ВВЕДЕНИЕ 3
Глава 1. Теоретическая часть 5
1. Архитектура и задачи систем обнаружения вторжений 5
2. Классификация систем обнаружения вторжений 8
2.1. СОВ сетевого типа (Network-Based IDS) 9
2.2. СОВ узлового типа (Host-Based IDS) 11
2.3. СОВ в приложениях 14
2.4. Другие характеристики 14
3. История систем обнаружения вторжений 16
3.1. Обзор современных СОВ 20
4. Сертификация систем обнаружения вторжений в России 21
Глава 2. Практическая часть 23
1. Реализация прототипа системы обнаружения вторжений 23
1.1 Реализация мониторинга системных событий 25
1.2 Реализация мониторинга целостности объектов файловой системы 29
1.3 Реализация мониторинга сетевой активности 32
1.4 Реализация уведомлений и лог-файлов 35
2. Проведение эксперимента на обнаружения вторжений 36
3. Отладка и тестирование программного продукта 37
ЗАКЛЮЧЕНИЕ 40
СПИСОК ЛИТЕРАТУРЫ 41
ПРИЛОЖЕНИЕ
Каждый инструмент безопасности компьютерной системы служит защитой от определенного вида угроз, имеет свои преимущества и недостатки. Сочетая их, можно обеспечить защиту от максимально широкого диапазона атак. Системы обнаружения вторжений выступают в качестве механизмов мониторинга процессов, протекающих в компьютерных системах и сетях, и принятия решений о том, какие из них являются подозрительными и могут нанести вред наблюдаемой системе.
Системы обнаружения вторжений делятся на несколько типов, каждый из которых предназначен для выполнения различных задач, для компьютерных систем и сетей различного масштаба, имеет свой диапазон функций и конфигураций.
Системы обнаружения вторжений могут взаимодействовать с другими элементами безопасности компьютерной системы, к примеру, межсетевыми экранами, которые преграждают ход определенному нежелательному сетевому трафику. Система обнаружения вторжений может выступать вторым барьером, который проверяет разрешенный межсетевым экраном трафик, и может обнаружить злоумышленника, который обошел экран.
На сегодняшний день подобные системы выступают как необходимое дополнение инфраструктуры безопасности в коммерческих, правительственных и муниципальных организациях по всему миру. Технологии, описанные в данной работе, не обеспечивают абсолютной безопасности, но имеют очень эффективные практические применения.
В работе рассматривается задача обеспечения безопасности компьютерной системы путем автоматизации процесса мониторинга событий системы или сети и дальнейшего анализа с целью выявления фактов неавторизированного доступа или несанкционированного управления ресурсами системы. Целью работы является построение прототипа системы обнаружения вторжений, который реализуется в виде служебного программного обеспечения для операционной системы Windows, позволяющего обнаружить факты проникновения в компьютерную систему. В построенном прототипе реализовано выполнение некоторых функциональных задач подобных приложений для сетевого и узлового вариантов реализации.
В рамках работы были изучены архитектура и основные функции систем обнаружения вторжений, их классификация и история развития. Современные СОВ являются очень мощным инструментом защиты компьютерной инфраструктуры, так как имеют возможность считывать информацию из большого количества источников, формируя точное представление о безопасности наблюдаемой системы. Имея внушительный арсенал настроек и правил, а также базы признаков вторжений, которые обновляются каждый день и могут быть подстроены под большинство известных атак, на сегодняшний день СОВ занимают большую нишу в современных инструментах безопасности и каждым годом будут все развиваться.
В качестве практической части работы была реализована система- прототип, работающая на базе операционной системы Windows. Функционал модулей, частей прототипа, был выбран исходя из самых важных и востребованных функций коммерческих СОВ: мониторинг событий журналов регистрации отслеживание целостности объектов файловой системы и наблюдение за сетевой активностью.
Разработанный комплекс и методы анализа событий, предложенные в данной работе, должны обеспечить дополнительный уровень защиты компьютерной системы, помогая администратору своевременно обнаруживать подозрительную активность и идентифицировать атаку.
