Mikä on tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­mä (IDS)?

Ny­ky­ai­kai­set tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­mät täy­den­tä­vät te­hok­kaas­ti pe­rin­tei­siä pa­lo­muu­re­ja. Ne ana­ly­soi­vat ja valvovat jär­jes­tel­miä ja ko­ko­nai­sia verkkoja jat­ku­vas­ti re­aa­lia­jas­sa, tun­nis­ta­vat mah­dol­li­set uhat ja il­moit­ta­vat niistä vä­lit­tö­mäs­ti jär­jes­tel­män­val­vo­jil­le. Var­si­nai­nen puolustus hyök­käyk­siä vastaan to­teu­te­taan tämän jälkeen li­sä­oh­jel­mis­to­jen avulla.

Mitä IDS (tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­mä) tar­koit­taa?

Vaikka ny­ky­ai­kai­set tietokone- ja verk­ko­tur­va­jär­jes­tel­mät ovat ke­hit­ty­nei­tä, myös ky­ber­hyök­käyk­set muuttuvat yhä ove­lam­mik­si. Herkän infra­struk­tuu­rin te­hok­kaak­si suo­jaa­mi­sek­si kannattaa harkita useiden tur­va­toi­men­pi­tei­den käyttöä. Tässä yh­tey­des­sä tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­mä (IDS) on erin­omai­nen lisä pa­lo­muu­ril­le. IDS on erityisen tehokas hyök­käys­ten ja mah­dol­lis­ten uhkien var­hai­ses­sa ha­vait­se­mi­ses­sa, ja se hälyttää vä­lit­tö­mäs­ti jär­jes­tel­män­val­vo­jat, jotka voivat sitten ryhtyä nopeisiin puo­lus­tus­toi­miin. Mer­kit­tä­vää on, että tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­mä pystyy tun­nis­ta­maan myös hyök­käyk­set, jotka ovat mah­dol­li­ses­ti lä­päis­seet pa­lo­muu­rin puo­lus­tuk­sen.

Toisin kuin esi­mer­kik­si tun­keu­tu­mi­se­nes­to­jär­jes­tel­mä, tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­mä(IDS) ei itse torju hyök­käyk­siä. Sen sijaan tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­mä analysoi kaiken verkossa ta­pah­tu­van toiminnan ja vertaa sitä tiet­tyi­hin malleihin. Kun epä­ta­val­lis­ta toimintaa havaitaan, jär­jes­tel­mä hälyttää käyttäjää ja antaa yk­si­tyis­koh­tais­ta tietoa hyök­käyk­sen al­ku­pe­räs­tä ja luon­tees­ta.

Millaisia tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­miä on olemassa?

Tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­mät jaetaan kolmeen tyyppiin: isän­tä­ko­nei­siin pe­rus­tu­vat (HIDS), verkkoon pe­rus­tu­vat (NIDS) sekä hybri­di­jär­jes­tel­mät, joissa yh­dis­ty­vät HIDS- ja NIDS-pe­ri­aat­teet.

HIDS: Isän­tä­ko­nei­siin pe­rus­tu­vat tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­mät

Isän­tä­ko­nee­seen perustuva tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­mä on vanhin tie­to­tur­va­jär­jes­tel­män muoto. Tässä ta­pauk­ses­sa IDS asen­ne­taan suoraan kyseiseen jär­jes­tel­mään. Se analysoi tietoja sekä loki- että ytimen tasolla ja tutkii myös muita jär­jes­tel­mä­tie­dos­to­ja. It­se­näis­ten työ­ase­mien käytön mah­dol­lis­ta­mi­sek­si isän­tä­poh­jai­nen tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­mä käyttää val­von­tapro­ses­se­ja, jotka suo­dat­ta­vat lii­ken­teen etukäteen ja lä­het­tä­vät havainnot kes­kus­pal­ve­li­mel­le. Vaikka jär­jes­tel­mä on erittäin tarkka ja kattava, se voi olla alttiina DoS- ja DDoS-hyök­käyk­sil­le. Lisäksi se on riip­pu­vai­nen tietystä käyt­tö­jär­jes­tel­mäs­tä.

NIDS: Verkkoon pe­rus­tu­vat tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­mät

Verk­ko­poh­jai­nen tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­mä tar­kas­te­lee verkossa vaih­det­ta­via da­ta­pa­ket­te­ja ja tunnistaa vä­lit­tö­mäs­ti epä­ta­val­li­set tai poik­kea­vat mallit ra­por­toin­tia varten. Suurten tie­to­mää­rien käsittely voi kuitenkin olla haastavaa, mikä voi yli­kuor­mit­taa tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­män ja haitata sau­ma­ton­ta valvontaa.

Hybri­di­set tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­mät

Nykyään monet toi­mit­ta­jat va­lit­se­vat hybri­di­set tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­mät, joissa yh­dis­ty­vät molemmat lä­hes­ty­mis­ta­vat. Nämä jär­jes­tel­mät koostuvat isän­tä­ko­nei­siin asen­ne­tuis­ta an­tu­reis­ta, verkkoon asen­ne­tuis­ta an­tu­reis­ta sekä kes­ki­te­tys­tä hal­lin­ta­ker­rok­ses­ta, johon tulokset kootaan pe­rus­teel­lis­ta ana­ly­soin­tia ja hallintaa varten.

Tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­män (IDS) tarkoitus ja edut

Tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­mää ei pidä koskaan pitää pa­lo­muu­rin kor­vaa­ja­na eikä käyttää sel­lai­se­na. Se on sen sijaan erin­omai­nen lisä, joka yhdessä pa­lo­muu­rin kanssa tunnistaa uhat te­hok­kaam­min. Koska tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­mä pystyy ana­ly­soi­maan jopa OSI-mallin ylimmän kerroksen, se kykenee pal­jas­ta­maan uusia ja aiemmin tun­te­mat­to­mia vaa­ra­läh­tei­tä, vaikka pa­lo­muu­rin puo­lus­tus­lin­jat olisi murrettu.

Miten tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­mä toimii

Hybri­di­mal­li on yleisin tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­män tyyppi, jossa hyö­dyn­ne­tään sekä isän­tä­ko­nei­siin että verkkoon pe­rus­tu­via me­ne­tel­miä. Kerättyjä tietoja ana­ly­soi­daan kes­kus­hal­lin­ta­jär­jes­tel­mäs­sä kolmen eri kom­po­nen­tin avulla.

Tietojen seuranta

Tie­to­mo­ni­to­ri kerää kaikki olen­nai­set tiedot an­tu­rei­den kautta ja suodattaa ne niiden mer­ki­tyk­sel­li­syy­den pe­rus­teel­la. Tähän si­säl­ty­vät isän­tä­ko­neen puolelta peräisin olevat tiedot, kuten lo­ki­tie­dos­tot ja jär­jes­tel­mä­tie­dot, sekä verkon kautta lähetetyt da­ta­pa­ke­tit. IDS kerää ja järjestää muun muassa lä­het­tä­jän ja vas­taa­not­ta­jan osoitteet sekä muut keskeiset tiedot. Keskeinen vaatimus on, että kerätyt tiedot ovat peräisin luo­tet­ta­vas­ta lähteestä tai suoraan tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­mäs­tä, jotta tietojen eheys voidaan varmistaa ja estää niiden aiempi ma­ni­pu­loin­ti.

Ana­ly­soin­ti­lai­te

Tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­män toinen osa on ana­ly­soin­tiyk­sik­kö, jonka tehtävänä on arvioida kaikki vas­taa­no­te­tut ja esi­suo­da­te­tut tiedot eri­lais­ten mallien avulla. Tämä arviointi tapahtuu re­aa­lia­jas­sa, mikä voi kuor­mit­taa pro­ses­so­ria ja pää­muis­tia huo­mat­ta­vas­ti. Riittävät resurssit ovat vält­tä­mät­tö­miä nopean ja tarkan analyysin kannalta. Ana­ly­soin­tiyk­sik­kö käyttää tähän tar­koi­tuk­seen kahta erillistä me­ne­tel­mää:

• Vää­rin­käy­tön ha­vait­se­mi­nen: Vää­rin­käy­tön ha­vait­se­mi­ses­sa ana­ly­soin­ti­jär­jes­tel­mä tutkii saapuvat tiedot et­siäk­seen tun­nis­tet­tu­ja hyök­käys­mal­le­ja, jotka on tal­len­net­tu sään­nöl­li­ses­ti päi­vi­tet­tä­vään eril­li­seen tie­to­kan­taan. Kun hyökkäys vastaa aiemmin tal­len­net­tua tun­nis­te­ku­vio­ta, se voidaan tunnistaa jo var­hai­ses­sa vaiheessa. Tämä menetelmä on kuitenkin tehoton sel­lais­ten hyök­käys­ten ha­vait­se­mi­ses­sa, joita jär­jes­tel­mä ei vielä tunne.
• Poik­kea­mien ha­vait­se­mi­nen: Poik­kea­mien ha­vait­se­mi­nen edel­lyt­tää koko jär­jes­tel­män ar­vioin­tia. Kun yksi tai useampi prosessi poikkeaa va­kiin­tu­neis­ta normeista, tällaiset poik­kea­mat merkitään. Esi­mer­kik­si jos CPU:n kuormitus ylittää mää­ri­te­tyn kyn­ny­sar­von tai jos sivujen käyn­neis­sä esiintyy epä­ta­val­li­nen piikki, se laukaisee hä­ly­tyk­sen. Tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­mä voi myös ana­ly­soi­da eri ta­pah­tu­mien kro­no­lo­gis­ta jär­jes­tys­tä tun­nis­taak­seen tun­te­mat­to­mia hyök­käys­mal­le­ja. On kuitenkin tärkeää huomata, että joissakin ta­pauk­sis­sa myös vaa­rat­to­mat poik­kea­mat voivat tulla ra­por­toi­duik­si.

Hälytys

Tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­män kolmas ja viimeinen osa on var­si­nai­nen hälytys. Jos jär­jes­tel­mä havaitsee hyök­käyk­sen tai edes poik­kea­mia, se ilmoittaa asiasta jär­jes­tel­män­val­vo­jal­le. Ilmoitus voidaan lähettää säh­kö­pos­tit­se, pai­kal­li­sel­la hä­ly­tyk­sel­lä tai äly­pu­he­li­meen tai tablet-lait­tee­seen lä­he­tet­tä­väl­lä viestillä.

Mitkä ovat tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­män haitat?

Vaikka tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­mät pa­ran­ta­vat tie­to­tur­vaa, niillä on, kuten aiemmin mai­nit­tiin, myös hait­ta­puo­lia. Isän­tä­ko­nei­siin pe­rus­tu­vat IDS-jär­jes­tel­mät voivat olla alttiita DDoS-hyök­käyk­sil­le, ja verkkoon pe­rus­tu­vat jär­jes­tel­mät voivat kohdata vai­keuk­sia suurissa verk­koa­sen­nuk­sis­sa, jolloin ne saattavat jättää da­ta­pa­ket­te­ja huo­maa­mat­ta. Poik­kea­mien ha­vait­se­mi­nen voi kon­fi­gu­raa­tios­ta riippuen aiheuttaa vääriä hä­ly­tyk­siä. Lisäksi kaikki IDS-jär­jes­tel­mät on suun­ni­tel­tu yk­si­no­maan uhkien ha­vait­se­mi­seen, minkä vuoksi te­hok­kaa­seen hyök­käys­ten tor­jun­taan tarvitaan li­sä­oh­jel­mis­to­ja.

Tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­mä ja Snortin esimerkki

Yksi tun­ne­tuim­mis­ta ja suo­si­tuim­mis­ta tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­mis­tä on Snort. Martin Roeschin vuonna 1998 kehittämä tie­to­tur­va­työ­ka­lu on paitsi alustojen välinen ja avoimen läh­de­koo­din oh­jel­mis­to, myös tarjoaa käyt­tä­jil­le kattavia suo­jaus­kei­no­ja tun­keu­tu­mi­sen es­to­jär­jes­tel­mä­nä. Ohjelma on saa­ta­vil­la il­mai­sek­si sekä mak­sul­li­se­na versiona, jossa esi­mer­kik­si päi­vi­tyk­set toi­mi­te­taan nopeammin.