Ids, основанные на аномалиях

Данная разновидность IDS по принципу работы в чем-то схожа с отслеживанием состояний, только имеет больший охват.

IDS, основанные на аномалиях, используют машинное обучение. Для правильной работы таких систем обнаружения угроз необходим пробный период обучения. Администраторам рекомендуется в течение первых нескольких месяцев полностью отключить сигналы тревоги, чтобы система обучалась. После тестового периода она готова к работе.

Система анализирует работу сети в текущий момент, сравнивает с аналогичным периодом и выявляет аномалии. Аномалии делятся на три категории:

- статистические;

- аномалии протоколов;

- аномалии трафика.

Статистические аномалии выявляются, когда система IDS составляет профиль штатной активности и сравнивает его с текущим профилем. Например, для компании характерен рост трафика по будним дням на 90%. Если трафик вдруг возрастет не на 90%, а на 900%, то система оповестит об угрозе.

Для выявления аномалий протоколов IDS-система анализирует коммуникационные протоколы, их связи с пользователями, приложениями и составляет профили. Например, веб-сервер должен работать на порте 80 для HTTP и 443 для HTTPS. Если для передачи информации по HTTP или HTTPS будет использоваться другой порт, IDS пришлет уведомление.

Ids на основе правил

IDS на основе правил похожи на экспертные системы. Экспертная система основана на базе знаний, механизме логических выводов и программировании на основе правил. Знания представляют собой правила, а анализируемые данные – факты. Знания системы описываются с помощью программирования на основе правил (ЕСЛИ ситуация ТОГДА действие). Эти правила применяются к фактам, к данным, получаемым сенсором, или к контролируемым системам. Затем к этим данным применяются предварительно настроенные правила, которые проверяют, есть ли что-нибудь подозрительное в произошедших событиях.

Таким образом IDS на основе правил работают аналогично экспертным системам, собирают данные с сенсоров или из журналов аудита, а механизм логических выводов обрабатывает их, используя предварительно запрограммированные правила. Если характеристики удовлетворяют правилу, отправляется соответствующее уведомление или выполняется определенное действие для решения возникшей проблемы.

53. Различия типов технологий ids.

Сигнатурные

Отслеживающие шаблоны, работающие подобно антивирусным программам Сигнатуры должны постоянно обновляться

Не могут выявить новые атаки

Два типа:

- отслеживающие шаблоны – сравнивают пакеты с сигнатурами

- отслеживающие состояние – сравнивают действия с шаблонами

Основанные на аномалиях

Основанные на поведении системы, изучают ее «нормальную» деятельность

Могут выявлять новые атаки

Также называются поведенческими или эвристическими

Три типа:

- основанные на статистических аномалиях – создают профиль «нормальной» деятельности и сравнивают реальную деятельность с этим профилем

- основанные на аномалиях протоколов – выявляют факты необычного использования протоколов

- основанные на аномалиях трафика – выявляют необычное в сетевом трафике

Основанные на правилах

Используют ЕСЛИ/ТОГДА программирование, основанное на правилах, в рамках экспертных систем

Используют экспертную систему, подобную искусственному интеллекту

Более сложные правила

Не может выявлять новые атаки