPAN-порту коммутатора, а во втором - устанавливаются в разрыв канала связи АС. Сенсоры имеют возможность обрабатывать трафик, поступающий со скоростью до 1 Гбит/с.

СОА оснащена подсистемой собственной безопасности, которая обеспечивает аутентификацию администратора при доступе к консоли управления, а также криптографическую защиту всей служебной информации, передаваемой между сенсорами и консолью. Для шифрования передаваемых данных используется криптоалгоритм AES.

Для выявления атак СОА может использовать сигнатурные методы, а также методы выявления аномалий в сетевых протоколах. СОА предоставляет администратору возможность создавать свои собственные сигнатуры на основе специализированного языка.

Для обновления сигнатурных баз данных СОА использует механизм «LiveUpdate», который также применяется в антивирусных продуктах компании Symantec. После выявления атаки СОА может выполнить активные или пассивные методы реагирования, аналогичные способам, которые были рассмотрены ранее.

Консоль управления СОА «SNS» поддерживает возможность многопользовательской работы. При этом можно выделить следующие группы пользователей:

Суперпользователи (SuperUsers) - администраторы, которые имеют абсолютные права по управлению параметрами работы СОА, созданию учетных записей пользователей и т. д.;

Администраторы (Administrators) - администраторы, которые имеют ограниченные права по изменению определенных параметров функционирования СОА;

Стандартные пользователи (StandardUsers) - категория пользователей, имеющих права на просмотр всей информации, к которой можно получить доступ посредством консоли администратора;

Ограниченные пользователи (RestrictedUsers) - пользователи, которые имеют ограниченный доступ к просмотру информации через консоль администратора.

Для хранения служебной информации в СОА «SNS» используются следующие типы баз данных:

Топологическая база данных, в которой содержится информация о конфигурации защищаемой АС;

База данных политик безопасности, содержащая параметры сигнатур, на основе которых осуществляется выявление сетевых атак;

База данных правил реагирования на выявляемые сетевые атаки;

Конфигурационная база данных, содержащая информацию о правах доступа суперпользователей и администраторов СОА;

База данных событий и инцидентов, в которой хранится информация обо всех выявленных сетевых атаках.

Сенсоры СОА могут объединяться в отказоустойчивые группы (failover groups) в целях обеспечения бесперебойной работы системы. Все сенсоры, входящие в такую группу, обрабатывают один и тот же трафик, однако только один из сенсоров выполняет методы реагирования на выявленные атаки. В случае нарушения работоспособности основного сенсора группы его автоматически заменяет резервный сенсор.

СОА позволяет объединять несколько сенсоров в один логический кластер с целью выполнения корреляционного анализа событий, которые поступают от различных сенсоров. Так, например, в случае обнаружения распределенной атаки «отказ в обслуживании» СОА имеет возможность определить источник вторжения на основе результатов работы всех сенсоров, входящих в один кластер.

Консоль администратора СОА оснащена гибкой системой фильтрации информации о событиях, связанных с выявленными атаками, а также средствами генерации текстовых и графических отчетов.

7. Система «Snort»

Система «Snort» является некоммерческим программным продуктом, распространяемым по лицензии GNU GPL вместе с исходными тестами. Несмотря на статус некоммерческого ПО система «Snort» используется в ряде российских компаний в качестве базового средства выявления сетевых атак.

Система «Snort» может функционировать в трех режимах:

Анализа пакетов данных (sniffer mode);

Регистрации пакетов данных в журнал аудита (packet logger mode);

Обнаружения атак (intrusion detection).

В режиме анализа пакетов данных система «Snort» перехватывает пакеты данных, передаваемые по сети, и выводит их содержимое на экран. Запуск СОА «Snort» в режиме регистрации пакетов данных позволяет записывать заголовки и поля передаваемых пакетов данных в журналы регистрации, представленные в виде текстовых файлов. Третий режим работы СОА «Snort» - режим обнаружения атак нарушителя - является основным и предназначен для выявления вторжений путем анализа содержимого передаваемых пакетов данных. Для выявления атак СОА применяет сигнатурный метод контекстного поиска. Результаты работы системы могут записываться в текстовый файл или регистрироваться в СУБД MySql.

СОА «Snort» не является функционально-замкнутой системой и может расширяться за счет подключаемых программных модулей, которые получили название препроцессоров. По умолчанию в состав СОА входят следующие препроцессоры:

«http_inspect» - данный препроцессор предназначен для выявления аномалий в содержимом передаваемых HTTP-запросов;

Препроцессор «portscan detector», позволяющий обнаруживать попытки сканирования портов хостов АС;

«frag2» - препроцессор, позволяющий выполнять дефрагментацию IP-дейтаграмм. Выполнение этой процедуры позволяет выявлять атаки типа «отказ в обслуживании», которые реализуются на основе неправильным образом дефрагментированных IР-дейтаграмм;

Препроцессор «spade», позволяющий обнаруживать атаки на основе статистического анализа;

Препроцессор «stream4», предназначенный для выполнение анализа TCP-сессий и выявлять несанкционированные пакеты, которые нарушают алгоритм установления ТСР-соединения;

«arpspoof» представляет собой препроцессор, позволяющий выявлять сетевые атаки, которые реализуются на основе уязвимостей протокола ARP;

Препроцессор «rpc_decode», который используется для обработки команд, передаваемых по протоколу RPC;

«bo» - препроцессор, предназначенный для выявления несанкционированной сетевой активности, связанной с работой вредоносного ПО «Back Orifice».

Система «Snort» может устанавливаться в разрыв канала связи или подключаться к SPAN-порту коммутатора. В состав СОА «Snort» не входят средства удаленного управления, поэтому единственным способом изменения параметров работы системы является интерфейс командной строки. В системе также не предусмотрены штатные средства для генерации отчетов по результатам работы СОА.