Mikä on tun­keu­tu­mi­se­nes­to­jär­jes­tel­mä?

Tun­keu­tu­mi­se­nes­to­jär­jes­tel­män (IPS) li­sää­mi­nen pa­lo­muu­riin on järkevä ratkaisu. Se yhdistää tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­män (IDS) valvonta- ja ana­ly­soin­ti­toi­min­not, mutta sen eri­tyis­piir­re on kyky torjua ja estää uhkia en­na­koi­vas­ti.

Mitä IPS tar­koit­taa?

Useim­mil­le käyt­tä­jil­le palomuuri on hyväksi todettu tapa suojata omaa jär­jes­tel­mää tai verkkoa ul­ko­puo­lel­ta tulevilta hyök­käyk­sil­tä. Sopiva tun­keu­tu­mi­se­nes­to­jär­jes­tel­mä (IPS) on suo­si­tel­ta­va lisä tähän suo­jaus­me­ka­nis­miin. Jär­jes­tel­mä toimii kahdessa vaiheessa. En­sin­nä­kin se suorittaa tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­män (IDS) tehtäviä ja valvoo joko isäntää, verkkoa tai molempia tun­nis­taak­seen nopeasti lu­vat­to­mat toiminnot luomalla malleja ja ver­taa­mal­la niitä re­aa­liai­kai­seen lii­ken­tee­seen. Toinen vaihe astuu kuvaan, kun tun­keu­tu­mi­se­nes­to­jär­jes­tel­mä tunnistaa uhan, jolloin se voi käyn­nis­tää asian­mu­kai­set vas­ta­toi­men­pi­teet.

Tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­män ja tun­keu­tu­mi­sen es­to­jär­jes­tel­män ero on siinä, että tun­keu­tu­mi­sen es­to­jär­jes­tel­mä lähettää vain va­roi­tuk­sen jär­jes­tel­män­val­vo­jal­le. Tun­keu­tu­mi­sen es­to­jär­jes­tel­mä puo­les­taan puuttuu ak­tii­vi­ses­ti asiaan, estää da­ta­pa­ket­te­ja tai katkaisee haa­voit­tu­vat yhteydet. En­sin­nä­kin on tärkeää, että tun­keu­tu­mi­sen es­to­jär­jes­tel­mä on mää­ri­tet­ty asian­mu­kai­ses­ti, jotta kaikki uhat torjutaan työn­kul­kua hait­taa­mat­ta. Lisäksi tiivis yhteistyö tun­keu­tu­mi­sen es­to­jär­jes­tel­män ja pa­lo­muu­rin välillä on rat­kai­se­van tärkeää op­ti­maa­li­sen suojan kannalta. Tyy­pil­li­ses­ti tun­keu­tu­mi­sen es­to­jär­jes­tel­mä si­joi­te­taan suoraan pa­lo­muu­rin taakse, ja se käyttää antureita jär­jes­tel­mä­tie­to­jen ja verk­ko­pa­ket­tien pe­rus­teel­li­seen ar­vioin­tiin.

Millaisia tun­keu­tu­mi­se­nes­to­jär­jes­tel­miä on olemassa?

Tun­keu­tu­mi­se­nes­to­jär­jes­tel­miä on erilaisia, ja ne eroavat toi­sis­taan pää­asias­sa si­joi­tus­pai­kan suhteen.

• Isän­tä­poh­jai­set tun­keu­tu­mi­se­nes­to­jär­jes­tel­mät: Isän­tä­poh­jai­set tun­keu­tu­mi­se­nes­to­jär­jes­tel­mät (HIPS) asen­ne­taan suoraan yk­sit­täi­siin pää­te­lait­tei­siin, joissa ne valvovat yk­si­no­maan saapuvia ja lähteviä tietoja. Tämän vuoksi niiden ak­tii­vi­set puo­lus­tuso­mi­nai­suu­det ra­joit­tu­vat siihen lait­tee­seen, johon ne on asennettu. HIPS-jär­jes­tel­miä käytetään usein yhdessä laa­jem­pien tie­to­tur­va­me­ne­tel­mien kanssa, jolloin isän­tä­poh­jai­nen tun­keu­tu­mi­se­nes­to­jär­jes­tel­mä toimii vii­mei­se­nä puo­lus­tus­lin­ja­na.
• Verk­ko­poh­jai­set tun­keu­tu­mi­se­nes­to­jär­jes­tel­mät: Verk­ko­poh­jai­set IPS**-jär­jes­tel­mät**(NIPS) si­joi­te­taan stra­te­gi­ses­ti useisiin paik­koi­hin verkossa, jotta ne voivat tark­kail­la verkossa liikkuvaa suurta määrää da­ta­pa­ket­te­ja. Ne voidaan ottaa käyttöön eril­li­sil­lä lait­teil­la tai pa­lo­muu­rien sisällä. Tämä ko­koon­pa­no mah­dol­lis­taa verkkoon kyt­ket­ty­jen kaikkien jär­jes­tel­mien kattavan skan­nauk­sen ja suo­jauk­sen.
• Lan­gat­to­mat tun­keu­tu­mi­se­nes­to­jär­jes­tel­mät: WIPS (Wireless Intrusion Pre­ven­tion System) on suun­ni­tel­tu eri­tyi­ses­ti toimimaan WLAN-verkossa. Jos verkkoon yritetään tunkeutua luvatta, IPS paikantaa kyseisen laitteen ja poistaa sen ym­pä­ris­tös­tä.
• Käyt­täy­ty­mi­seen pe­rus­tu­vat tun­keu­tu­mi­se­nes­to­jär­jes­tel­mät: Verkkojen käyt­täy­ty­mi­sa­na­lyy­siä (NBA) suo­si­tel­laan DDoS-hyök­käys­ten tor­ju­mi­seen. Se tarkistaa kaiken da­ta­lii­ken­teen ja pystyy siten ha­vait­se­maan ja estämään hyök­käyk­set etukäteen.

Miten tun­keu­tu­mi­se­nes­to­jär­jes­tel­mä toimii?

Tun­keu­tu­mi­se­nes­to­jär­jes­tel­män tehtävään kuuluu kaksi pää­asial­lis­ta osa-aluetta. En­sin­nä­kin sen on tun­nis­tet­ta­va, suo­da­tet­ta­va, ana­ly­soi­ta­va ja ra­por­toi­ta­va mah­dol­li­set uhat, mikä vastaa olen­nai­ses­ti tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­män toimintaa. Lisäksi tun­keu­tu­mi­se­nes­to­jär­jes­tel­mä ryhtyy uhkien ilmetessä en­na­koi­viin toi­men­pi­tei­siin ja käyn­nis­tää omat tor­jun­ta­toi­men­sa. Mo­lem­mis­sa ti­lan­teis­sa IPS:llä on käy­tet­tä­vis­sään useita erilaisia me­ne­tel­miä.

IPS-ana­lyy­si­me­ne­tel­mät

• Poik­kea­mien ha­vait­se­mi­nen: Poik­kea­mien ha­vait­se­mi­ses­sa verrataan verkon tai pää­te­lait­teen käyt­täy­ty­mis­tä ennalta mää­ri­tel­tyyn stan­dar­diin. Mer­kit­tä­vät poik­kea­mat tästä stan­dar­dis­ta saavat tun­keu­tu­mi­se­nes­to­jär­jes­tel­män ryhtymään tar­vit­ta­viin vas­ta­toi­miin. Kon­fi­gu­raa­tios­ta riippuen tämä menetelmä voi kuitenkin aiheuttaa myös runsaasti vääriä hä­ly­tyk­siä. Myös tästä syystä ny­ky­ai­kai­set jär­jes­tel­mät hyö­dyn­tä­vät yhä enemmän tekoälyä virheiden määrän vä­hen­tä­mi­sek­si mer­kit­tä­väs­ti.
• Vää­rin­käy­tön ha­vait­se­mi­nen: Tässä me­ne­tel­mäs­sä da­ta­pa­ket­te­ja tar­kas­tel­laan tun­net­tu­jen hyök­käys­muo­to­jen varalta. Tämän tyyppinen tun­keu­tu­mi­se­nes­to­jär­jes­tel­mä osoittaa vahvoja ha­vait­se­mi­sas­tei­ta va­kiin­tu­neil­le uhkille ja tunnistaa ne suurella var­muu­del­la. Se on kuitenkin vähemmän tehokas uusia, aiemmin tun­nis­ta­mat­to­mia hyök­käyk­siä vastaan.
• Käy­tän­töi­hin perustuva IPS: Käy­tän­töi­hin pe­rus­tu­vaa tun­keu­tu­mi­se­nes­to­jär­jes­tel­mää käytetään harvemmin kuin kahta edellä mainittua me­ne­tel­mää. Tämän lä­hes­ty­mis­ta­van to­teut­ta­mi­sek­si on ensin mää­ri­tet­tä­vä yk­si­löl­li­set ja tarkat tie­to­tur­va­käy­tän­nöt. Nämä käytännöt toimivat perustana vastaavan jär­jes­tel­män val­von­nal­le.

IPS:n suo­ja­me­ka­nis­mit

Tun­keu­tu­mi­se­nes­to­jär­jes­tel­mä toimii re­aa­lia­jas­sa häi­rit­se­mät­tä tie­don­siir­toa. Kun uhka havaitaan aiemmin ku­vat­tu­jen val­von­ta­me­ne­tel­mien avulla, IPS tarjoaa useita rea­goin­ti­vaih­toeh­to­ja. Vähemmän kriit­ti­sis­sä ti­lan­teis­sa se lähettää IDS:n tavoin il­moi­tuk­sen jär­jes­tel­män­val­vo­jal­le jat­ko­toi­men­pi­tei­tä varten. Va­ka­vam­mis­sa ta­pauk­sis­sa tun­keu­tu­mi­se­nes­to­jär­jes­tel­mä ryhtyy kuitenkin it­se­näi­siin toi­men­pi­tei­siin. Se voi katkaista ja nollata siir­to­rei­tit, estää lähteitä tai kohteita tai jopa hylätä da­ta­pa­ke­tit kokonaan.

Mitkä ovat tun­keu­tu­mi­se­nes­to­jär­jes­tel­män edut?

Tun­keu­tu­mi­se­nes­to­jär­jes­tel­män stra­te­gi­nen käyt­töön­ot­to tarjoaa käyt­tä­jil­le lukuisia etuja. Eri­tyi­ses­ti se parantaa yleistä tie­to­tur­vaa ha­vait­se­mal­la riskejä, jotka saat­tai­si­vat jäädä muilta työ­ka­luil­ta huo­maa­mat­ta. Esi­suo­da­tuk­sen avulla tun­keu­tu­mi­se­nes­to­jär­jes­tel­mä myös keventää muiden tie­to­tur­va­me­ka­nis­mien kuor­mi­tus­ta ja suojaa koko infra­struk­tuu­ria. Mää­ri­tys­vaih­toeh­to­jen avulla IPS-jär­jes­tel­mä voidaan rää­tä­löi­dä tarkasti vas­taa­maan erityisiä vaa­ti­muk­sia. Kun jär­jes­tel­mä on mää­ri­tet­ty oikein, se toimii it­se­näi­ses­ti, mikä säästää huo­mat­ta­vas­ti aikaa.

Mitkä ovat tun­keu­tu­mi­se­nes­to­jär­jes­tel­män haitat?

Oikein käy­tet­ty­nä tun­keu­tu­mi­se­nes­to­jär­jes­tel­mä parantaa verkon tie­to­tur­vaa huo­mat­ta­vas­ti. Tähän lä­hes­ty­mis­ta­paan liittyy kuitenkin myös joitakin mah­dol­li­sia haittoja. Aiemmin mai­nit­tu­jen poik­kea­vuuk­sien ja vää­rin­käy­tön ha­vait­se­mi­seen liit­ty­vien ra­joi­tus­ten lisäksi lait­teis­to­vaa­ti­muk­set ovat mer­kit­tä­vä huo­le­nai­he. Tun­keu­tu­mi­se­nes­to­jär­jes­tel­mät vaativat tyy­pil­li­ses­ti huo­mat­ta­via re­surs­se­ja, jotka kasvavat verkon koon kasvaessa. Siksi niiden to­del­li­nen arvo toteutuu vasta, kun niiden ka­pa­si­teet­ti vastaa verkon vaa­ti­muk­sia. Lisäksi kon­fi­gu­roin­ti voi olla haastavaa, eri­tyi­ses­ti muille kuin asian­tun­ti­joil­le. Epä­op­ti­maa­li­set kon­fi­gu­raa­tiot voivat johtaa verkko-ongelmiin.

DenyHosts: Paras hyök­käys­ten es­to­jär­jes­tel­mä brute force -hyök­käyk­siä vastaan

Brute force -hyök­käys­ten tor­jun­nas­sa DenyHosts on hyvä vaih­toeh­to. Tämä tun­keu­tu­mi­se­nes­to­jär­jes­tel­mä on kir­joi­tet­tu Python-kielellä ja se on avoimen läh­de­koo­din oh­jel­mis­to. Se valvoo SSH-kir­jau­tu­mis­yri­tyk­siä ja estää kyseiset osoitteet, jos epä­on­nis­tu­nei­ta kir­jau­tu­mis­yri­tyk­siä on liikaa. Tämä on De­ny­Host­sin vi­ral­li­nen GitHub-arkisto.