Если у вас возникли сложности с курсовой, контрольной, дипломной, рефератом, отчетом по практике, научно-исследовательской и любой другой работой - мы готовы помочь.
Предоплата всего
Подписываем
КУРСОВАЯ РАБОТА
На тему: Программно технические средства обнаружения сетевых атак на ЛВС.
Москва 2014
Оглавление.
Введение
1.1 Постановка задачи
1.2 Классификация сетевых атак
1.2.1 Классификация по уровню модели OSI
1.2.2 Классификация по типу
1.2.3 Классификация по местоположению злоумышленника
и атакуемого объекта
1.3 Анализ угроз сетевой безопасности
1.3.1 Проблема безопасности IP-сетей
1.3.2 Угрозы и уязвимости проводных корпоративных сетей
1.3.3Угрозы и уязвимости беспроводных сетей
1.4 Технологии обнаружения атак
1.4.1 Методы анализа сетевой информации
1.4.2 Классификация систем обнаружения атак IDS
1.4.3 Компоненты и архитектура IDS
1.4.4 Методы реагирования
Вывод
2.1 Концепция XSpider 7 2.2 Ключевые особенности
2.2.1 Особенности сканирующего ядра
2.2.2 Надежность 2.3 Иллюстрации интерфейса XSpider 7.8 2.4 Автоматизация
Вывод
Заключение
Использованные источники информации и литература
Введение.
Сетевые и информационные технологии меняются настолько быстро, что статичные защитные механизмы, к которым отно сятся системы разграничения доступа, МЭ, системы аутентифи кации во многих случаях не могут обеспечить эффективной за щиты. Поэтому требуются динамические методы, позволяющие оперативно обнаруживать и предотвращать нарушения безопас ности. Одной из технологий, позволяющей обнаруживать нару шения, которые не могут быть идентифицированы при помощи традиционных моделей контроля доступа, является технология обнаружения атак.
1.1. Постановка задачи.
Целью курсовой работы является технология обнаружения атак, проблема безопасности IP-сетей. Рассмотреть виды сетевых атак. Воспользоваться рекомендуемой литературой. Рассказать о компонентах и архитектуре IDS. Рассмотреть вопрос об угрозах проводных и беспроводных сетей.
1.2 Классификация сетевых атак.
Существует множество критериев, по которым можно классифицировать сетевые атаки. Приведем некоторые из них.
1.2.1 Классификация по уровню модели OSI.
1) Атаки на физическом уровне – используют физические особенности каналов передачи информации.
Примеры:
- установка злоумышленником передатчика, заглушающего сигнал от Wi-Fi точки доступа, с целью нарушить работу беспроводной сети;
- установка злоумышленником точки доступа, сигнал от которой будет мощнее, чем сигнал от точки доступа атакуемой сети (чтобы заставить беспроводных клиентов подключиться к точке доступа злоумышленника и похитить какую-либо информацию);
- съём информации с кабеля посредством анализа электромагнитного излучения;
- нарушение физической целостности кабелей и оборудования
2) Атаки на канальном уровне – используют информацию из заголовка канального уровня
Примеры:
- MAC spoofing - подделка MAC-адреса в отправляемых пакетах (например, с целью незаконного подключения к беспроводной сети, если точка доступа использует проверку клиентов по их MAC адресам);
- взлом протокола шифрования беспроводных сетей WEP
3) Атаки на сетевом уровне – используют протоколы сетевого уровня (IP, ICMP, ARP, протоколы маршрутизации).
Примеры:
- IP spoofing - подделка IP-адреса в отправляемых пакетах (как правило, используется для прохода через брандмауэр и получения несанкционированного доступа к компьютеру. Также может использоваться злоумышленником для маскировки своего истинного IP-адреса, с целью обеспечить свою безопасность от преследования);
- ARP spoofing
- ICMP Redirect
- Атака на протоколы маршрутизации
- Атака «отказ в обслуживании» типа ICMP flood
4) Атаки на транспортном уровне - используют протоколы транспортного уровня (TCP, UDP).
Примеры:
- сканирование с целью выявления открытых портов;
- Атаки «отказ в обслуживании» типа TCP flood, UDP flood
- Атака TCP Hijacking
5) Атаки на прикладном уровне
Это самая многочисленная группа атак. К ним относятся внедрение вирусов и троянских программ на атакуемый компьютер, использование уязвимостей ОС и прикладных программ, подбор паролей, атаки на веб-приложения типа XSS (Cross-Site Scripting) и SQL Injection.
1.2.2 Классификация по типу.
По типу все атаки подразделяются на активные и пассивные. К пассивной атаке относится прослушивание некоммутируемой сети с помощью сниффера, без применения каких-либо дополнительных методов и средств (таких, как, ARP spoofing). В этом случае злоумышленник не предпринимает никаких активных действий, не вмешивается в работу атакуемой системы, а просто наблюдает за передаваемым трафиком. Соответственно, все остальные атаки, требующие от злоумышленника вмешательства в работу атакуемого компьютера, относятся к классу активных атак.
1.2.3 Классификация по местоположению злоумышленника и атакуемого объекта.
Можно выделить следующие разновидности:
1) злоумышленник и атакуемый объект находятся внутри одного сегмента локальной сети (например, районной локальной сети провайдера или корпоративной локальной сети организации). Компьютеру злоумышленника и атакуемому объекту присваиваются IP-адреса из одного диапазона. В этом случае злоумышленнику проще всего осуществить атаку.
2) злоумышленник и атакуемый объект находятся в разных сегментах одной локальной сети, соединенных маршрутизатором. Компьютеру злоумышленника и атакуемому объекту присваиваются IP-адреса из разных диапазонов (например, 192.168.1.1 и 192.168.2.2). Сложность осуществления атаки при таком расположении атакующего и жертвы выше, чем в первом случае.
3) злоумышленник и атакуемый объект находятся в разных локальных сетях, соединенных через Интернет. Это наиболее сложный для злоумышленника случай, поскольку благодаря технологии NAT внутренняя структура атакуемой сети не видна, а виден только внешний IP-адрес.
4) Атака осуществляется из локальной сети на сервер с внешним IP-адресом. С одной стороны, проведение такой атаки кажется довольно простым делом, поскольку сервер имеет внешний IP-адрес, общедоступен и обязан принимать и обслуживать запросы от клиентских приложений. С другой стороны, сервер почти всегда хорошо защищен с помощью межсетевых экранов и систем обнаружения вторжений, имеет мощное аппаратное обеспечение и, как правило, обслуживается целой командой грамотных специалистов по ИТ-безопасности.
Механизм функционирования системы обнаружения атак на уровне сети состоит из 4 основных этапов:
В зависимости от того, откуда берутся данные для анализа (с сетевой карты, с компонентов сетевого оборудования или из журнала регистрации), часть, отвечающая за захват пакетов, может быть реализована по-разному, но все остальные части (фильтрация, распознавание и реагирование) остаются без изменения.
Программное обеспечение системы обнаружения атак состоит из следующих частей:
1.3 Анализ угроз сетевой безопасности.
Для организации коммуникаций в неоднородной сетевой среде применяется набор протоколов TCP/IP, обеспечивая со вместимость между компьютерами разных типов. Совмести мость — одно из основных преимуществ TCP/IP, поэтому боль шинство компьютерных сетей поддерживает эти протоколы. Кроме того, протоколы TCP/IP предоставляют доступ к ресур сам глобальной сети Интернет.
Благодаря своей популярности TCP/IP стал стандартом де-факто для межсетевого взаимодействия. Однако повсеместное распространение стека протоколов TCP/IP обнажило и его сла бые стороны. Создавая свое детище, архитекторы стека TCP/IP не видели причин для беспокойства о защите сетей, строящихся на его основе. Поэтому в спецификациях ранних версий прото кола IP отсутствовали требования безопасности, что привело к изначальной уязвимости реализации этого протокола.
Проблемы обеспечения информационной безопасности в корпоративных компьютерных сетях обусловлены угрозами безопасности для локальных рабочих станций, локальных сетей и атаками на корпоративные сети, имеющими выход в общедос тупные сети передачи данных.
Распределенные системы подвержены прежде всего удален ным атакам, поскольку компоненты распределенных систем обычно используют открытые каналы передачи данных, и нару шитель может не только проводить пассивное прослушивание пе редаваемой информации, но и модифицировать передаваемый трафик (активное воздействие). И если активное воздействие на трафик может быть зафиксировано, то пассивное воздействие практически не поддается обнаружению. Но поскольку в ходе функционирования распределенных систем обмен служебной ин формацией между компонентами системы осуществляется тоже по открытым каналам передачи данных, то служебная информа ция становится таким же объектом атаки, как и данные пользова теля.
Наиболее распространены следующие атаки.
Подслушивание (sniffing). В основном данные по компьютер ным сетям передаются в незащищенном формате (открытым тек стом), что позволяет злоумышленнику, получившему доступ к линиям передачи данных в сети подслушивать или считывать трафик. Для подслушивания в компьютерных сетях используют сниффер. Сниффер пакетов представляет собой прикладную программу, которая перехватывает все сетевые пакеты, передаваемые через определенный домен. В настоящее время снифферы работают в сетях на вполне за конном основании. Они используются для диагностики неис правностей и анализа трафика. Однако ввиду того, что некото рые сетевые приложения передают данные в текстовом формате (Telnet, FTP, SMTP, POP3 и т. д.), с помощью сниффера можно узнать полезную, а иногда и конфиденциальную информацию (например, имена пользователей и пароли).
Перехват пароля, передаваемого по сети в незашифрованной форме, путем «подслушивания» канала является разновидностью атаки подслушивания, которую называют password sniffing. Пере хват имен и паролей создает большую опасность, так как поль зователи часто применяют один и тот же логин и пароль для множества приложений и систем. Многие пользователи вообще имеют один пароль для доступа ко всем ресурсам и приложени ям. Если приложение работает в режиме клиент/сервер, а аутен тификационные данные передаются по сети в читаемом тексто вом формате, эту информацию с большой вероятностью можно использовать для доступа к другим корпоративным или внеш ним ресурсам.
Изменение данных. Злоумышленник, получивший возмож ность прочитать ваши данные, сможет сделать и следующий шаг — изменить их. Данные в пакете могут быть изменены, даже если злоумышленник ничего не знает ни об отправителе, ни о получателе. Даже если вы не нуждаетесь в строгой конфиденци альности всех передаваемых данных, то наверняка не захотите, чтобы они были изменены по пути.
Анализ сетевого трафика. Целью атак подобного типа являет ся прослушивание каналов связи и анализ передаваемых данных и служебной информации для изучения топологии и архитекту ры построения системы, получения критической пользователь ской информации (например, паролей пользователей или номе ров кредитных карт, передаваемых в открытом виде). Атакам этого типа подвержены такие протоколы, как FTP или Telnet, особенностью которых является то, что имя и пароль пользова теля передаются в рамках этих протоколов в открытом виде.
Подмена доверенного субъекта. Большая часть сетей и ОС ис пользуют IP-адрес компьютера, для того чтобы определять, тот ли это адресат, который нужен. В некоторых случаях возможно некорректное присвоение IP-адреса (подмена IP-адреса отпра вителя другим адресом). Такой способ атаки называют фальси фикацией адреса (IP-spoofing).
IP-спуфинг имеет место, когда злоумышленник, находящий ся внутри корпорации или вне ее, выдает себя за законного поль зователя. Он может воспользоваться IP-адресом, находящимся в пределах диапазона санкционированных IP-адресов, или автори зованным внешним адресом, которому разрешается доступ к оп ределенным сетевым ресурсам. Злоумышленник может также ис пользовать специальные программы, формирующие IP-пакеты таким образом, чтобы они выглядели как исходящие с разрешен ных внутренних адресов корпоративной сети.
Атаки IP-спуфинга часто становятся отправной точкой для других атак. Классическим примером является атака типа «отказ в обслуживании» (DoS), которая начинается с чужого адреса, скрывающего истинную личность хакера.
Угрозу спуфинга можно ослабить (но не устранить) с помо щью правильной настройки управления доступом из внешней сети, пресечения попыток спуфинга чужих сетей пользователями своей сети.
Следует иметь в виду, что IP-спуфинг может быть осуществ лен при условии, что аутентификация пользователей произво дится на базе IP-адресов, поэтому атаки IP-спуфинга можно предотвратить путем введения дополнительных методов аутенти фикации пользователей (на основе одноразовых паролей или других методов криптографии).
Посредничество. Эта атака подразумевает активное подслу шивание, перехват и управление передаваемыми данными неви димым промежуточным узлом. Когда компьютеры взаимодейст вуют на низких сетевых уровнях, они не всегда могут опреде лить, с кем именно они обмениваются данными.
Посредничество в обмене незашифрованными ключами (атака man-in-the-middle). Для проведения атаки man-in-the-middle (человек-в-середине) злоумышленнику нужен доступ к пакетам, пе редаваемым по сети. Такой доступ ко всем пакетам, передавае мым от провайдера ISP в любую другую сеть, может, например, получить сотрудник этого провайдера. Для атак этого типа часто используются снифферы пакетов, транспортные протоколы и протоколы маршрутизации. Атаки man-in-the-middle проводятся с целью кражи инфор мации, перехвата текущей сессии и получения доступа к частным сетевым ресурсам, для анализа трафика и получения информа ции о сети и ее пользователях, для проведения атак типа DoS, искажения передаваемых данных и ввода несанкционированной информации в сетевые сессии.
Перехват сеанса (session hijacking). По окончании начальной процедуры аутентификации соединение, установленное закон ным пользователем, например с почтовым сервером, переключа ется злоумышленником на новый хост, а исходному серверу вы дается команда разорвать соединение. В результате «собеседник» законного пользователя оказывается незаметно подмененным.
После получения доступа к сети атакующий злоумышленник может:
Отказ в обслуживании (Denial of Service, DoS). Эта атака от личается от атак других типов: она не нацелена на получение доступа к сети или на получение из этой сети какой-либо ин формации. Атака DoS делает сеть организации недоступной для обычного использования за счет превышения допустимых пре делов функционирования сети, ОС или приложения. По сущест ву, она лишает обычных пользователей доступа к ресурсам или компьютерам сети организации.Большинство атак DoS опирается на общие слабости систем ной архитектуры. В случае использования некоторых серверных приложений (таких как web-сервер или FTP-сервер) атаки DoS могут заключаться в том, чтобы занять все соединения, доступ ные для этих приложений, и держать их в занятом состоянии, не допуская обслуживания обычных пользователей.
Парольные атаки. Их цель — завладение паролем и логином законного пользователя. Злоумышленники могут проводить па рольные атаки, используя такие методы, как:
Часто хакеры пытаются подобрать пароль и логин, используя для этого многочисленные попытки доступа. Такой метод носит название атака полного перебора (brute force attack). Для этой атаки используется специальная программа, которая пытается получить доступ к ресурсу общего пользования (например, к серверу). Если в результате злоумышленнику удается подобрать пароль, он получает доступ к ресурсам на правах обычного поль зователя.
Атаки на уровне приложений могут проводиться несколькими способами.Самый распространенный из них состоит в использовании известных слабостей серверного ПО (FTP, HTTP, web-сервера).
Главная проблема с атаками на уровне приложений состоит в том, что они часто пользуются портами, которым разрешен про ход через межсетевой экран. Сведения об атаках на уровне при ложений широко публикуются, чтобы дать возможность админи страторам исправить проблему с помощью коррекционных моду лей (патчей). К сожалению, многие хакеры также имеют доступ к этим сведениям, что позволяет им учиться.
Здесь важно осуществлять хорошее системное администри рование. Чтобы снизить уязвимость от атак этого типа, можно предпринять следующие меры:
Сетевая разведка — это сбор информации о сети с помощью общедоступных данных и приложений. При подготовке атаки против какой-либо сети хакер, как правило, пытается получить о ней как можно больше информации.
Сетевая разведка проводится в форме запросов DNS, эхо-тес тирования (ping sweep) и сканирования портов. Запросы DNS помогают понять, кто владеет тем или иным доменом и какие ад реса этому домену присвоены. Эхо-тестирование адресов, рас крытых с помощью DNS, позволяет увидеть, какие хосты реаль но работают в данной среде. Получив список хостов, хакер ис пользует средства сканирования портов, чтобы составить полный список услуг, поддерживаемых этими хостами. В результате до бывается информация, которую можно использовать для взлома.
Системы IDS на уровне сети и хостов обычно хорошо справ ляются с задачей уведомления администратора о ведущейся се тевой разведке, что позволяет лучше подготовиться к предстоя щей атаке и оповестить провайдера (ISP), в сети которого уста новлена система, проявляющая чрезмерное любопытство.
Компьютерные вирусы, сетевые «черви», программа «троянский конь». Вирусы представляют собой вредоносные программы, ко торые внедряются в другие программы для выполнения опреде ленной нежелательной функции на рабочей станции конечного пользователя. Вирус обычно разрабатывается злоумышленника ми таким образом, чтобы как можно дольше оставаться необна руженным в компьютерной системе. Начальный период «дремо ты» вирусов является механизмом их выживания. Вирус прояв ляется в полной мере в конкретный момент времени, когда происходит некоторое событие вызова, например пятница 13-е, известная дата и т. п.
К компьютерным вирусам примыкают так называемые «тро янские кони» (троянские программы). «Троянский конь» — это программа, которая имеет вид полезного приложения, а на деле выполняет вредные функции (разрушение ПО, копирование и пересылка злоумышленнику файлов с конфиденциальными дан ными и т. п.). Опасность «троян ского коня» заключается в дополнительном блоке команд, встав ленном в исходную безвредную программу, которая затем пре доставляется пользователям АС. Этот блок команд может сраба тывать при наступлении какого-либо условия (даты, состояния системы) либо по команде извне. Пользователь, запустивший та кую программу, подвергает опасности как свои файлы, так и всю АС в целом. Рабочие станции конечных пользователей очень уяз вимы для вирусов, сетевых «червей» и «троянских коней».
Перечисленные атаки на IP-сети возможны в результате:
Первые средства защиты передаваемых данных появились практически сразу после того, как уязвимость IP-сетей дала о себе знать на практике. Характерными примерами разработок в этой области могут служить: PGP/Web-of-Trust для шифрования сообщений электронной почты, Secure Sockets Layer (SSL) для защиты Web-трафика, Secure SHell (SSH) для защиты сеансов Telnet и процедур передачи файлов.
Общим недостатком подобных широко распространенных ре шений является их «привязанность» к определенному типу при ложений, а значит, неспособность удовлетворять тем разнообраз ным требованиям к системам сетевой защиты, которые предъяв ляют крупные корпорации или Internet-провайдеры.
Самый радикальный способ преодоления указанного ограни чения сводится к построению системы защиты не для отдельных классов приложений (пусть и весьма популярных), а для сети целом. Применительно к IP-сетям это означает, что системы за щиты должны действовать на сетевом уровне модели OSI.
На начальном этапе развития сетевых технологий ущерб от вирусных и других типов компьютерных атак был невелик, так как зависимость мировой экономики от информационных тех нологий была мала. В настоящее время в условиях значительной зависимости бизнеса от электронных средств доступа и обмена информацией и постоянно растущего числа атак ущерб от самых незначительных атак, приводящих к потерям машинного време ни, исчисляется миллионами долларов, а совокупный годовой ущерб мировой экономике составляет десятки миллиардов дол ларов. Информация, обрабатываемая в корпоративных сетях, явля ется особенно уязвимой, чему способствуют:
При построении беспроводных сетей также стоит проблема обеспечения их безопасности. Если в обычных сетях информа ция передается по проводам, то радиоволны, используемые для беспроводных решений, достаточно легко перехватить при нали чии соответствующего оборудования. Принцип действия беспро водной сети приводит к возникновению большого числа воз можных уязвимостей для атак и проникновений.
Главное отличие между проводными и беспроводными сетя ми — наличие неконтролируемой области между конечными точками беспроводной сети. Это позволяет атакующим, находя щимся в непосредственной близости от беспроводных структур, производить ряд нападений, которые невозможны в проводном мире.
При использовании беспроводного доступа к локальной сети угрозы безопасности существенно возрастают .
Перечислим основные уязвимости и угрозы беспроводных сетей.
Вещание радиомаяка. Точка доступа включает с определен ной частотой широковещательный радиомаяк, чтобы оповещать окрестные беспроводные узлы о своем присутствии. Эти широ ковещательные сигналы содержат основную информацию о точ ке беспроводного доступа, включая, как правило, SSID, и при глашают беспроводные узлы зарегистрироваться в данной облас ти. Любая рабочая станция, находящаяся в режиме ожидания, может получить SSID и добавить себя в соответствующую сеть. Вещание радиомаяка является «врожденной патологией» беспро водных сетей. Многие модели позволяют отключать содержа щую SSID часть этого вещания, чтобы несколько затруднить беспроводное подслушивание, но SSID, тем не менее, посылает ся при подключении, поэтому все равно существует небольшое окно уязвимости.
Подслушивание. Подслушивание ведут для сбора информа ции о сети, которую предполагается атаковать впоследствии. Пе рехватчик может использовать добытые данные для того, чтобы получить доступ к сетевым ресурсам. Оборудование, используе мое для подслушивания в сети, может быть не сложнее того, ко торое используется для обычного доступа к этой сети. Беспро водные сети по своей природе позволяют соединять с физиче ской сетью компьютеры, находящиеся на некотором расстоянии от нее, как если бы эти компьютеры находились непосредствен но в сети. Например, подключиться к беспроводной сети, распо лагающейся в здании, может человек, сидящий в машине на стоянке рядом. Атаку посредством пассивного прослушивания практически невозможно обнаружить.
Ложные точки доступа в сеть. Опытный атакующий может ор ганизовать ложную точку доступа с имитацией сетевых ресурсов. Абоненты, ничего не подозревая, обращаются к этой ложной точке доступа и сообщают ей свои важные реквизиты, например аутентификационную информацию. Этот тип атак иногда приме няют в сочетании с прямым «глушением» истинной точки досту па в сеть.
Отказ в обслуживании. Полную парализацию сети может вы звать атака типа DoS (Denial of Service) — отказ в обслуживании. Ее цель состоит в создании помехи при доступе пользователя к сетевым ресурсам. Беспроводные системы особенно восприим чивы к таким атакам. Физический уровень в беспроводной сети — абстрактное пространство вокруг точки доступа. Зло умышленник может включить устройство, заполняющее весь спектр на рабочей частоте помехами и нелегальным трафиком — такая задача не вызывает особых трудностей. Сам факт проведе ния DoS-атаки на физическом уровне в беспроводной сети труд но доказать.
Атаки типа «человек-в-середине». Атаки этого типа выполня ются на беспроводных сетях гораздо проще, чем на проводных, так как в случае проводной сети требуется реализовать опреде ленный вид доступа к ней. Обычно атаки «человек-в-середине» используются для разрушения конфиденциальности и целостно сти сеанса связи. Атаки MITM более сложные, чем большинство других атак: для их проведения требуется подробная информа ция о сети. Злоумышленник обычно подменяет идентификацию одного из сетевых ресурсов. Он использует возможность прослу шивания и нелегального захвата потока данных с целью измене ния его содержимого, необходимого для удовлетворения некото рых своих целей, например для спуфинга IP-адресов, изменения МАС-адреса для имитирования другого хоста и т. д.
Анонимный доступ в Интернет. Незащищенные беспроводные ЛВС обеспечивают хакерам наилучший анонимный доступ для атак через Интернет. Хакеры могут использовать незащищенную беспроводную ЛВС организации для выхода через нее в Интер нет, где они будут осуществлять противоправные действия, не оставляя при этом своих следов. Организация с незащищенной ЛВС формально становится источником атакующего трафика, нацеленного на другую компьютерную систему, что связано с потенциальным риском правовой ответственности за причинен ный ущерб жертве атаки хакеров [1-2].
По существу, процесс обнаружения атак является процессом оценки подозрительных действий, которые происходят в корпо ративной сети. Иначе говоря, обнаружение атак (intrusion detec tion) — это процесс идентификации и реагирования на подозри тельную деятельность, направленную на вычислительные или сетевые ресурсы.
1.4.1 Методы анализа сетевой информации.
Эффективность системы обнаружения атак во многом зави сит от применяемых методов анализа полученной информации. В первых системах обнаружения атак, разработанных в начале 1980-х гг., использовались статистические методы обнаружения атак. В настоящее время к статистическому анализу добавился ряд новых методик, начиная с экспертных систем и нечеткой логики и заканчивая использованием нейронных сетей.
Статистический метод. Основные преимущества статистиче ского подхода — использование уже разработанного и зареко мендовавшего себя аппарата математической статистики и адап тация к поведению субъекта.
Сначала для всех субъектов анализируемой системы опреде ляются профили. Любое отклонение используемого профиля от эталонного считается несанкционированной деятельностью. Статистические методы универсальны, поскольку для проведе ния анализа не требуется знания о возможных атаках и исполь зуемых ими уязвимостях. Однако при использовании этих мето дик возникают и проблемы:
Экспертные системы состоят из набора правил, которые охва тывают знания человека-эксперта. Использование экспертных систем представляет собой распространенный метод обнаруже ния атак, при котором информация об атаках формулируется в виде правил. Эти правила могут быть записаны, например, в виде последовательности действий или в виде сигнатуры. При выполнении любого из этих правил принимается решение о на личии несанкционированной деятельности. Важным достоинст вом такого подхода является практически полное отсутствие ложных тревог.
БД экспертной системы должна содержать сценарии боль шинства известных на сегодняшний день атак. Для того чтобы оставаться постоянно актуальными, экспертные системы требу ют постоянного обновления БД. Основным недостатком является невозможность отражения неизвестных атак. При этом даже небольшое изменение уже из вестной атаки может стать серьезным препятствием для функ ционирования системы обнаружения атак.
Нейронные сети. Большинство современных методов обнару жения атак используют некоторую форму анализа контролируе мого пространства на основе правил или статистического подхо да. В качестве контролируемого пространства могут выступать журналы регистрации или сетевой трафик. Анализ опирается на набор заранее определенных правил, которые создаются адми нистратором или самой системой обнаружения атак. Любое разделение атаки во времени или среди нескольких злоумышленников является трудным для обнаружения при по мощи экспертных систем. Из-за большого разнообразия атак и хакеров даже специальные постоянные обновления БД правил экспертной системы никогда не дадут гарантии точной иденти фикации всего диапазона атак.
Использование нейронных сетей является одним из спосо бов преодоления указанных проблем экспертных систем. В отли чие от экспертных систем, которые могут дать пользователю оп ределенный ответ о соответствии рассматриваемых характери стик заложенным в БД правилам, нейронная сеть проводит анализ информации и предоставляет возможность оценить, со гласуются ли данные с характеристиками, которые она научена распознавать. В то время как степень соответствия нейросетево- го представления может достигать 100 %, достоверность выбора полностью зависит от качества системы в анализе примеров по ставленной задачи.
Сначала нейросеть обучают правильной идентификации на предварительно подобранной выборке примеров предметной об ласти. Реакция нейросети анализируется и система настраивает ся таким образом, чтобы достичь удовлетворительных результа тов. В дополнение к начальному периоду обучения, нейросеть набирается опыта с течением времени, по мере того, как она проводит анализ данных, связанных с предметной областью.
Важным преимуществом нейронных сетей при обнаружении злоупотреблений является их способность «изучать» характери стики умышленных атак и идентифицировать элементы, кото рые не похожи на те, что наблюдались в сети прежде.
Каждый из описанных методов обладает рядом достоинств и недостатков, поэтому сейчас практически трудно встретить сис тему, реализующую только один из описанных методов. Как пра вило, эти методы используются в совокупности.
Механизмы, применяемые в современных системах обнару жения атак IDS (Intrusion Detection System), основаны на не скольких общих методах, которые не являются взаимоисклю чающими. Во многих системах используются их комбинации.
Классификация IDS может быть выполнена:
По способу реагирования различают пассивные и активные IDS. Пассивные IDS просто фиксируют факт атаки, записывают данные в файл журнала и выдают предупреждения. Активные IDS пытаются противодействовать атаке, например, путем реконфи гурации МЭ или генерации списков доступа маршрутизатора.
По способу выявления атаки системы IDS принято делить на две категории:
Технология обнаружения аномального поведения основана на следующем. Аномальное поведение пользователя (т. е. атака или какое-нибудь враждебное действие) часто проявляется как от клонение от нормального поведения. Примером аномального поведения может служить большое число соединений за корот кий промежуток времени, высокая загрузка центрального про цессора и т. п.
Если можно было бы однозначно описать профиль нормаль ного поведения пользователя, то любое отклонение от него мож но идентифицировать как аномальное поведение. Однако ано мальное поведение не всегда является атакой. Например, одно временную посылку большого числа запросов от администратора сети система обнаружения атак может идентифицировать как атаку типа «отказ в обслуживании» («denial of service»).
Технология обнаружения аномалий ориентирована на выяв ление новых типов атак. Однако недостаток ее — необходимость постоянного обучения. Пока эта технология не получила широ кого распространения. Связано это с тем, что она трудно реали зуема на практике.
Обнаружение злоупотреблений заключается в описании атаки в виде сигнатуры (signature) и поиска данной сигнатуры в кон тролируемом пространстве (сетевом трафике или журнале реги страции). В качестве сигнатуры атаки может выступать шаблон действий или строка символов, характеризующие аномальную деятельность. Эти сигнатуры хранятся в БД, аналогичной той, которая используется в антивирусных системах. Данная техноло гия обнаружения атак очень похожа на технологию обнаружения вирусов, при этом система может обнаружить все известные ата ки. Однако системы данного типа не могут обнаруживать новые, еще неизвестные виды атак.
Подход, реализованный в таких системах, достаточно прост и именно на нем основаны практически все предлагаемые сего дня на рынке системы обнаружения атак.
Наиболее популярна классификация по способу сбора инфор мации об атаке:
Система network-based работает по типу сниффера, «прослу шивая» трафик в сети и определяя возможные действия зло умышленников. Такие системы анализируют сетевой трафик, ис пользуя, как правило, сигнатуры атак и анализ «на лету». Метод анализа «на лету» заключается в мониторинге сетевого трафика в реальном или близком к реальному времени и использовании со ответствующих алгоритмов обнаружения.
Системы host-based предназначены для мониторинга, детек тирования и реагирования на действия злоумышленников на оп ределенном хосте. Располагаясь на защищаемом хосте, они про веряют и выявляют направленные против него действия. Эти системы анализируют регистрационные журналы ОС или прило жения.
Система application-based основана на поиске проблем в оп ределенном приложении.
Каждый из этих типов систем обнаружения атак (на уровне сети, на уровне хоста и на уровне приложения) имеет свои дос тоинства и недостатки. Гибридные IDS, представляющие собой комбинацию различных типов систем, как правило, включают в себя возможности нескольких категорий.
На основе анализа существующих решений можно привести перечень компонентов, из которых состоит типичная система обнаружения атак.
Модуль слежения обеспечивает сбор данных из контролируе мого пространства (журнала регистрации или сетевого трафика). Разные производители дают этому модулю следующие названия: сенсор (sensor), монитор (monitor), зонд (probe) и т. д.
В зависимости от архитектуры построения системы обнару жения атак модуль слежения может быть физически отделен от других компонентов, т. е. находиться на другом компьютере.
Подсистема обнаружения атак — основной модуль системы обнаружения атак. Она осуществляет анализ информации, полу чаемой от модуля слежения. По результатам этого анализа дан ная подсистема может идентифицировать атаки, принимать ре шения относительно вариантов реагирования, сохранять сведе ния об атаке в хранилище данных и т. д.
База знаний в зависимости от методов, используемых в систе ме обнаружения атак, может содержать профили пользователей вычислительной системы, сигнатуры атак или подозрительные строки, характеризующие несанкционированную деятельность. База знаний может пополняться производителем системы обна ружения атак, пользователем системы или третьей стороной, на пример аутсорсинговой компанией, осуществляющей поддержку этой системы.
Хранилище данных обеспечивает хранение данных, собран ных в процессе функционирования системы обнаружения атак.
Графический интерфейс. Даже очень мощное и эффективное средство не будет использоваться, если у него отсутствует друже ственный интерфейс. В зависимости от ОС, под управлением ко торой функционирует система обнаружения атак, графический интерфейс должен соответствовать стандартам де-факто для Win dows и Unix.
Подсистема реагирования осуществляет реагирование на об наруженные атаки и иные контролируемые события.
Подсистема управления компонентами предназначена для управления различными компонентами системы обнаружения атак. Под термином «управление» понимается возможность из менения политики безопасности для различных компонентов системы обнаружения атак (например, модулей слежения), а также получение информации от этих компонентов (например, сведения о зарегистрированной атаке). Управление может осу ществляться как при помощи внутренних протоколов и интер фейсов, так и при помощи уже разработанных стандартов, на пример SNMP.
Системы обнаружения атак строятся на основе двух архитек тур: «автономный агент» и «агент—менеджер». В первом случае на каждый защищаемый узел или сегмент сети устанавливаются агенты системы, которые не могут обмениваться информацией между собой, а также не могут управляться централизовано с еди ной консоли. Этих недостатков лишена архитектура «агент—ме неджер». В этом случае в распределенной системе обнаружения атак dIDS (distributed IDS), состоящей из множества IDS, распо ложенных в различных участках большой сети, серверы сбора данных и центральный анализирующий сервер осуществляют централизованный сбор и анализ регистрируемых данных. Управ ление модулями dIDS осуществляется с центральной консоли управления.
Распределенная система обнаружения атак dIDS состоит из следующих подсистем: консоли управления, анализи рующих серверов, агентов сети, серверов сбора информации об атаке. Центральный анализирующий сервер обычно состоит из БД и Web-сервера, что позволяет сохранять информацию об ата ках и манипулировать данными с помощью удобного Web-интер фейса. Агент сети — один из наиболее важных компонентов dIDS. Он представляет собой небольшую программу, цель кото рой — сообщать об атаке на центральный анализирующий сер вер. Сервер сбора информации об атаке — часть системы dIDS, логически базирующаяся на центральном анализирующем серве ре. Сервер определяет параметры, по которым группируются данные, полученные от агентов сети. Группировка данных может осуществляться по следующим параметрам:
Атака не только должна быть обнаружена, но и необходимо правильно и своевременно среагировать на нее. В существую щих системах применяется широкий спектр методов реагирова ния, которые можно разделить на три категории:
Уведомление. Самым простым и широко распространенным методом уведомления является отправление администратору безо пасности сообщений об атаке на консоль системы обнаружения атак. Такая консоль может быть установлена не у каждого сотруд ника, отвечающего в организации за безопасность, кроме того, этих сотрудников могут интересовать не все события безопасно сти, поэтому необходимо применение иных механизмов уведом ления. Этими механизмами могут быть отправление сообщений по электронной почте, на пейджер, по факсу или по телефону.
К категории «уведомление» относится также посылка управ ляющих последовательностей к другим системам, например к системам сетевого управления или к МЭ.
Сохранение. К категории «сохранение» относятся два вариан та реагирования:
Активное реагирование. К этой категории относятся следую щие варианты реагирования:
IDS могут предложить такие конкретные варианты реагиро вания: блокировка учетной записи атакующего пользователя, ав томатическое завершение сессии с атакующим узлом, реконфи гурация МЭ и маршрутизаторов и т. д. Эта категория механиз мов реагирования, с одной стороны, достаточно эффективна, а с другой стороны, требует аккуратного использования, так как не правильное применение может привести к нарушению работо способности всей КИС [2].
Вывод.
В теоритической части я рассмотрел виды сетевых атак по уровню модели OSI, по типу, по местоположению злоумышленника и атакуемого объекта. Так же я рассмотрел проблемы безопасности IP-сетей, угрозы и уязвимости сетей. Рассмотрел технологии обнаружения атак, методы анализа сетевой информации, методы реагирования. Мною была рассмотрена классификация систем обнаружения атак IDS и компоненты и архитектура IDS.
II. Практическая часть.
2.1 Концепция XSpider 7.
Разрабатывая XSpider, специалисты преследовали цель создать профессиональный продукт, который:
Вот почему XSpider создавался в первую очередь не программистами, а экспертами по информационной безопасности, которым был необходим профессиональный инструмент самого высокого качества.
С одной стороны, специалисты определяли требования к продукту, главная задача которого - обеспечить максимальную эффективность мониторинга сетевой безопасности. Эффективность этого процесса зависит не только (и даже не столько) от функциональных возможностей, сколько от качества работы сканирующего ядра, которое должно быть на самом высоком уровне.
С другой стороны, эксперты проектировали интеллектуальные алгоритмы и механизмы поиска уязвимостей, максимально приближенные к тем, которые используются в реальной жизни для попыток нарушения безопасности сетей. В противном случае вы никогда не можете быть уверены, что располагаете тем же объемом информации об уязвимостях защищаемой сети, который доступен потенциальному злоумышленнику.
XSpider разрабатывается и совершенствуется уже более 9 лет, аккумулируя в себе опыт и знания многих специалистов, занимающихся решением практических задач в области информационной безопасности.
2.2 Ключевые особенности.
Хотя сам XSpider работает под управлением Microsoft Windows, он проверяет все возможные уязвимости независимо от программной и аппаратной платформы узлов: начиная от рабочих станций под Windows и заканчивая сетевыми устройствами Cisco (не исключая, конечно, *nix, Solaris, Novell, AS400 и т.д.)
Что немаловажно, XSpider работает с уязвимостями на разном уровне - от системного до прикладного. В частности, XSpider включает мощный и глубокий анализатор защищенности WEB-серверов и WEB-приложений (например, интернет-магазинов). Некоторые производители разрабатывают для этого отдельные продукты, XSpider является универсальной системой, причем это ни в коей мере не идет в ущерб качеству каждой из отдельных возможностей.
(сервисы, установленные на необычных портах, "обманные" баннеры, возвращаемые сервисами и т.п.).
(В особо тяжелых случаях, XSpider всегда предупреждает о возможности недостоверной диагностики.)
2.3 Иллюстрации интерфейса XSpider 7.8
Окно управления сканированиями показано на рисунке 1.
(Рис. 1)
Окно документа сканирования показано на рисунке 2.
(Рис. 2)
Диалог создания отчета представлен на рисунке 3.
(Рис. 3)
2.4 Автоматизация.
Если рассматривать автоматизацию работы XSpider в целом, то после первичной настройки программы с учетом спицифики конкретной сети (или сетей) специалисту останется только получать регулярные отчеты об уязвимостях (по e-mail или другими способами), чтобы проанализировать их. Изменять настройки потребуется только в случае изменений самой сети или принятой политики безопасности.
Звучит все это заманчиво, но самое важное, что и делается это не намного сложнее. Единственный ответственный момент - это этап предварительного планирования (который, собственно, не связан с работой самого XSpider), во время которого требуется выделить логические группы хостов, определить для них правила (профили) и расписания сканирования, назначить людей, которые будут получать те или иные отчеты.
После этого в XSpider следует создать нужные Задачи и с помощью утилиты XSpider Scheduler (управление ей встроено в единый интерфейс пользователя) каждой Задаче присвоить задание на автоматизацию. Для последней операции имеется Wizard, состоящий всего из трех шагов и требующий около минуты на Задачу.
Чтобы еще больше минимизировать время профессионалов, затрачиваемое на работу с XSpider, возможна генерация и отсылка отчетов только при определенных обстоятельствах [5].
Вывод.
Я рассмотрел концепцию сканера XSpider7, особенности сканирующего ядра. Так же я рассмотрел его надежность и автоматизацию, без которой невозможна эффективная работа. Рутинные и трудоемкие задачи возложены на программу, а задачи, связанные с принятием решений, оставлены в компетенции специалистов.
Заключение.
Курсовая работа состоит из теоретической и практической части.
Теоретическая часть состоит из классификации сетевых атак по уровню модели OSI4, по типу, по местоположению злоумышленника и атакуемого объекта; Из анализа угроз сетевой безопасности, проблем безопасности IP-сетей, угроз и уязвимостей проводных корпоративных сетей, угроз и уязвимостей беспроводных сетей, методов анализа сетевой информации, классификации систем обнаружения атак IDS, компонентов и архитектуры IDS, методов реагирования. В практической части мною был рассмотрен сканер XSpider 7, его концепция и особенности. При разработке теоретической части были использованы следующие источники информации и литературы[1-4], которые показаны в разделе «Использованная литература и источники». При разработке практической части был использован следующий источник информации [5], который показаны в разделе «Использованная литература и источники».
Курсовой проект выполнен самостоятельно в соответствии с техническим заданием и в срок.
Использованные литература и источники информации.
PAGE \* MERGEFORMAT1