Система обнаружения вторжений на основе хоста - Host-based intrusion detection system

А хост-система обнаружения вторжений (HIDS) является Система обнаружения вторжений который способен контролировать и анализировать внутреннее устройство вычислительной системы, а также сетевые пакеты на ее сетевых интерфейсах, подобно тому, как работает сетевая система обнаружения вторжений (NIDS).[1] Это был первый тип программного обеспечения для обнаружения вторжений, который был разработан, при этом исходной целевой системой являлась универсальный компьютер где внешнее взаимодействие было нечастым.[2]

Обзор

IDS на основе хоста способна отслеживать все или части динамического поведения и состояния компьютерной системы в зависимости от того, как она настроена. Помимо таких действий, как динамическая проверка сетевых пакетов, нацеленных на этот конкретный хост (дополнительный компонент большинства программных решений, имеющихся в продаже), HIDS может обнаружить, какая программа обращается к каким ресурсам, и обнаружить, что, например, текстовый процессор внезапно и необъяснимо начал изменять база данных системных паролей. Аналогичным образом HIDS может смотреть на состояние системы, хранящуюся в ней информацию, находится ли она в баран, в файловой системе, файлах журнала или где-либо еще; и убедитесь, что их содержимое отображается должным образом, например не были изменены злоумышленниками.[3]

Можно думать о HIDS как о агент которая отслеживает, удалось ли что-либо или кто-либо, будь то внутренний или внешний, обойти систему политика безопасности.

Мониторинг динамического поведения

Многие пользователи компьютеров сталкивались с инструментами, отслеживающими динамическое поведение системы в виде антивирус (AV) пакеты. Хотя антивирусные программы часто также отслеживают состояние системы, они тратят много времени на то, чтобы выяснить, кто и что делает внутри компьютера, и должна ли данная программа иметь доступ к определенным системным ресурсам. Границы здесь становятся размытыми, так как многие инструменты частично совпадают по функциональности.

Немного системы предотвращения вторжений защищать от переполнение буфера атакует системную память и может политика безопасности.[4]

Состояние мониторинга

Принцип работы HIDS зависит от того, что успешные злоумышленники (хакеры ) обычно оставляют следы своей деятельности. На самом деле такие злоумышленники часто хотят собственный компьютер, на который они атаковали, и установят свое «право собственности», установив программное обеспечение, которое предоставит злоумышленникам в будущем доступ для выполнения любых действий (регистрация нажатий клавиш, кража личных данных, рассылка спама, активность ботнета, использование шпионского ПО и т. д.) они предусматривают.

Теоретически пользователь компьютера имеет возможность обнаруживать любые такие модификации, и HIDS пытается сделать именно это и сообщает о своих выводах.

В идеале HIDS работает вместе с NIDS, так что HIDS находит все, что проскальзывает мимо NIDS. Имеющиеся в продаже программные решения часто сопоставляют результаты исследований NIDS и HIDS, чтобы определить, успешно ли злоумышленник проник в целевой хост.

Большинство успешных злоумышленников при входе на целевой компьютер немедленно применяют передовые методы безопасности для защиты системы, в которую они проникли, оставляя только свои собственные задняя дверь открыть, чтобы другие злоумышленники не могли захватить их компьютеры.

Техника

Обычно HIDS использует база данных (объектная база данных) системных объектов, которые он должен отслеживать - обычно (но не обязательно) объекты файловой системы. HIDS также может проверить, что соответствующие области памяти не были изменены - например, таблица системных вызовов для Linux, и различные vtable структуры в Майкрософт Виндоус.

Для каждого рассматриваемого объекта HIDS обычно запоминает его атрибуты (разрешения, размер, даты изменений) и создает контрольная сумма своего рода ( MD5, SHA1 hash или аналогичный) для содержимого, если таковое имеется. Эта информация сохраняется в защищенной базе данных для последующего сравнения (база данных контрольных сумм).

Альтернативный метод HIDS мог бы заключаться в предоставлении функциональности типа NIDS на уровне сетевого интерфейса (NIC) конечной точки (сервера, рабочей станции или другого конечного устройства). Предоставление HIDS на сетевом уровне имеет то преимущество, что обеспечивает более подробную регистрацию источника (IP-адреса) атаки и деталей атаки, таких как пакетные данные, ни одна из которых не может быть обнаружена подходом динамического поведенческого мониторинга.

Операция

Во время установки - и всякий раз, когда какой-либо из отслеживаемых объектов изменяется законным образом - HIDS должен инициализировать свою базу данных контрольных сумм, сканируя соответствующие объекты. Лица, отвечающие за компьютерную безопасность, должны жестко контролировать этот процесс, чтобы предотвратить внесение злоумышленниками несанкционированных изменений в базы данных. Таким образом, такая инициализация обычно занимает много времени и требует криптографически блокировка каждого отслеживаемого объекта и баз данных контрольных сумм или того хуже. Из-за этого производители HIDS обычно строят объектную базу данных таким образом, чтобы делать частые обновления базы данных контрольных сумм ненужными.

Компьютерные системы обычно имеют много динамических (часто изменяющихся) объектов, которые злоумышленники хотят изменить - и которые, таким образом, должны отслеживать HIDS, - но их динамический характер делает их непригодными для метода контрольной суммы. Чтобы решить эту проблему, HIDS использует различные другие методы обнаружения: отслеживание изменения атрибутов файлов, файлов журналов, размер которых уменьшился с момента последней проверки, и множество других средств для обнаружения необычных событий.

После того, как системный администратор создал подходящую базу данных объектов - в идеале с помощью и советами инструментов установки HIDS - и инициализировал базу данных контрольных сумм, у HIDS есть все необходимое для регулярного сканирования отслеживаемых объектов и отчетов обо всем, что может появиться пошло не так. Отчеты могут иметь форму журналов, электронных писем и т.п.

Защита HIDS

HIDS обычно идет на все, чтобы предотвратить любую форму взлома базы данных объектов, базы данных контрольных сумм и ее отчетов. В конце концов, если злоумышленникам удастся изменить любой из объектов, которые отслеживает HIDS, ничто не сможет помешать таким злоумышленникам изменить сам HIDS - если администраторы безопасности не примут соответствующих мер предосторожности. Много черви и вирусы например, попытается отключить антивирусные программы.

Помимо крипто-технологий, HIDS может позволить администраторам хранить базы данных на CD-ROM или на других запоминающих устройствах, предназначенных только для чтения (еще один фактор в пользу нечастых обновлений ...), или хранении их в некоторой внесистемной памяти. Точно так же HIDS часто немедленно отправляет свои журналы за пределы системы - обычно с использованием каналов VPN в какую-либо центральную систему управления.

Можно утверждать, что доверенный платформенный модуль включает в себя тип HIDS. Хотя его область действия во многом отличается от области применения HIDS, по сути, она предоставляет средства для определения того, не вмешивался ли что-либо / кто-либо в часть компьютера. Архитектурно это обеспечивает максимальную (по крайней мере, на данный момент) обнаружение вторжений на основе хоста, в зависимости от оборудования, внешнего по отношению к ЦПУ сам, что значительно усложняет злоумышленнику повреждение его базы данных объектов и контрольных сумм.

Прием

InfoWorld заявляет, что программное обеспечение системы обнаружения вторжений на основе хоста является полезным способом для сетевых администраторов находить вредоносное ПО, и предлагает запускать его на всех серверах, а не только на критических.[5]

Смотрите также

Рекомендации

  1. ^ Ньюман, Роберт С. (2009). Компьютерная безопасность: защита цифровых ресурсов. Джонс и Бартлетт Обучение. ISBN  978-0-7637-5994-0.
  2. ^ Дебар, Эрве; Дасье, Марк; Веспи, Андреас (23 апреля 1999 г.). «К таксономии систем обнаружения вторжений». Компьютерная сеть. 31 (8): 805–822. Дои:10.1016 / S1389-1286 (98) 00017-6.
  3. ^ Вакка, Джон. Справочник по компьютерной и информационной безопасности. Морган Кауфман, 2013, с. 494–495.
  4. ^ Кокс, Керри; Герг, Кристофер (2004). Управление безопасностью с помощью инструментов Snort и IDS. Серия О'Рейли. O'Reilly Media, Inc. стр. 3. ISBN  978-0-596-00661-7.
  5. ^ Марсан, Кэролайн Даффи (6 июля 2009 г.), «10 самых глупых ошибок сетевых менеджеров», InfoWorld, IDG Network, получено 31 июля 2011

внешняя ссылка