Средство обнаружения вторжений уровня узла сети

Полезная модель к области информационных технологий, в частности к информационной безопасности, а именно к средствам обнаружения вторжений уровня узла сети.
Персональные компьютеры, хосты и маршрутизаторы, которые являются узлами, подключенными сетям связи, например, Интернет, часто являются объектами сетевых атак, направленных на причинение вреда компьютерам путем их заражения или на получение конфиденциальной информации. Средства обнаружения вторжения являются одним из рубежей для обеспечения защиты информационных систем. Наиболее распространены средства обнаружений вторжений на сетевом уровне, которые находятся на пути передаваемого сетевого трафика и осуществляют его мониторинг путем анализа передаваемого трафика и блокирования трафика, связанного с проведением атак. Существующие подходы к обнаружению вторжений на сетевом уровне обычно делятся на две категории: обнаружение известного вредоносного кода (сигнатур) и обнаружение аномалий. Однако для эффективной защиты применение только средств обнаружений вторжений сетевого уровня недостаточно, поэтому необходимо также наличие средств, которые работали бы непосредственно на узлах сети (информационных узлах). Таким образом существует необходимость в разработке средства обнаружений вторжений уровня узла сети.
Из уровня техники известная система автоматического расследования инцидентов безопасности (RU 2481633 С2, опубл. 10.05.2013), которая позволяют обнаруживать подозрительные события в компьютерной сети, анализировать их, восстанавливать историю событий, предшествующих инциденту безопасности, находить решения по исправлению последствий событий и настраивать систему для предотвращения повторения события. Данная система содержит средство сбора данных, средство регистрации инцидентов, анализатор инцидентов и средство поиска решений, при этом в качестве инцидента может быть обнаружено: вредоносное программное обеспечение, сетевая атака, критическое нарушение в работе антивируса.
К недостаткам указанного аналога относится невозможность снятия событий безопасности непосредственно с узла сети.
В качестве прототипа выбран патент СА 2607649 С, опубл. 02.06.2015 система регулирования настроек хостовой защиты, содержащая сервер-компьютер, который взаимодействует с множеством хостов, запоминающее устройство с машиночитаемыми инструкциями и процессор для их выполнения. Машиночитаемые инструкции включают в себя: определение типа хоста из числа предопределенного набора типов хостов; определение наборов дескрипторов специфичных для хоста; отправление запросов целевому хосту в соответствии с указанным набором дескрипторов; определение текущей конфигурации защиты хоста для указанного целевого хоста в соответствии с ответами на упомянутые запросы; обнаружение несоответствий между указанной текущей конфигурации хоста и предыдущей конфигурации хоста; установку текущей конфигурации защиты хоста в указанном целевом хосте при обнаружении несоответствия; записывание последовательных периодов изменений конфигураций хоста; и определение периода мониторинга для указанного целевого хоста в соответствии с последовательным периодом изменения конфигураций хоста.
К недостаткам данной системы относится сложность работы с ней, низкий уровень создаваемых событий, что усложняет задачу определения инцидента информационной безопасности.
Задача полезной модели заключается в выявлении подозрительных событий, совершаемых на узле сети.
Технический результат заключается в обеспечении обнаружения вторжений уровня узла сети.
Технический результат достигается за счет того, что средство обнаружения вторжений уровня узла сети выполнено в виде сервера администрирования на котором установлена группа датчиков, таких как: датчик анализа событий, датчик анализа трафика, датчик анализа взаимодействия с операционной системой, датчик активности соединений, контролер целостности файлов и содержит блок сбора информации и принятия решений и блок памяти, при этом блок сбора информации и принятия решений соединен с группой датчиков и блоком памяти, причем блок памяти выполнен с возможностью хранения сведений об инцидентах безопасности, а также установленных правилах политики информационной безопасности, а блок сбора информации и принятия решений выполнен с возможностью сбора информации и сведений об узле сети с группы датчиков, а также с возможностью на основе сравнения этой информации с данными блока памяти разрешать или блокировать какие-либо действия на узле сети при обнаружении вторжений уровня узла сети.
Полезная модель поясняется чертежом, на котором представлена структура средства обнаружения вторжений уровня узла сети.
Средство обнаружение вторжений уровня узла сети выполнено в виде сервера 1 администрирования на котором установлена группа датчиков, таких как: датчик 2 анализа событий, датчик 3 анализа трафика, датчик 4 анализа взаимодействия с операционной системой, датчик 5 активности соединений, контролер 6 целостности файлов. Средство обнаружения вторжений также содержит блок 7 сбора информации и принятие решение и блок 8 памяти. Блок сбора информации и принятий решений соединен с группой датчиков и блоком памяти. Блок памяти предназначен для хранения различной собранной информации собранной с узлов сети, а также набора правил соответствующих информационной политики безопасности.
Сервер 1 представляет из себя компьютер или специализированное оборудование и служит для выполнение различных задач, например, подключение пользователя, хранение информации, а также данных о системных событиях, фиксируемых на узлах сети (персональные компьютеры, хосты, маршрутизаторы и др.), которые подключены к серверу.
Датчик 2 анализа событий собирает информацию о происходящих событиях на различных узлах сети, которые хранятся в виде журнала событий. Журналы событий могут включать в себя: id события, тип события, источник события, время генерирования события, код регистрируемого события, используемый протокол сетевого уровня, номер порта протокола сетевого уровня и др. Как видно датчик 2 анализа событий хранит информацию о событиях, которые уже произошли и в большинстве случаев они не способны предотвратить атаку и служат для их обнаружений. На основании записей в журнале событий можно отследить активность авторизованных пользователей или же проследить перемещение какой-либо записи о событие. Например, подозрительным может являться, что успешный вход в систему или на какой-либо другой ресурс был осуществлен с 5 раза, или же был осуществлен некорректный запрос на узел сети, который привел к его прекращению работы, после чего появилась новая запись в журнале событий о новом пользователе. Датчик 2 анализа событий соединен с блоком 7 сбора информации и принятия решений и передает всю накопившуюся информацию о событиях информационной безопасности в блок 7. После чего может осуществляться сброс данных на датчике 2 анализа событий для предотвращения переполнения данных на нем.
Датчик 3 анализа трафика собирает информацию с узлов сети на основе которой может быть определено нарушение признаков событий безопасности. Примерами такой информации может быть номер автономной системы источника и приемника, номер порта источника и приемника, адрес источника и получателя, количество пакетов в потоке, количество байтов в потоке, данные из протоколов и приложений и др. На основе данной информации могут быть обнаружены проблемы в работе сети (задержки в передаче информации), несанкционированный доступ злоумышленника, атаки на корпоративные ресурсы, увеличенная нагрузка на канал, неправильная настройка протокола, а также позволяет вести контроль приложений. В некоторых случаях эта информация может определить атаку нулевого дня (увеличенная нагрузка на канал), и поможет предотвратить вторжение. Вся собранная информация датчиком 3 анализа трафика передается в блок 7 сбора информации и принятия решений.
Датчик 4 анализа взаимодействия с операционной системой собирает информацию между приложениями и операционной системой для идентификации событий, связанных с безопасностью. Когда приложению требуется выполнить какое-либо действие, его вызов операционной системой анализируется блоком 7 сбора информации и принятия решений, соединенный с датчиком 4 анализа взаимодействия. Каждый вызов характеризуется набором признаков, которые и анализируется блоком 7. Если приложение генерирует вызов, соответствующий, например, признаку атаки на переполнение буфера, то на основе работы датчика 4 анализа взаимодействия и блока 7 сбора информации и принятия решения может быть предотвращен этот вызов и сохранена система в безопасности. Также примером таких признаков может служить определенная последовательность действий: загрузка из интернета информации, создание множества файлов с загруженной информацией, загрузка этих файлов в информационную систему. Главное отличие этих датчиков в том, что они позволяют предотвратить атаку. При этом работа датчиков для некоторых приложений может быть настроена в тестовом режиме, что означает сбор информации и отслеживание событий информации без блокировки. Этот режим может быть использован для тестирования работы новых приложений.
Датчик 5 активности соединений осуществляет мониторинг узлов сети и собирает информацию о количестве активных соединений и частоте обращений к ним. Собранная информация передается в блок 7 сбора информации и принятия решений, который непосредственно анализирует полученные сведения о соединениях. Например, веб-серверу обычно разрешается принимать сетевые соединения через порт 80, считывать файлы в веб-каталоге и передавать эти файлы по соединения через порт 80. Если веб-сервер попытается записать или считать файлы из другого места или открыть новое соединение, то данное действие может сигнализировать об атаке, и оно будет заблокировано. Другим примером об атаке может служить резкое увеличение количества обращений к какому-либо порту. Кроме того, некоторые сетевые атаки требуют обращений к определенным портам, что также может быть обнаружено.
Контроллер 6 целостности файлов отслеживает изменения в файлах. Это осуществляется посредством использования криптографической контрольной суммы или цифровой подписи файла. Конечная цифровая подпись файла будет изменена, если произойдет изменения хотя бы небольшой части исходного файла, например, изменения атрибутов файлов: время и дата создания. Контроллер 6 целостности файлов осуществляет мониторинг каждого файла и передает данные о них в блок 7 сбора информации и принятия решений, где он подвергается алгоритму для создания начальной подписи. Полученное число сохраняется в блоке 8 памяти, который соединен с блоком 7 сбора информации и принятия решений. Периодически для каждого файла осуществляется проверка подписи и сопоставляется с оригиналом (начальная подпись). Если подписи идентичны, то означает, что файл не изменен, в ином случае, обнаружении несоответствий свидетельствует о том, что в файл были внесены изменения.
Блок 7 сбора информации и принятия решений соединен с группой датчиков и блоком 8 памяти и осуществляет выполнение или блокировку действий на основании сведений об узле сети, хранящихся в блоке 8 памяти. Блок 7 сбора информации и принятия решения осуществляет сбор информации и сведений об узле сети с группы датчиков и на основе данных блока 8 памяти по результатам сравнения разрешает или запрещает какие-либо действия. В предпочтительном варианте исполнения блок 7 сбора информации и принятия решений может быть соединен с устройством вывода информации (на чертеже не показан) для отображения всех совершаемых действия и для облегчения их обработке. На основе обработке могут быть изменения правила информационной безопасности, в этом случае эти уточнения сразу вносятся в блок 8 памяти. Блок 8 памяти может быть выполнен в виде машиночитаемого носителя.
Далее приведен пример осуществления полезной модели.
Группа датчиков, таких как: датчик 2 анализа событий, датчик 3 анализа трафика, датчик 4 анализа взаимодействия с операционной системой, датчик 5 активности соединений, контролер 6 целостности файлов установлены на сервере 1 и служат для сбора информации об узле сети. Вся собранная информации датчиками поступает на обработку в блок 7 сбора информации и принятия решений. После чего может осуществляться сброс информации с датчиков для предотвращения переполнение данных на них. Блок 7 сбора информации и принятия решения анализирует поступившую информацию с группы датчиков и принимает решение о блокировке или разрешения действий на основе сравнения с данными, хранящимися в блоке 8 памяти. Блок 8 памяти хранит сведения об инцидентах безопасности, а также установленные правила политики информационной безопасности. Для каждого узла сети могут быть установлены свои правила информационной безопасности. В случае если средство обнаружения вторжений уровня узла сети содержит устройство вывода информации, то блок 7 сбора информации и принятия решений способен уведомлять об инцидентах безопасности.
Преимуществом заявляемого устройства такого типа является то что, будучи установленном на узле сети, оно видит всю ее внутреннюю структуру и может контролировать не только внешний трафик, но и внутренний.