Kas ir iebrukuma atklāšanas sistēma (IDS)?
Mūsdienīgās iebrukuma atklāšanas sistēmas efektīvi papildina tradicionālos ugunsmūrus. Tās nepārtraukti analizē un uzrauga sistēmas un visus tīklus reālajā laikā, identificējot potenciālos draudus un nekavējoties brīdinot administratorus. Faktiskais aizsardzības pasākumu īstenošana pret uzbrukumiem tiek veikta, izmantojot papildu programmatūru.
Kas slēpjas aiz IDS (iebrukuma atklāšanas sistēmas)?
Lai gan mūsdienu datoru un tīkla drošības sistēmas ir attīstītas, arī kiberuzbrukumi kļūst arvien izsmalcinātāki. Lai efektīvi aizsargātu jutīgu infrastruktūru, ir vērts apsvērt vairāku drošības pasākumu izmantošanu. Šajā kontekstā iebrukuma atklāšanas sistēma (IDS) ir lielisks ugunsmūra papildinājums. IDS izceļas ar uzbrukumu un potenciālo draudu agrīnu atklāšanu, nekavējoties brīdinot administratorus, kuri savukārt var veikt ātras aizsardzības darbības. Svarīgi, ka iebrukuma atklāšanas sistēma var identificēt arī uzbrukumus, kas, iespējams, ir pārvarējuši ugunsmūra aizsardzību.
Atšķirībā, piemēram, no iebrukuma novēršanas sistēmas, IDS pati neaizsargā pret uzbrukumiem. Tā vietā iebrukuma atklāšanas sistēma analizē visu darbību tīklā un salīdzina to ar konkrētiem modeļiem. Ja tiek konstatēta neparasta darbība, sistēma brīdina lietotāju un sniedz detalizētu informāciju par uzbrukuma izcelsmi un raksturu.
Lai uzzinātu vairāk par atšķirībām starp iebrukuma atklāšanas un iebrukuma novēršanas sistēmām, skatiet mūsu atsevišķo rakstu par šo tēmu.
Kādi ir iebrukuma atklāšanas sistēmu veidi?
Iebrukuma atklāšanas sistēmas iedala trīs veidos: uz servera balstītās (HIDS), uz tīkla balstītās (NIDS) vai hibrīdās sistēmas, kas apvieno HIDS un NIDS principus.
HIDS: Uz serveri balstītas iebrukuma atklāšanas sistēmas
Uz servera balstītā iebrukuma atklāšanas sistēma ir senākā drošības sistēmas forma. Šajā gadījumā IDS tiek instalēta tieši attiecīgajā sistēmā. Tā analizē datus gan žurnāla, gan kodola līmenī, pārbaudot arī citus sistēmas failus. Lai nodrošinātu autonomu darbstaciju izmantošanu, uz servera bāzētā iebrukuma atklāšanas sistēma izmanto uzraudzības aģentus, kas iepriekš filtrē datplūsmu un nosūta rezultātus centrālajam serverim. Lai gan tā ir ļoti precīza un visaptveroša, tā var būt neaizsargāta pret tādiem uzbrukumiem kā DoS un DDoS. Turklāt tā ir atkarīga no konkrētās operētājsistēmas.
NIDS: Tīkla iebrukuma atklāšanas sistēmas
Tīkla iebrukuma atklāšanas sistēma analizē tīklā apmainītos datu paketes, nekavējoties identificējot neparastas vai neparastas tendences, par kurām tiek sniegts ziņojums. Tomēr liela datu apjoma apstrāde var būt sarežģīta, potenciāli pārslodzot iebrukuma atklāšanas sistēmu un traucējot nepārtrauktu uzraudzību.
Hibrīdās iebrukuma atklāšanas sistēmas
Mūsdienās daudzi piegādātāji izvēlas hibrīdas iebrukuma atklāšanas sistēmas, kurās apvienotas abas pieejas. Šīs sistēmas sastāv no uz serveriem balstītiem sensoriem, uz tīklu balstītiem sensoriem un centrālās pārvaldības slāņa, kurā tiek apkopoti rezultāti padziļinātai analīzei un kontrolei.
IDS mērķis un priekšrocības
Iebrukuma atklāšanas sistēmu nekad nedrīkst uzskatīt par ugunsmūra aizstājēju vai izmantot šādā nolūkā. Tā drīzāk ir lielisks papildinājums, kas kopā ar ugunsmūri ļauj efektīvāk identificēt draudus. Tā kā iebrukuma atklāšanas sistēma spēj analizēt pat OSI modeļa augstāko slāni, tā spēj atklāt jaunus un iepriekš nezināmus apdraudējuma avotus, pat ja ugunsmūra aizsardzība ir pārvarēta.
Kā darbojas iebrukuma atklāšanas sistēma
Hibrīda modelis ir visizplatītākais iebrukuma atklāšanas sistēmu veids, kurā tiek izmantotas gan uz serveri, gan uz tīklu balstītas pieejas. Savāktā informācija tiek analizēta centrālajā pārvaldības sistēmā, izmantojot trīs atšķirīgas sastāvdaļas.
Datu monitors
Datu monitors ar sensoru palīdzību vāc visus atbilstošos datus un filtrē tos atbilstoši to nozīmīgumam. Tas ietver datus no servera puses, tostarp žurnālu failus un sistēmas informāciju, kā arī datu paketes, kas tiek pārraidītas tīklā. Starp citu, IDS apkopo un sistematizē avota un galamērķa adreses, kā arī citus būtiskus atribūtus. Būtiska prasība ir, lai vāktie dati nāktu no uzticama avota vai tieši no iebrukuma atklāšanas sistēmas, lai nodrošinātu datu integritāti un novērstu iepriekšēju manipulāciju.
Analizators
Iebrukuma atklāšanas sistēmas otrais komponents ir analizators, kura uzdevums ir izvērtēt visus saņemtos un iepriekš filtrētos datus, izmantojot dažādus modeļus. Šī izvērtēšana notiek reāllaikā, kas var radīt īpaši lielu slodzi procesoram un galvenajai atmiņai. Lai nodrošinātu ātru un precīzu analīzi, ir nepieciešama pietiekama jauda. Šim nolūkam analizators izmanto divas atšķirīgas metodes:
- Pārkāpumu atklāšana: Pārkāpumu atklāšanas procesā analizators rūpīgi pārbauda ienākošos datus, meklējot atpazīstamus uzbrukumu modeļus, kas ir saglabāti īpašā datu bāzē, kura tiek regulāri atjaunināta. Ja uzbrukums atbilst iepriekš reģistrētai parakstai, to var identificēt jau agrīnā stadijā. Tomēr šī metode nav efektīva, lai atklātu uzbrukumus, kas sistēmai vēl nav zināmi.
- Anomāliju atklāšana: Anomāliju atklāšana ietver visas sistēmas novērtēšanu. Ja viens vai vairāki procesi atkāpjas no noteiktām normām, šādas anomālijas tiek atzīmētas. Piemēram, ja procesora slodze pārsniedz noteiktu slieksni vai ja tiek novērots neparasts lapu apmeklējumu pieaugums, tiek izraisīts brīdinājums. Izlaušanās atklāšanas sistēma var arī analizēt dažādu notikumu hronoloģisko secību, lai identificētu nezināmus uzbrukumu modeļus. Tomēr ir svarīgi atzīmēt, ka dažos gadījumos var tikt ziņots arī par nekaitīgām anomālijām.
Brīdināšana
Iebrukuma atklāšanas sistēmas trešais un pēdējais komponents ir paša brīdinājuma sniegšana. Ja tiek konstatēts uzbrukums vai vismaz kādas novirzes, sistēma par to informē administratoru. Šo paziņojumu var nosūtīt pa e-pastu, izraisot vietējo trauksmi vai nosūtot ziņojumu uz viedtālruni vai planšetdatoru.
Kādi ir iebrukuma signalizācijas sistēmas trūkumi?
Lai gan iebrukuma atklāšanas sistēmas uzlabo drošību, tām, kā jau minēts iepriekš, ir arī trūkumi. Uz serveri balstītās IDS var būt neaizsargātas pret DDoS uzbrukumiem, savukārt tīkla sistēmām var rasties grūtības lielākās tīkla konfigurācijās, kā rezultātā tās var nepamanīt datu paketes. Atkarībā no konfigurācijas anomāliju atklāšana var izraisīt viltus trauksmes. Turklāt visas IDS ir paredzētas vienīgi draudu atklāšanai, tāpēc efektīvai aizsardzībai pret uzbrukumiem ir nepieciešama papildu programmatūra.
Iebrukuma atklāšanas sistēma un Snort piemērs
Viena no vislabāk zināmajām un populārākajām iebrukuma atklāšanas sistēmām ir Snort. Šis drošības rīks, ko 1998. gadā izstrādāja Martins Roeschs, ir ne tikai daudzplatformas un atvērtā koda, bet kā iebrukuma novēršanas sistēma lietotājiem piedāvā arī plašus aizsardzības pasākumus. Programma ir pieejama gan bez maksas, gan maksas versijā, kurā, piemēram, atjauninājumi tiek nodrošināti ātrāk.