Обнаружение хакерских атак  Недостатки средств защиты  Виды атак  Этапы реализации атак  Контроль доступа к интернету  Статистика хакерских атак  Как защититься  Размещение систем обнаружения  Тематическое размещение статей  Полезные ссылки  Продвижение сайтов  Каталог сайтов
 

Контроль доступа к интернету

Технологии обнаружения атак

Обнаружение атак требует выполнения одного из двух условий: или понимания ожидаемого поведения контролируемого объекта системы, или знания всех возможных атак и их модификаций. В первом случае используется технология обнаружения аномального поведения (anomaly detection), а во втором - технология обнаружения злоумышленного поведения или злоупотреблений (misuse detection). Обычно в коммерческих системах сочетают оба подхода, пытаясь извлечь максимум из обеих технологий и устранить недостатки, присущие каждой в отдельности.

Обнаружение аномальной деятельности

Данная технология основана на лежащем на поверхности выводе, что аномальное поведение субъекта (системы, программы, пользователя), т. е., как правило, атака или какое-нибудь враждебное действие, часто проявляется как отклонение от нормального поведения [Лукацкий4-99]. Примером аномального поведения может служить большое количество соединений за короткий промежуток времени, высокие загрузка центрального процессора и коэффициент сетевой нагрузки или использование периферийных устройств, которые обычно не задействуются. Если бы мы смогли описать профиль нормального поведения субъекта, то любое отклонение от него можно охарактеризовать как аномальное поведение. Однако аномальное поведение не всегда является атакой. Например, таким не является прием большого числа ответов на запрос об активности станций от системы сетевого управления. Многие системы обнаружения атак идентифицируют данный случай как атаку типа "отказ в обслуживании". С учетом этого факта можно заметить, что возможны две крайности при использовании системы обнаружения аномалий:

О обнаружение аномального поведения, которое не является атакой, и отнесение его к классу атак (false positive);
 

 пропуск атаки, которая не подпадает под определение аномального поведения (false negative). Этот случай гораздо более опасен, чем ложное причисление аномального поведения к классу атак.

Поэтому при настройке и эксплуатации систем такой категории администраторы сталкиваются с двумя задачами:

 построение профиля субъекта - трудно формализуемая и времяемкая задача, требующая от администратора большой предварительной работы;

 определение граничных значений характеристик поведения субъекта для снижения вероятности появления одного из двух вышеназванных крайних случаев.

Эта технология зачастую достигается дорогой ценой, потому что постоянная регистрация всех действий контролируемого субъекта, необходимая для выполнения такого рода обнаружения, существенно снижает производительность защищаемого хоста. Подобные системы сильно загружают центральный процессор, требуют больших объемов дискового пространства для хранения собираемых данных и в принципе неприменимы для систем, критичных к быстродействию, работающих в режиме реального времени (таких как система "Операционный день банка" или система диспетчерского управления SCADA).

Например, в банке операторы выполняют однотипные действия изо дня в день. Для таких - достаточно детерминированных - систем можно легко разработать средства обнаружения аномалий. Что, собственно, и реализовано в системах обнаружения мошенничества, которые также нашли широкое применение у операторов связи. Однако для многих сред эти подходы неприменимы [Баранов1-98]. К этим средам можно отнести университетские сети или Web-серверы, к которым осуществляется доступ сотен пользователей при помощи всего одной учетной записи.

Схема типичной системы обнаружения аномалий показана на рис. 4.9.

Рис. 4.9. Схема системы обнаружения аномального поведения

Обычно системы обнаружения аномальной активности используют в качестве источника данных журналы регистрации и текущую деятельность пользователя, хотя существуют примеры системы обнаружения аномалий в сетевом трафике (например, технология Traffic Signature в системе nGenius Performance Management System компании NetScout) [NetScoutl-02].

Необходимо отметить, что данный подход получает все большее развитие в современных системах обнаружения атак. Его все чаще и чаще используют различные производители защитных средств. Так, распределенные и обычные DoS-атаки обнаруживаются именно благодаря контролю за отклонениями от обычной сетевой нагрузки.
 

Министерство обороны обнаруживает аномалии

В апреле 2001 года Министерство обороны США заключило 20-миллионный контракт с Американским институтом исследований (American Institutes for Research) на разработку системы обнаружения атак Advanced Intrusion Prevention System (AIPS), использующей именно механизмы обнаружения аномального поведения пользователей. Разработка системы должны быть завершена в декабре 2004 года.

Читать далее про хакерские атаки

p.s. При копировании материалов и фотографий, активная ссылка на сайт обязательна.

Саратов 2007-2014 г. Посетите также наш сайт: www.matrixplus.ru

На страницу размещения статей

Модерируемый каталог сайтов

Смотрите также интересные ссылки:
Автохимия для авто  Мойка вагонов, разработки для железнодорожного транспорта и метрополитена  Бесконтактная мойка авто и транспорта  Средства для Ультразвука и ультразвуковых ванн   Дезинфицирующие средства Интернет магазин автохимии