Сравнительный анализ систем обнаружения вторжений, представленных на отечественном рынке

УДК 628.212.5

СРАВНИТЕЛЬНЫЙ АНАЛИЗ СИСТЕМ ОБНАРУЖЕНИЯ ВТОРЖЕНИЙ, ПРЕДСТАВЛЕННЫХ НА ОТЕЧЕСТВЕННОМ РЫНКЕ

А.Б. Лось, Ю.Ю. Даниелян

Аннотация. В статье анализируются системы обнаружения вторжений и их сравнительная характеристика.

Ключевые слова: модуль выявления атак, система обнаружения вторжений, автоматизированная система.

Abstract. Description of the systems of detection of intrusions and their comparative characteristics are given in this paper.

Keywords: intrusion detection system, automated system, module detect attacks.

Системы обнаружения вторжений (СОВ) представляют собой специализированные программные комплексы, предназначенные для выявления информационных атак в автоматизированных системах (АС). Типовая архитектура СОВ включает в себя следующие компоненты (рис. 1):

модули-датчики, предназначенные для сбора необходимой информации о функционировании АС;

модуль выявления атак (МВА), выполняющий обработку данных, собранных датчиками, с целью обнаружения информационных атак нарушителя;

модуль реагирования на обнаруженные атаки;

модуль хранения данных, в котором хранится вся конфигурационная информация, а также результаты работы СОВ;

модуль управления компонентами СОВ [4, а 65].

Все вышеперечисленные модули СОВ могут быть реализованы в виде как одного, так и нескольких программно-аппаратных компонентов. СОВ могут включать в себя два типа датчиков: сетевые и серверные. Сетевые датчики предназначены для сбора информации обо всех пакетах данных, передаваемых в рамках того сетевого сегмента, где установлен датчик. Сетевые датчики реализуются в виде отдельного программно-аппаратного блока, подключаемого к сегменту АС, трафик

МФЮА

которого необходимо анализировать. Серверные же датчики устанавливаются на серверы АС и собирают информацию обо всех пакетах, поступающих на эти серверы. СОВ могут одновременно использовать как сетевые, так и серверные датчики.

Рис. 1. Типовая архитектура систем обнаружения вторжений

Функции обнаружения атак в АС, как правило, реализуются в СОА при помощи двух типов МВА: сигнатурных и поведенческих [4, с 74]. Сигнатурные МВА имеют встроенные средства для создания и хранения внутренних моделей информационных атак, которые и получили наименование сигнатурных. В качестве сигнатуры атаки могут выступать: строка символов, семантическое выражение на специальном языке, формальная математическая модель и др.

Каждая сигнатура в общем случае может быть соотнесена с определенной атакой нарушителя. Алгоритм работы сигнатурных МВА выглядит следующим образом. При получении исходных данных от модулей-датчиков МВА проводят их анализ на предмет наличия в них сигнатур атак. В случае обнаружения сигнатуры в исходных данных, МВА фиксирует факт обнаружения информационной атаки нарушителя. Преимуществом сигнатурных МВА является их высокая точность работы, а очевидным недостатком - невозможность

обнаружения тех атак, сигнатуры которых отсутствуют в базе данных МВА.

Поведенческие МВА, в отличие от сигнатурных, базируются не на внутренних моделях информационных атак, а на моделях штатного процесса функционирования АС [1, c 73]. Для создания таких моделей, как правило, применяются статистические, нейросетевые, иммунные методы или методы профилирования работы АС. Принцип работы поведенческих МВА заключается в обнаружении несоответствия между текущим режимом функционирования АС и моделью штатного режима работы, заложенной в МВА. Любое такое несоответствие рассматривается поведенческими МВА как информационная атака. Преимуществом МВА данного типа является возможность обнаружения новых атак без необходимости постоянного изменения параметров функционирования модуля. Недостатком же таких МВА является сложность создания точной модели штатного режима функционирования АС.

В настоящее время на отечественном рынке информационной безопасности представлены следующие основные типы СОВ [4, c 93]:

система «RealSecure» производства компании Internet Security Systems;

система «NetProwler» производства компании Symantec;

система «Snort», разработанной в рамках проекта «Snort Project» (данная система применяется в решениях, предлагаемых компанией «Инфосистемы Джет»);

система «Форпост» производства ЗАО «РНТ».

Далее составляется таблица сравнительных характеристик, в которой наименования столбцов - тип СОВ, наименование строк - характеристика системы. На пересечении в ячейках указывается экспертная оценка характеристики в типе систем от 0 до 1. Единица - характеристика присутствует, ноль - характеристика отсутствует. По итогам «RealSecure» -13 характеристик, «NetProwler» - 14 характеристик, «Snort» - 11 характеристик, «Форпост» - 23 характеристики. Зависимость показателя функциональности от стоимости СОВ представлена на рис. 2.

Из рассмотрения этой зависимости следует, что наиболее эффективными являются «NetProwler» и «Форпост».

Но более функциональной системой является «Форпост», которая дает возможность централизованного анализа информации, собранной датчиками СОВ. Также единственной из представленных СОВ возможностью интеграции с инфраструктуры открытых ключей

<з!Ь

МФЮА

Показатель функциональности СОВ. баллы

24 22 20 18 16 14 12 10

♦ 23

1Ц ♦ 13

♦ 11

30

35

40

45

50

руб

55

60

Стоимость СОВ,

Рис. 2. Зависимость показателя функциональности от стоимости СОВ

СОВ «Форпост» может поставляться как в виде «коробочного» ПО, так и в виде готового программно-аппаратного комплекса (ПАК). Преимущество программной версии - гибкость при настройке. Преимущество ПАК - простота развертывания и быстрый ввод в эксплуатацию [6].

СОВ «Форпост» имеет распределенную многомодульную архитектуру и состоит из следующих элементов:

сетевой датчик, который осуществляет анализ поступающего трафика на предмет наличия в нем компьютерных атак, используя сигнатурный метод;

центр управления, в который входят такие компоненты, как информационный фонд, координационный центр, консоль администратора, модуль интеграции с сетевым оборудованием, модуль почтовых уведомлений, агент, датчик контроля целостности.

Компоненты могут быть как установлены на один сервер, так и распределены по нескольким серверам. Если всего одна точка встраивания СОВ, то лучше выбирать вариант в виде готового ПАК, в котором все компоненты уже предустановлены на один сервер. Если же сложная система с множеством датчиков и не пугает сложность настройки, то рациональнее использовать вариант реализации СОВ в виде программного обеспечения.

ПАК «Форпост 200» предназначен для информационных систем или их сегментов, включающих до 20 рабочих станций и серверов хо-

стов. Это исполнение имеет такое же ПО, как ПАК «Форпост 2000», но значительно уступает ему по производительности.

Его особенности [7, с. 12]:

реализован на основе компактного промышленного сервера форм-фактора Ш с возможностью установки на любую горизонтальную поверхность или в стойку;

низкий уровень шума;

производительность - до 200 Мбит/с;

более низкая цена.

Стоит отметить, что низкий уровень шума и нетребовательность к размещению позволяют использовать ПАК «Форпост 2000» не в помещении серверной, а в тех же помещениях, где работают пользователи ИС.

Рис. 3. Типовая схема применения СОВ «Форпост» в ИС

Для блокирования выявленных компьютерных атак можно выбрать как автоматический, так и ручной режим. В автоматическом режиме СОВ «Форпост» блокирует развитие компьютерной атаки, генерируя правила по заранее сформированному шаблону для опре-

<glb>

деленной категории событий (например, имеющих высокую степень критичности).

Однако в случае, когда необходимо обеспечить высокую доступность информационных ресурсов, решение о блокировке компьютерной атаки должно приниматься администратором безопасности. Для этого существует ручной режим управления блокированием компьютерных атак. Для ручной блокировки компьютерной атаки администратор может воспользоваться как полуавтоматическим режимом, так и режимом непосредственного управления активного сетевого оборудования [5, с. 18].

Современный подход к построению систем обнаружения сетевых вторжений и выявления признаков компьютерных атак на информационные системы полон недостатков и уязвимостей, позволяющих, к сожалению, злонамеренным воздействиям успешно преодолевать системы защиты информации. Переход от поиска сигнатур атак к выявлению предпосылок возникновения угроз информационной безопасности должен способствовать тому, чтобы в корне изменить данную ситуацию, сократив дистанцию отставания в развитии систем защиты от систем их преодоления.

Кроме того, такой переход должен способствовать повышению эффективности управления информационной безопасностью и, наконец, более конкретным примерам применения нормативных и руководящих документов, уже ставших стандартами.

На основе изложенного можно сделать вывод о том, что в практической деятельности накоплен значительный опыт решения проблем обнаружения вторжений. Применяемые СОВ в значительной степени основаны на эмпирических схемах процесса обнаружения вторжений, дальнейшее совершенствование СОВ связано с конкретизацией методов синтеза и анализа сложных систем, теории распознавания образов в применении к СОВ.

ЛИТЕРАТУРА

1. Бабурин А.В., Чайкина Е.А., Воробьева Е.И. Физические основы защиты информации от технических средств разведки: Учеб. пособие. -Воронеж, 2011.

2. Городецкий В.И., Котенко И.В., Карсаев О. В., Хабаров А.В. Мно-гоагентные технологии комплексной защиты информации в телекоммуникационных системах. ISINAS - 2010. Труды. - СПб, 2010.

3. Люцарев B.C., Ермаков К.В., Рудный Е.Б., Ермаков И.В. Безопасность компьютерных сетей на основе Windows NT. - М., 2008.

4. Петраков А.В. Основы практической защиты информации. 3-е изд. Учебное пособие. - М., 2012.

5. Щеглов А.Ю., Щеглов К.А. Новые технологии, методы и средства добавочной защиты информации от несанкционированного доступа // Компьютерная безопасность. - СПб, 2012.

6. Хуотаринен А.В., Щеглов А.Ю. Технология физической защиты сетевых устройству // Экономика и производство. №4. 2012.

7. Щеглов А.Ю, Дарасюк М.В., Оголюк А.А. Технология защиты рабочих станций в сетевых архитектурах клиент-сервер//ВУТЕ. Россия. №1. 2010.

А.Б. Лось,

канд. техн. наук, доцент,

заведующий кафедрой компьютерной безопасности, НИУ ВШЭ

E-mail: alexloss2011@mail.ru Ю.Ю. Даниелян,

инженер, служба главного инженера ФГБНИУ «Совет по изучению производительных сил», г. Москва E-mail: y_danieljn@rambler.ru