Ответные действия ids (03.10.11)

Выбор ответных действий зависит от целей, для которых используется ИДС.

При возникновении события можно выбрать пассивную обработку (ответное действие, не препятствующее действиям атакующего) или активную. Пассивные действия не обязательно подразумевают разрешения продолжения события, но не допускают выполнение непосредственных операций самой системой ИДС.

Пассивная обработка событий

Наиболее распространенный тип действий. Обеспечивает меньшую вероятность повреждения легитимного трафика, также они наиболее простые для автоматического применения. Такие действия осуществляют сбор большого числа информации или передают уведомления лицам, имеющим право на принятие более жестких мер.

Предотвращение попытки атаки является наиболее широко используемым. В большинстве случаем такой метод остается установленным по умолчанию после установки в организации подключения к интернету и межсетевого экрана. Данный тип ответных действий может использоваться в более сложных системах ИДС. ИДС настраивается на игнорирование атак через несуществующие службы и службы, относительно которых МЭ является неуязвимым.

Ведение журналов. При возникновении события должно генерироваться максимально возможное количество информации для обеспечения детализованного анализа или для помощи в принятии дальнейших мер. Занесение события в журнал является пассивным действием, в рамках которого больше не осуществляется никаких операций. Обработка событий является более эффективной, если осуществляется сбор большого количества данных о фиксируемом в нормальном режиме событии.

Уведомление. Позволяет ИДС информировать лиц о происшедшем событии. Уведомление может быть представлено в форме мерцающего окна, звукового сигнала, почтового или пейджингового сообщения и т.д.

Активная обработка событий

Позволяет быстро предпринять возможные меры для снижения уровня вредоносного действия события. Подразумевает прерывание соединений (в TCP), сеансов или процессов. Определение того, какой объект подлежит уничтожению, выполняется посредством изучения события.

Перенастройка сети. Если происходит несколько попыток доступа к организации с одного ИП-адреса, то есть вероятность, что с этого адреса идет атака на организацию. В таком случае может понадобиться перенастройка МЭ или маршрутизатора. Изменение может быть временным или постоянным. Новые правила (фильтры) могут запретить установку любых соединений с удаленным узлом, либо запретить соединение лишь по конкретным портам.

Обманные действия. Наиболее сложный тип активной обработки. Ответ обманом направлен на введение злоумышленника в заблуждение посредством создания впечатления успешного проведения атаки. В то же время система-цель защищается от атаки злоумышленника либо посредством его перенаправления на другую систему, либо посредством перемещения жизненно важных компонентов системы в безопасное место.

Автоматический и автоматизированный ответ.

Автоматический ответ – набор предустановленных операций, которые выполняются при возникновении определенных событий. Такие действия осуществляются в рамках штатной ситуации.

В случае, если ответ на инцидент полностью контролируется компьютером, то он называется автоматизированным. Этот тип ответов должен контролироваться строго определенным, тщательно продуманным набором правил.

7. Понятие виртуальных частных сетей, их характеристики и преимущества. Виды VPN, развертывание виртуальных частных сетей. Преимущества и проблемы связанные с использованием каждого вида VPN. Понятие стандартных технологий функционирования VPN. Требования к серверу VPN. Требования к алгоритмам шифрования. Система аутентификации. Требования к протоколу VPN. Типы систем VPN.

VPN

Частные сети используются организациями для соединения с удаленными сайтами и другими организациями. Частные сети состоят из каналов, арендуемых у различных телефонных компаний. Эти каналы соединяют только 2 объекта, будучи отделенными от другого трафика. Частные сети обладают рядом преимуществ:

• Информация сохраняется в секрете

• Удаленные сайты могу осуществлять обмен информацией незамедлительно

• Удаленные пользователи не ощущают себя изолированными от системы, к которой они осуществляют доступ

Основной недостаток: стоимость.

Виртуальные частные сети. Такие сети обеспечивают большую часть преимуществ частных сетей за меньшую цену. Правильно построенная ВПН может принести организации большую пользу. Если ВПН реализована некорректно, вся информация, передаваемая через ВПН, может быть доступна из интернета.

Трафик шифруется для обеспечения защиты от прослушивания. Осуществляется аутентификация удаленного сайта. ВПН обеспечивают поддержку множества протоколов. Соединение обеспечивает связь только между двумя конкретными абонентами.

Шифрование должно быть достаточно мощным, чтобы можно было гарантировать конф-ность. Пароли имеют срок действия, равный 30 дням, однако секретная информация может не утрачивать своей ценности на протяжении долгих лет. Следовательно, алгоритм шифрования и применение ВПН должны предотвратить дешифрование трафика на несколько лет.

Аутентификация удаленного сайта может требовать аутентификацию некоторых пользователей, либо взаимную аутентификацию обоих узлов. Механизм контролируется политикой. При взаимной аутентификации может потребоваться, чтобы оба сайта демонстрировали знание определенного секрета, либо могут потребоваться цифровые сертификаты.

ВПН поддерживают множество прикладных протоколов, соединяют 2 конкретных объекта, образуя уникальный канал связи. Каждая из конечных точек ВПН может одновременно поддерживать несколько соединений ВПН с другими конечными точками, однако каждая из точек является отдельной от другим, и трафик тоже разделяется посредством шифрования.

Существуют пользовательские и узловые ВПН. Пользовательские представляют собой ВПН, построенные между отдельной системой и узлом или сетью организации. Сервер ВПН может является МЭ организации, либо быть отдельным ВПН-сервером. Узел организации запрашивает у пользователя аутентификационные данные и, в случае успешной аутентификации, позволяет пользователю осуществить доступ ко внутренней сети организации, как если бы пользователь находился внутри узла и физически располагался внутри сети. При этом скорость сетевого соединения будет ограничиваться скоростью подключения пользователя к интернету.

Пользовательские ВПН позволяют ограничивать доступ удаленных пользователей к системам или файлам. Это ограничение должно базироваться на политике. В то время, как пользователь имеет ВПН-соединение с внутренней сетью, он также может соединиться и работать с интернетом или выполнять другие действия как обычный пользователь интернета. Сеть ВПН поддерживается отдельным приложением на компьютере пользователя.

Преимущества:

• Есть возможность доступа к файлам организации из любого места

• Правильное использование ВПН может снизить затраты

Недостатки:

• При их использовании имеют место значительные риски, связанные с безопасностью, и проблемы реализации, с которыми приходится считаться

17.10.11

ВПН сервер должен быть расположен в сети. М.б. либо МЭ, либо пограничным М. В качестве альтернативы сервер может являться и отдельной системой.

Сервер должен быть расположен в демилитаризованной зоне (DMZ). В идеальном случае DMZ зона ВПН должна содержать только ВПН сервер и быть отдельной от DMZ интернета, содержащей веб-серверы и почтовые серверы.

Причиной является то, что ВПН сервер разрешает доступ ко внутренним системам авторизованным пользователям и, следовательно, должен рассматриваться как объект с большей степенью доверия, нежели почтовые и веб-серверы, доступ к которым может быть осуществлен лицам, не пользующимися доверием. DMZ защищается набором правил МЭ и разрешает передачу только того трафика, который требует ВПН.

Алгоритмы шифрования.

Должен быть стандартным мощным алгоритмом. Для получения информации, передаваемой через ВПН, злоумышленник должен:

• Захватить весь сеанс соединения

• Использовать большие вычислительные мощности и большое количество времени для перехвата ключа с помощью брутофорса и дешифрования трафика

Злоумышленнику гораздо проще использовать имеющуюся уязвимость на компьютере пользователя, либо украсть портативный компьютер. Если информация не представляет собой особой важности, в ВПН можно использовать любой широко распространенный, мощный алгоритм.

Система аутентификации.

Должна быть двухфакторной. Пользователи должны проходить А с использованием того, что они знаю. Того, что у них есть или с помощью данных о том, кем они являются. Хорошей комбинацией является смарт-карты в паре с персональным ИД и паролем. Если в организации предпочитают при использовании ВПН полагаться только на пароли, они должны быть мощными и регулярно изменяться.

Протокол ВПН.

Определяет, каким образом система взаимодействует с другими системами в интернете, а также уровень защищенности трафика. Однако елси организация использует ВПН для соединения с другими организациями, собственные протоколы использовать не удастся. Протокол ВПН используется для обмена ключами шифрования между двумя конечными узлами. Если этот обмен не защищен, злоумышленник может перехватить ключи и расшифровать трафик. Чаще всего используется протокол IPSec. Этот протокол представляет собой дополнение к IP, осуществляющее инкапсуляцию и шифрование заголовка TCP и полезной информации, содержащейся в пакете. Он также поддерживает обмен ключами, удаленную А сайтов и согласование алгоритмов. IPSec использует UDP-порт 500 для начального согласования, после чего используется IP-протокол 50 для всего трафика.

Типы систем VPN

• Аппаратные системы. Выполняется ПО производителя, а также, возможно, некоторые специальное ПО, предназначенное для улучшение возможностей шифрования. Имеется 2 преимущества: скорость, оборудование, как правило, оптимизировано для работы с ВПН; безопасность, если аппаратная платформа разработана для приложения ВПН, из ее системы удалены все лишние программы и процессы, за счет этого снижается степень подверженности атакам по сравнению с компьютерной системой общего назначения.

• Программные системы. Работают на компьютерах общего назначения. Могут быть либо установлены на выделенной для ВПН системе, либо совместно с другим ПО, таким как МЭ. При загрзуке ПО необходимо иметь достаточную мощность АО для поддержки ВПН. Программные системы могут использовать таким же образом, как и аппаратные системы. Существует ПО для поддержки пользовательских и узловых ВПН.

• Веб системы. Концепция заключается в том, что пользователь с помощью браузера подключается к ВПН через SSL, которое обеспечивает шифрования трафика, а подтверждение подлинности пользователя выполняется с помощью средств А, встроенных в систему. Для предоставления пользователю необходимых услуг используется несколько различным механизмов. Однако существуют ограничения. Заключающиеся в наборе используемых приложений и методе подключения пользователей к внутренним системам.

8. Трансляция сетевых адресов. Понятие nat-трансляции. Частные адреса. Виды nat- трансляции.