Введение 3
Глава 1. Анализ алгоритмов систем обнаружения вторжений 8
1.1 Роль IDS в технической защите информации 8
1.2 Эффективность IDS в противодействии распространённым
сетевым атакам 14
1.3 Анализ алгоритмов, используемых в IDS 18
1.4 Размещение IDS в периметре сети 22
1.5 Выбор наиболее оптимального стека алгоритмов для системы
обнаружения вторжений 27
1.6 Проведение промежуточного вычислительного эксперимента 31
1.7 Сравнительный анализ систем обнаружения вторжений для
применения выбранных алгоритмов 34
Глава 2. Моделирование системы обнаружения вторжений 42
2.1 Описание процессов системы обнаружения вторжений 42
2.2 Логическое взаимодействие с компонентами системы 47
2.3 Физическая модель системы обнаружения вторжений 51
Глава 3. Тестирование системы обнаружения вторжений 55
3.1 Настройка IDS Suricata для работы со сторонними алгоритмами . 55
3.2 Зеркалирование трафика на IDS 61
3.3 Динамическая генерация правил алгоритмами и тестирование
полученной системы 64
Заключение 68
Список используемой литературы 71
Приложение А Скрипт автоматического запуска Suricata в случае сбоев 76
В вопросе защиты информации очень большое значение для предотвращения несанкционированного доступа имеют системы обнаружения и предотвращения атак (IDS/IPS-системы или СОВ).
Такие системы в реальном времени отслеживают аномальную активность на основании потоков данных, получаемых из информационных систем, сетевого оборудования, антивирусных приложений, систем предотвращения утечек данных и многих других источников. Системы обнаружения вторжений могут мониторить весь трафик сети, что позволяет им обнаруживать подозрительную активность, даже если она происходит внутри защищенной сети.
СОВ могут быть масштабированы для работы в больших сетях и системах, что делает их более универсальными и гибкими по сравнению с другими методами защиты.
Получив информацию, IDS/IPS-система проводит анализ и выполняет определённые действия по результатам анализа, например, информирует оператора системы, блокирует порты брандмауэра, изолирует участок сети и многое другое. Это позволяет предотвратить возможный ущерб до наступления серьёзных последствий.
Чаще всего анализ информации на предмет аномального поведения представляет собой комбинацию статистических и сигнатурных методик обнаружения. IDS-система сравнивает анализируемые данные с имеющимся набором заранее определённых правил и сигнатур, при необходимости также опираясь на данные того же источника за более длительный период. Такой подход позволяет защищать информационные и сетевые ресурсы от угроз, поведение которых заранее известно или легко прогнозируемо.
Однако, способы и методики сетевых вторжений постоянно изменяются и модернизируются злоумышленниками...
В ходе исследований, проведённых в настоящей работе, были решены важные задачи информационной безопасности современных информационных систем в части анализа вредоносного трафика.
Основные выводы и научные результаты диссертации заключаются в следующем.
На основании анализа литературы, научных и аналитических статей по проблеме совершенствования систем обнаружения вторжений и предупреждения компьютерных атак были выделены критерии оценки защищаемой информации, определены основные инструменты её защиты, а также сформулирована задача, которую решают СОВ.
Была проведена классификация IDS/IPS-систем, выявлены способы их размещения, алгоритмы работы и методы получения данных. Определены сильные и слабые стороны каждого упомянутого класса. Рассмотрены основные атаки на сетевую инфраструктуру, решаемые при помощи систем обнаружения вторжений.
Были проанализированы алгоритмы, используемые в работе СОВ, как с использованием классических сигнатурных алгоритмов, так и более современных методов поведенческого анализа и интеллектуального анализа данных. Также была определена схема архитектуры СОВ.
По результатам анализа был сделан вывод о необходимости применения в СОВ комбинации алгоритмов анализа трафика для разных уровней сетевой модели OSI и типов сетевой активности.
Для подтверждения гипотезы был проведён вычислительный эксперимент, доказавший превосходство комбинации алгоритмов ALAD+LERAD для обнаружения атак. Проанализированы альтернативы программному обеспечению Snort в качестве движка проектируемой СОВ.
В качестве альтернативного движка наиболее оптимальным была выбрана система обнаружения вторжений Suricata благодаря возможностям аппаратного ускорения работы и поддержке алгоритмов Snort...
