Kas yra įsi­lau­žimų pre­ven­ci­jos sistema?

Įdiegti įsi­lau­žimų pre­ven­ci­jos sistemą (IPS) kartu su ug­nia­sie­ne yra puikus spren­di­mas. Ji apjungia įsi­lau­žimų aptikimo sistemos (IDS) stebėjimo ir analizės funkcijas, tačiau iš­si­ski­ria savo gebėjimu aktyviai kovoti su grėsmėmis ir jas atgrasyti.

Ką reiškia IPS?

Daugumai vartotojų ug­nia­sie­nė yra pa­tik­rin­tas ir iš­ban­dy­tas būdas apsaugoti savo sistemą ar tinklą nuo išorės atakų. Re­ko­men­duo­ja­ma šį apsaugos me­cha­niz­mą papildyti tinkama įsi­lau­žimų pre­ven­ci­jos sistema (IPS). Sistema veikia dviem etapais. Pirma, ji atlieka įsi­lau­žimų aptikimo sistemos (IDS) užduotis ir stebi kom­piu­te­rį, tinklą arba abu, kad galėtų greitai nustatyti neteisėtą veiklą, kurdama modelius ir lygindama juos su realaus laiko srautu. Antrasis etapas įsi­ga­lio­ja, kai įsi­lau­žimų pre­ven­ci­jos sistema nustato grėsmę – tuomet ji gali imtis ati­tin­ka­mų at­sa­ko­mų­jų priemonių.

Skirtumas tarp įsi­bro­vi­mo aptikimo sistemos ir įsi­bro­vi­mo pre­ven­ci­jos sistemos yra tas, kad įsi­bro­vi­mo pre­ven­ci­jos sistema tik siunčia įspėjimą ad­mi­nist­ra­to­riui. Tuo tarpu įsi­bro­vi­mo pre­ven­ci­jos sistema aktyviai įsikiša, blokuoja duomenų paketus arba nutraukia pa­žei­džia­mus ryšius. Pir­miau­sia svarbu, kad įsi­bro­vi­mo pre­ven­ci­jos sistema būtų tinkamai su­kon­fi­gū­ruo­ta, kad visos grėsmės būtų atremtos ne­truk­dant darbo eigai. Be to, norint už­tik­rin­ti optimalų apsaugos lygį, būtinas glaudus IPS ir ug­nia­sie­nės bend­ra­dar­bia­vi­mas. Paprastai įsi­bro­vi­mų pre­ven­ci­jos sistema įrengiama tiesiai už ug­nia­sie­nės ir naudoja jutiklius, kad išsamiai įvertintų sistemos duomenis bei tinklo paketus.

Kokios yra įsi­lau­žimų pre­ven­ci­jos sistemos?

Yra įvairių tipų įsi­lau­žimų pre­ven­ci­jos sistemų, kurios pir­miau­sia skiriasi savo diegimo vietomis.

• Kom­piu­te­ry­je įdiegtos įsi­lau­žimų pre­ven­ci­jos sistemos: Kom­piu­te­ry­je įdiegtos įsi­lau­žimų pre­ven­ci­jos sistemos (HIPS) yra įdie­gia­mos tie­sio­giai at­ski­ruo­se ga­li­niuo­se įren­gi­niuo­se, kur jos stebi tik įei­nan­čius ir iš­ei­nan­čius duomenis. Dėl to jų ak­ty­vio­sios gynybos galimybės ap­si­ri­bo­ja konkrečiu įrenginiu, kuriame jos yra įdiegtos. HIPS dažnai nau­do­ja­mos kartu su platesnio masto saugumo prie­mo­nė­mis, o kom­piu­te­ry­je įdiegta įsi­lau­žimų pre­ven­ci­jos sistema veikia kaip paskutinė gynybos linija.
• Tinklo pagrindu vei­kian­čios įsi­lau­žimų pre­ven­ci­jos sistemos: Tinklo pagrindu vei­kian­čios IPS (NIPS) yra stra­te­giš­kai iš­dės­ty­tos keliose tinklo vietose, kad galėtų atidžiai tikrinti didelį tinkle cir­ku­liuo­jan­čių duomenų paketų kiekį. Jos gali būti diegiamos per spe­cia­li­zuo­tus įren­gi­nius arba ug­nia­sie­nė­se. Toks kon­fi­gū­ra­vi­mas leidžia vi­sa­pu­siš­kai nu­skai­ty­ti ir apsaugoti visas prie tinklo pri­jung­tas sistemas.
• Belaidės įsi­lau­žimų pre­ven­ci­jos sistemos: WIPS (Wireless Intrusion Pre­ven­tion System) yra spe­cia­liai su­p­ro­jek­tuo­tos veikti WLAN tinkle. Neteisėto pri­si­jun­gi­mo atveju IPS nustato ati­tin­ka­mą įrenginį ir pašalina jį iš aplinkos.
• Elgesio įsi­lau­žimų pre­ven­ci­jos sistemos: Tinklo elgesio analizė (NBA) re­ko­men­duo­ja­ma kovai su DDoS atakomis. Ji tikrina visą duomenų srautą ir taip gali iš anksto aptikti bei užkirsti kelią atakoms.

Kaip veikia įsi­lau­žimų pre­ven­ci­jos sistema?

Įsi­lau­žimų pre­ven­ci­jos sistemos funkcijos apima du pag­rin­di­nius aspektus. Pirma, ji turi aptikti, iš anksto filtruoti, ana­li­zuo­ti ir pranešti apie galimas grėsmes – iš esmės tai panašu į įsi­lau­žimų aptikimo sistemą. Be to, įsi­lau­žimų pre­ven­ci­jos sistema imasi aktyvių veiksmų rea­guo­da­ma į grėsmę ir įgy­ven­din­da­ma savo pre­ven­ci­nes priemones. Abiem atvejais IPS turi savo dis­po­zi­ci­jo­je įvairių metodų.

IPS analizės metodai

• Anomalijų aptikimas: Anomalijų aptikimas apima tinklo arba galinio įrenginio elgsenos pa­ly­gi­ni­mą su iš anksto nustatytu standartu. Esant reikš­min­giems nu­kry­pi­mams nuo šio standarto, įsi­lau­žimų pre­ven­ci­jos sistema imasi ati­tin­ka­mų at­sa­ko­mų­jų priemonių. Tačiau, pri­klau­so­mai nuo kon­fi­gū­ra­ci­jos, šis metodas taip pat gali sukelti dažnus klai­din­gus pavojaus signalus. Dėl šios prie­žas­ties šiuo­lai­ki­nės sistemos vis dažniau pa­si­tel­kia dirbtinį intelektą, siekdamos žymiai sumažinti klaidų skaičių.
• Pikt­nau­džia­vi­mo aptikimas: Taikant šį metodą, duomenų paketai yra kruopš­čiai tikrinami, siekiant aptikti žinomas atakų formas. Šio tipo įsi­lau­žimų pre­ven­ci­jos sistema pasižymi aukštu aptikimo lygiu, kai kalbama apie žinomas grėsmes, ir jas iden­ti­fi­kuo­ja su dideliu tikslumu. Tačiau ji yra mažiau veiks­min­ga kovojant su naujomis, anksčiau ne­at­pa­žin­to­mis atakomis.
• Politika pagrįsta IPS: Politika pagrįsta įsi­bro­vi­mų pre­ven­ci­jos sistema yra rečiau naudojama, palyginti su dviem anksčiau aptartais metodais. Norint įgy­ven­din­ti šį metodą, pir­miau­sia reikia su­kon­fi­gū­ruo­ti unikalias ir spe­ci­fi­nes saugumo politikas. Šios politikos tarnauja kaip pagrindas ati­tin­ka­mos sistemos ste­bė­ji­mui.

IPS apsaugos me­cha­niz­mai

Įsi­lau­žimų pre­ven­ci­jos sistema veikia realiuoju laiku, ne­truk­dy­da­ma duomenų srautui. Kai grėsmė aptinkama naudojant anksčiau aprašytus stebėjimo metodus, IPS siūlo keletą reagavimo variantų. Mažiau kritinėse si­tu­aci­jo­se, panašiai kaip IDS, ji siunčia pranešimą ad­mi­nist­ra­to­riui, kad šis imtųsi tolesnių veiksmų. Tačiau sun­kes­niais atvejais įsi­lau­žimų pre­ven­ci­jos sistema imasi sa­va­ran­kiš­kų veiksmų. Ji gali nutraukti ir iš naujo nustatyti perdavimo maršrutus, blokuoti šaltinius ar pa­skir­ties vietas arba net visiškai atmesti duomenų paketus.

Kokie yra įsi­lau­žimų pre­ven­ci­jos sistemos pri­va­lu­mai?

Stra­te­gi­nis įsi­lau­žimų pre­ven­ci­jos sistemos įdiegimas var­to­to­jams suteikia daug privalumų. Visų pirma, ji padidina bendrą saugumą, nu­sta­ty­da­ma grėsmes, kurių kitos priemonės gali ne­pa­ste­bė­ti. Atlikdama iš­anks­ti­nį fil­t­ra­vi­mą, įsi­lau­žimų pre­ven­ci­jos sistema taip pat sumažina kitų saugumo me­cha­niz­mų naštą, už­tik­rin­da­ma visos inf­rastruk­tū­ros apsaugą. Kon­fi­gū­ra­ci­jos parinktys leidžia tiksliai pri­tai­ky­ti IPS prie konkrečių rei­ka­la­vi­mų. Sėkmingai su­kon­fi­gū­ruo­ta sistema veikia sa­va­ran­kiš­kai, todėl sutaupoma daug laiko.

Kokie yra įsi­lau­žimų pre­ven­ci­jos sistemos trūkumai?

Tinkamai naudojama įsi­lau­žimų pre­ven­ci­jos sistema žymiai padidina tinklo saugumą. Tačiau šis metodas turi ir tam tikrų trūkumų. Be anksčiau minėtų anomalijų ir netinkamo naudojimo aptikimo ap­ri­bo­ji­mų, didelį su­si­rū­pi­ni­mą kelia apa­ra­ti­nės įrangos rei­ka­la­vi­mai. Įsi­lau­žimų pre­ven­ci­jos sistemos paprastai rei­ka­lau­ja daug išteklių, o jų poreikis didėja kartu su tinklo dydžiu. Todėl jų tikroji vertė at­si­sklei­džia tik tada, kai jų pajėgumai atitinka tinklo poreikius. Be to, kon­fi­gū­ra­vi­mas gali būti su­dė­tin­gas, ypač ne spe­cia­lis­tams. Netinkama kon­fi­gū­ra­ci­ja gali sukelti tinklo problemų.

DenyHosts: geriausia apsauga nuo atakų „brute force“

Kovojant su „brute force“ tipo atakomis, „DenyHosts“ yra puikus pa­si­rin­ki­mas. Ši įsi­lau­žimų pre­ven­ci­jos sistema sukurta Python kalba ir yra atvirojo kodo. Ji stebi pri­si­jun­gi­mo per SSH bandymus ir blokuoja ati­tin­ka­mus adresus, jei jų bandymų skaičius viršija nustatytą ribą. Tai yra oficialus „DenyHosts“ GitHub rep­o­zi­to­riu­mas.