Читать «Безопасность информационных систем. Учебное пособие» онлайн - страница 45

3. Хранилище обеспечивает накопление и хранение данных сенсорной подсистемы и результатов их анализа.

4. Консоль управления используется для настройки IDS, наблюдения за состоянием защищаемой системы, просмотра выявленных подсистемой анализа инцидентов.

Разновидности современных систем обнаружения вторжений.

1. Системы обнаружения вторжений, защищающие сегмент сети. Развертываются на специализированном сервере, на котором не работают никакие другие приложения. Поэтому сервер может быть особенно надежно защищен от нападения. Кроме того, этот сервер может быть сделан «невидимым» для нападающего. Для защиты сети устанавливаются несколько таких серверов, которые анализируют сетевой трафик в различных сегментах сети. Несколько удачно расположенных систем могут контролировать большую сеть.

К недостаткам таких систем относят проблемы распознавания нападений в момент высокой загрузки сети, и неспособность анализировать степень проникновения. Система просто сообщает об инициированном нападении.

2. Системы обнаружения вторжений, защищающие отдельный сервер. Собирают и анализируют информацию о процессах, происходящих на конкретном сервере. Благодаря узкой направленности, могут проводить высоко детализированный анализ и точно определять, кто из пользователей выполняет злонамеренные действия. Некоторые IDS этого класса могут управлять группой серверов, подготавливая централизованные обобщающие отчеты о возможных нападениях. В отличие от предыдущих систем могут работать даже в сети, использующей шифрование данных, когда информация находится в открытом виде на сервере до ее отправки потребителю. Однако системы этого класса не способны контролировать ситуацию во всей сети, так как видят только пакеты, получаемые «своим» сервером. Снижается эффективность работы сервера вследствие использования его вычислительных ресурсов.

3. Системы обнаружения вторжений на основе защиты приложений. Контролируют события, проявляющиеся в пределах отдельного приложения. Знания о приложении, а также возможность анализировать его системный журнал и взаимодействовать с ним посредством API, позволяет таким системам контролировать деятельность пользователей, работающих с данным приложением, с очень высокой степенью детализации.

Аналогично антивирусным программам системы обнаружения вторжений используют два основных подхода к методам обнаружения подозрительной активности.

1. Подход на основе сигнатуры выявляет деятельность, которая соответствует предопределенному набору событий, уникально описывающему известное нападение. Эта методика чрезвычайно эффективна и является основным методом, используемым в коммерческих программах. Однако такая система обнаружения вторжений не может бороться с новыми видами нападений, а также с видоизмененными вариантами традиционных нападений, сигнатура которых незначительно отличается от имеющейся в базе.

2. Система обнаружения вторжений на основе аномалий обнаруживают нападения, идентифицируя необычное поведение на сервере или в сети. Они способны обнаруживать нападения, заранее не запрограммированные в них, но производят большое количество ложных срабатываний.