Система обнаружения вторжений (IDS) используется для обнаружения вредоносного сетевого трафика и неправильного использования системы, которые обычные брандмауэры не могут обнаружить. Таким образом, IDS обнаруживает сетевые атаки на уязвимые службы и приложения, атаки, основанные на узлах, такие как повышение привилегий, несанкционированный вход в систему и доступ к конфиденциальным документам, а также заражение вредоносным ПО (троянские кони, вирусы и т. д.). Это оказалось фундаментальной необходимостью для успешной работы сети.

Ключевое различие между системой предотвращения вторжений (IPS) и IDS заключается в том, что, хотя IDS только пассивно отслеживает и сообщает о состоянии сети, IPS выходит за рамки, она активно останавливает злоумышленников от выполнения злонамеренных действий.

В этом руководстве будут рассмотрены различные типы IDS, их компоненты и типы методов обнаружения, используемых в IDS.

Исторический обзор IDS

Джеймс Андерсон представил идею обнаружения вторжений или неправомерного использования системы путем отслеживания паттернов аномального использования сети или неправильного использования системы. В 1980 году на основе этого отчета он опубликовал свою статью под названием «Мониторинг и наблюдение за угрозами компьютерной безопасности». В 1984 году была запущена новая система под названием «Экспертная система обнаружения вторжений (IDES)». Это был первый прототип IDS, отслеживающий действия пользователя.

В 1988 году была представлена ​​еще одна IDS, названная «Стог сена», которая использовала шаблоны и статистический анализ для обнаружения аномальной активности. Однако эта IDS не имеет функции анализа в реальном времени. Следуя той же схеме, Лаборатория Лоуренса Ливермора в Дэвисе Калифорнийского университета представила новую IDS под названием Network System Monitor (NSM) для анализа сетевого трафика. Впоследствии этот проект превратился в IDS под названием «Распределенная система обнаружения вторжений (DIDS)». На основе DIDS был разработан «Сталкер», и это была первая коммерчески доступная IDS.

В середине 1990-х годов SAIC разработала хост-систему IDS под названием «Система обнаружения неправильного использования компьютеров (CMDS)». Другая система под названием «Автоматическое измерение инцидентов безопасности (ASIM)» была разработана Центром криптографической поддержки ВВС США для измерения уровня несанкционированной активности и обнаружения необычных сетевых событий.

В 1998 году Мартин Рош запустил IDS с открытым исходным кодом для сетей под названием «SNORT», который впоследствии стал очень популярным.

Типы IDS

По уровню анализа можно выделить два основных типа IDS:

1. IDS на основе сети (NIDS): он предназначен для обнаружения сетевых действий, которые обычно не обнаруживаются простыми правилами фильтрации брандмауэров. В NIDS отдельные пакеты, проходящие через сеть, отслеживаются и анализируются для обнаружения любых вредоносных действий, происходящих в сети. «SNORT» — это пример NIDS.
2. IDS на основе хоста (HIDS): отслеживает действия, происходящие на отдельном хосте или сервере, на котором мы установили IDS. Эти действия могут быть попытками входа в систему, проверкой целостности файлов в системе, отслеживанием и анализом системных вызовов, журналов приложений и т. д.

Гибридная система обнаружения вторжений: это комбинация двух или более типов IDS. «Прелюдия» — пример такого типа IDS.

Компоненты IDS

Система обнаружения вторжений состоит из трех различных компонентов, как кратко объясняется ниже:

1. Датчики: они анализируют сетевой трафик или сетевую активность и генерируют события безопасности.
2. Консоль: их цель — мониторинг событий, а также оповещение и управление датчиками.
3. Механизм обнаружения: события, генерируемые датчиками, регистрируются механизмом. Они записываются в базу данных. У них также есть политики для генерации предупреждений, соответствующих событиям безопасности.

Методы обнаружения IDS

В широком смысле методы, используемые в IDS, можно классифицировать как:

1. Обнаружение на основе сигнатур/шаблонов: мы используем известные шаблоны атак, называемые «сигнатурами», и сопоставляем их с содержимым сетевых пакетов для обнаружения атак. Эти сигнатуры, хранящиеся в базе данных, представляют собой методы атак, которые злоумышленники использовали в прошлом.
2. Обнаружение неавторизованного доступа: здесь IDS настроен на обнаружение нарушений доступа с помощью списка управления доступом (ACL). ACL содержит политики контроля доступа и использует IP-адреса пользователей для проверки их запросов.
3. Обнаружение на основе аномалий: он использует алгоритм машинного обучения для подготовки модели IDS, которая учится на регулярной модели активности сетевого трафика. Затем эта модель действует как базовая модель, с которой сравнивается входящий сетевой трафик. Если трафик отклоняется от нормального поведения, генерируются предупреждения.
4. Обнаружение аномалий протокола: в этом случае детектор аномалий обнаруживает трафик, который не соответствует существующим стандартам протокола.

Заключение

Активность онлайн-бизнеса в последнее время возросла, и компании имеют несколько офисов, расположенных в разных местах по всему миру. Необходимо постоянно поддерживать компьютерные сети на уровне Интернета и на уровне предприятия. Для компаний естественно становиться мишенью дурных глаз хакеров. Таким образом, защита информационных систем и сетей стала очень важной проблемой. В этом случае IDS стала жизненно важным компонентом сети организации, которая играет важную роль в обнаружении несанкционированного доступа к этим системам.

«Какой сегодня приятный день», — сказали вы с пылкими глазами в надежде добиться отличного результата. Вы отправились на работу за компьютерный стол, уютно ожидая входа в систему, но вы заметили, что это заняло больше времени, чем обычно. Теперь вы открываете свою страницу в Твиттере, чтобы увидеть свои обычные ленты, но видите некоторые странные сообщения от своего имени, о которых вы не знали. Вы заметили, что с вашим аккаунтом произошла какая-то неприятная вещь.

Вы поспешили проверить свою учетную запись Paypal; к сожалению, было уже поздно, на вашем счете был баланс 0,0$. История транзакций выявила несколько странных переводов. Вскоре после входа в систему вы заметили, что ваша мышь сильно отстает, а счетчик системных ресурсов указывает на перегрузку ЦП и сильное истощение ОЗУ. «Хорошо, это нормальная системная потребность в обновлении», — вы использовали свой технический ум и попытались перезагрузить систему. К вашему удивлению, ваша система отключалась слишком долго.

Каким-то образом вам удалось снова войти в систему, обновить систему и отправить электронное письмо в Paypal и Twitter об активности вашей учетной записи. Тем временем вы заметили, что предыдущая проблема со входом в систему все еще сохраняется и усиливается.

Вы начали лихорадочно искать решение на интернет-форумах и связались с несколькими экспертами по безопасности. Вам объяснили, что такое «боты» и «активность ботнета» в вашей системе.

Если вы сталкивались с подобной историей, возможно, вы стали жертвой атаки ботнета. В этом посте мы объясним вам, в чем проблема с ботнетом и почему вы должны о ней заботиться.

Что такое ботнет?

Ботнет — это сеть или набор скомпрометированных компьютеров или ботов, которые злоумышленник в основном использует для получения финансовой выгоды. Этими ботами управляет удаленный злоумышленник, называемый ботмастером или бот-пастырем. Ботмастер использует изощренные способы заражения компьютеров и скрытия своей личности от узнавания. Ботнет — это просто сеть ботов. Как только бот помещается в компьютер жертвы, он может получить ваши конфиденциальные учетные данные, стереть ваш банковский баланс, сделать ваш компьютер частью армии «зомби» для проведения DDoS-атак и выполнения еще более вредоносных действий.

Боты и бот-сети — это очень сложные вредоносные программы, которые очень необычно обнаруживать и удалять из-за их скрытого дизайна. Типичная армия ботнета может состоять из многих членов (зомби) от нескольких сотен до нескольких тысяч ботов. Бот нацелен на то, чтобы находиться на компьютере жертвы в течение длительного времени, чтобы получить длительный контроль.

Как работает ботнет

Термин «ботнет» можно интерпретировать как «сеть роботов (сокращенно ботов)». Потенциал атаки ботнета зависит в основном от размера армии ботов; чем больше размер, тем значительнее будет воздействие.

Злоумышленник сначала заражает компьютеры жертвы вредоносным ПО или рекламным ПО, используя фишинговые вложения электронной почты, заражая вредоносные веб-сайты или известные уязвимости (CVE). Существует два основных типа структур ботнета:

1. 1. Модель клиент/сервер (централизованная): это традиционный способ управления ботами. Как только боты размещены, бот-мастер создает канал управления и контроля для удаленного управления ботами. В этом случае ботнеты используют для связи либо сеть Internet Relay Chat (IRC), либо канал HTTP. Примеры этих типов ботов включают Bobax, Rustock, Agobot, Spybot и т. д.
   2. Модель Peer to Peer (P2P): она использует децентрализованную модель, в которой бот действует как C&C сервер и как клиент. Эта модель также сравнительно более надежна, чем централизованная, и ее труднее обнаружить с помощью защитных контрмер. Примеры ботов на основе P2P: Nugache, Peacomm, Sinit и т.д.

Помимо описанной выше модели, в ботнетах есть еще несколько протоколов и топологий.

Меры защиты от атак ботнета

Чтобы уберечь вашу систему от вербовки в армию ботнета, вам следует принять во внимание следующие советы:

1. Расскажите сотрудникам вашей компании о последних возникающих угрозах и мерах защиты, которые необходимо адаптировать с помощью обучения по вопросам безопасности.
2. Установите последние исправления безопасности системы и регулярно выполняйте антивирусное сканирование всех систем.
3. Разверните брандмауэр для противодействия атакам ботнета на сетевом уровне.
4. Используйте систему обнаружения вторжений (IDS) и систему предотвращения вторжений (IPS) для мониторинга сетевой активности и предотвращения угроз.
5. Храните свои данные в безопасности с помощью регулярного резервного копирования. Это действительно полезно в случае атаки, когда вы заблокированы от доступа к ней.

Заключение

Угроза ботнета превратилась в одну из серьезных проблем современной ИТ-безопасности. В наши дни технология ботнета P2P становится все более распространенным методом. Исследуется много новых способов предотвратить эту угрозу. Важно то, что вы спланируете эффективную политику безопасности для своей организации для решения проблемы ботнета.