Реферат: Системи систем виявлення вторгнень (СВВ) или Intrusion Detection Systems (IDS)

На функціонування host-based IDS не впливає наявність у мережі комутаторів.

Коли host-based IDS працюють з результатами аудиту ОС, вони можуть надати допомогу у визначенні троянських програм або інших атак, які порушують цілісність ПЗ.

Host-based IDS використовують обчислювальні ресурси хостів, за якими вони спостерігають, що впливає на продуктивність спостерігається системи.

Application-Based IDS

Application-Based IDS є спеціальним підмножиною host-based IDS, які аналізують події, що надійшли до ВО програми. Найбільш загальними джерелами інформації, що використовуються application-based IDS, є лог-файли транзакцій програми.

Здатність взаємодіяти безпосередньо з додатком, з конкретним доменом або використовувати знання, специфічні для програми, дозволяє application-based IDS визначати підозрілу поведінку авторизованих користувачів, що перевищує їх права доступу. Такі проблеми можуть проявитися лише при взаємодії користувача з додатком.

Переваги application-based IDS:

Application-based IDS можуть аналізувати взаємодію між користувачем та програмою, що часто дозволяє відстежити неавторизовану діяльність конкретного користувача.

Application-based IDS часто можуть працювати в зашифрованих середовищах, так як вони взаємодіють з додатком у кінцевій точці транзакції, де інформація представлена вже в незашифрованому вигляді.

Недоліки application-based IDS:

Application-based IDS можуть бути більш вразливі, ніж host-based IDS, для атак на логи додатки, які можуть бути не так добре захищені, як результати аудиту ОС, що використовуються host-based IDS.

Application-based IDS часто дивляться події на користувача рівні абстракції, на якому зазвичай неможливо визначити Троянські програми або інші подібні атаки, пов'язані з порушенням цілісності ПЗ. Отже, доцільно використовувати application-based IDS в комбінації з host-based та / або network-based IDS.

Аналіз, що виконується IDS

Існує два основні підходи до аналізу подій для визначення атак: визначення зловживань (misuse detection) та визначення аномалій (anomaly detection).

У технології визначення зловживань відомо, яка послідовність даних є ознакою атаки. Аналіз подій полягає у визначенні таких "поганих" послідовностей даних. Технологія визначення зловживань використовується у більшості комерційних систем.

У технології визначення аномалій відомо, що являє собою "нормальна" діяльність і "нормальна" мережева активність. Аналіз подій полягає в спробі визначити аномальне поведінку користувача або аномальну мережеву активність. Дана технологія на сьогоднішній день є предметом досліджень і використовується в обмеженій формі невеликим числом IDS. Існують сильні і слабкі сторони, пов'язані з кожним підходом, вважається, що найбільш ефективні IDS застосовують в основному визначення зловживань з невеликими компонентами визначення аномалій.

Визначення зловживань

Детектори зловживань аналізують діяльність системи, аналізуючи подію або безліч подій на відповідність наперед визначеним зразком, який описує відому атаку. Відповідність зразка відомої атаці називається сигнатурою, визначення зловживання іноді називають "сигнатурних визначенням". Найбільш загальна форма визначення зловживань, що використовується в комерційних продуктах, специфікує кожен зразок подій, відповідний атаці, як окрему сигнатуру. Проте існує декілька більш складних підходів для виконання визначення зловживань (званих state-based технологіями аналізу), які можуть використовувати єдину сигнатуру для визначення групи атак.

Переваги сигнатурного методу:

Детектори зловживань є дуже ефективними для визначення атак і не створюють при цьому величезного числа помилкових повідомлень.

Детектори зловживань можуть швидко і надійно діагностувати використання конкретного інструментального засобу або технології атаки. Це може допомогти адміністратору скорегувати заходи забезпечення безпеки.

Детектори зловживань дозволяють адміністраторам, незалежно від рівня їх кваліфікації в галузі безпеки, почати процедури обробки інциденту.

Недоліки сигнатурного методу:

Детектори зловживань можуть визначити тільки ті атаки, про які вони знають, отже, треба постійно оновлювати їх бази даних для отримання сигнатур нових атак.

Багато детектори зловживань розроблені таким чином, що можуть використовувати тільки строго певні сигнатури, а це не допускає визначення варіантів загальних атак. State-based детектори зловживань можуть обійти це обмеження, але вони застосовуються в комерційних IDS не настільки широко.

Визначення аномалій

Детектори аномалій визначають ненормальне (незвичайне) поведінка на хості або в мережі. Вони припускають, що атаки відрізняються від "нормальної" (законною) діяльності і можуть, отже, бути визначені системою, яка вміє відслідковувати ці відмінності. Детектори аномалій створюють профілі, що є нормальна поведінка користувачів, хостів або мережевих з'єднань. Ці профілі створюються, виходячи з даних історії, зібраних в період нормального функціонування. Потім детектори збирають дані про події та використовують різні метрики для визначення того, що аналізована діяльність відхиляється від нормальної.

Метрики і технології, які використовуються при визначенні аномалій, включають:

визначення допустимого порогу. У цьому випадку основні атрибути поведінки користувачів та системи виражаються в кількісних термінах. Для кожного атрибута визначається деякий рівень, що встановлюється як допустимий. Такі атрибути поведінки можуть визначати кількість файлів, доступних користувачеві в даний період часу, число невдалих спроб входу в систему, кількість часу ЦП, що використовується процесом і т.п. Даний рівень може бути статичним або евристичним - наприклад, може визначатися зміною аналізованих значень.