Примеры систем активного аудита

Рассмотрим системы активного аудита, наиболее интересные с точки зрения архитектуры или реализованных в них идей.

Система EMERALD является старейшей разработкой в области активного аудита, так как она вобрала в себя опыт более ранних систем — IDES и N1DES, созданных в Лаборатории информатики Стэнфордского исследовательского института (Stanford Research Institute, известен как SRI International) по контракту с DARPA.

EMERALD расшифровывается как Event Monitoring Enabling Responses to Anomalous Live Disturbances — мониторинг событий,

допускающий реакцию на аномалии и нарушения. EMERALD включает в себя все компоненты и архитектурные решения, необходимые для систем активного аудита, оказываясь тем самым не только старейшей, но и самой полной разработкой как среди исследовательских, так и среди коммерческих систем.

Строго говоря, EMERALD является не готовым продуктом, а программной средой, которая строится по модульному принципу. Основным «кирпичиком» служит монитор (см. рис. 6.3). Каждый монитор включает в себя компонент распознавания сигнатур злоумышленных действий, компонент выявления аномальной активности, решатель, выбирающий способ реагирования на нарушения, а также описание контролируемого объекта. Каждый монитор настраивается по описанию и следит за своим объектом. Мониторы распределяются по информационной системе, образуя иерархию. Отметим, что контролируемые объекты могут иметь как системную, так и сетевую природу. Таким образом, совокупность мониторов может покрыть всю информационную систему. Отметим также, что в иерархию могут включаться не только свои, но и чужие компоненты, разработанные другими производителями.

В общем случае мониторы системы EMERALD развертываются динамически, после чего в реальном времени контролируют поведение инфраструктурных и/или прикладных сервисов. Данные для анализа могут собираться как «пассивным» чтением регистрационных журналов или сетевых пакетов, так и с помощью активных проб. Результаты анализа могут направляться в асинхронном режиме другим мониторам.

Для распознавания сигнатур злоумышленных действий используется экспертная система P-BEST, а выявление аномальной активности основано на применении четырех классов величин (категориальных, непрерывных, показателей интенсивности, распределениях). Статистическому анализу подвергается поведение не пользователей, а сервисов. Профили сервисов существенно меньше и они гораздо стабильнее, чем у пользователей.

В основе своей монитор не зависит от отслеживаемого объекта. Все специфическое вынесено в описание объекта, служащее для настройки подключаемых библиотек. Настраиваются такие методы, как сбор регистрационной информации, реагирование, а также аналитические параметры анализа, список соседей, с которыми нужно обмениваться сигналами тревоги, и т. п.

EMERALD не навязывает определенной архитектуры. Можно выстроить совокупность слабосвязанных мониторов с «легковесным» локальным анализом или же жесткую иерархию с мощным централизованным анализом. Можно делать акцент на сетевых или системных сенсорах.

В среде EMERALD изначально существуют описания для элементов инфраструктуры (маршрутизаторы, межсетевые экраны) и прикладных сервисов (FTP, SMTP, HTTP и т. д.). Это означает, что, наряду с гибкостью и расширяемостью, EMERALD в достаточной степени удобен для быстрого развертывания в типичной информационной системе.

Одной из важнейших новаций системы EMERALD является статистический анализ сигналов тревоги, поступающих от разных мониторов. Такой анализ проводится по четырем категориям:

• выявление общих характеристик;

• исследование одного события с разных точек зрения;

• выявление связей между сигналами тревоги;

• выявление тренда (детерминированной составляющей). EMERALD годится не только для активного аудита, но и для решения других задач информационной безопасности и управления (например, поддержания высокой доступности или анализа поведения сети). Иерархическая организация мониторов и корреляционный анализ помогают выявлять скоординированные, распределенные атаки.

Система NFR (Network Flight Recorder) относится к числу сетевых систем, существующих в виде свободно распространяемого инструментария и коммерчески «упакованного» продукта NFR Intrusion Detection Appliance. С внешней точки зрения NFR представляет собой либо одну станцию, осуществляющую мониторинг сегмента сети, к которому она подключена, либо совокупность таких станций с центральной управляющей консолью.

Строго говоря, NFR — это нечто большее, чем система выявления подозрительной сетевой активности. Правильнее рассматривать ее как компонент сетевого управления, одним из аспектов которого является борьба с нарушениями политики безопасности (равно как и со сбоями и отказами оборудования и программного обеспечения).

Основные компоненты внутренней архитектуры NFR показаны на рис. 6.4. Один или несколько сетевых сенсоров (packet suckers в терминологии NFR) поставляют данные решателю, который эти данные фильтрует, реассемблирует потоки, при обнаружении нарушений реагирует на них, а также передает информацию поддерживающему сервису для сохранения с последующей статистической обработкой и обслуживанием запросов. Поддерживающий сервис может также просматривать переданную ему информацию на предмет выявления сигнатур злоумышленных действий.

Для всех стыков определены программные интерфейсы, так что возможна, например, смена или добавление сенсора или поддерживающего сервиса. Разделение поддерживающего сервиса от сбора и первичного анализа регистрационной информации позволяет распределять нагрузку, чтобы сложная обработка не тормозила процессы, от которых требуется работа в реальном масштабе времени.

Ядром NFR является решатель, а основой решателя — язык описания фильтров, который называется N. Это универсальный язык программирования, содержащий переменные с областями видимости, списочные типы данных, управляющие структуры, процедуры. Кроме того, в N есть специфические типы данных такие, как IP-адрес. Под значения разного рода счетчиков отводится по 64 разряда, что освобождает от проблем переполнения даже в больших сетях.

N — интерпретируемый язык. Программы, написанные на N, переводятся в коды для простой стековой машины. Такие программы (и, следовательно, фильтры) оказываются весьма компактными;

Что касается скорости интерпретации, то при достаточно высоком уровне базовых операций она оказывается не намного ниже, чем при выполнении скомпилированной программы. Кроме того, применяемый при интерпретации М-программ механизм ленивых вычислений позволяет избежать лишних операций, обычно сопутствующих проверке сложных условий.

В N заложены знания о структуре сетевых пакетов и протоколах более высоких уровней. Например, допустимы обращения вида ip.src, tcp.hdr или syslog.message. Возможно и обращение к произвольным частям пакетов. В принципе, на N можно написать интерпретатор любого прикладного протокола.

Приведем пример простого фильтра, выбирающего запрашиваемые клиентом по протоколу HTTP локаторы ресурсов.

.filter server tcp (client, port: 80, start: "GET", stop: " ")

record ip.src, ip.dst, tcp.sport, tcp.dport,

tcp.bytes to urIRecorder;

}

Этот фильтр анализирует TCP-соединения с серверным портом 80, ищет в потоке данных цепочку символов «GET», записывает все от места совпадения до пробела в поле tcp.bytes (предполагается, что это и будет URL), после чего отправляет поддерживающему сервису исходные и целевые IP-адреса и номера ТСР-портов, а также выявленный URL.

В данном случае разыскиваемый шаблон весьма прост. Подчеркнем, что язык N позволяет сделать его сколь угодно сложным.

Программы на N, поддерживающий сервис, интерпретатор могут генерировать сигналы тревоги, для обработки которых существует специальная программа, работающая в фоновом режиме. Эта программа на основе ассоциированной информации определяет дальнейший маршрут и приоритет сигналов тревоги.

NFR не является универсальной системой активного аудита, но представляет несомненный интерес, прежде всего, как хорошо выполненный строительный блок, который можно установить в управляющую среду, объединить со средствами выявления подозрительной активности на хостах и т. п. Язык N обладает достаточной мощностью и для записи сигнатур атак с учетом возможных вариаций, и для выражения сетевых аспектов политики безопасности организации. В качестве рекомендуемой конфигурации для NFR Intrusion Detection Appliance выбран компьютер с процессором Intel Pentium II 400 МГц и ОЗУ 256 МБ.

Вопросы к главе 6

1. Дайте определение вычислительных сетей и приведите их классификацию.

2. Дайте краткую характеристику основным топологическим разновидностям сетей.

3. Приведите и охарактеризуйте основные положения концепции построения сетевых протоколов.

4. Приведите сравнительные характеристики наиболее распространенных локальных вычислительных сетей.

5. Назовите и охарактеризуйте основные сетевые ОС.

6. Дайте краткую характеристику принципам и методам организации

межсетевого взаимодействия.

7. Дайте краткую характеристику прикладному программному обеспечению локальных сетей.

8. Сформулируйте цели защиты информации в сетях ЭВМ и назовите основные угрозы информации в сетях.

9. Приведите перечень основных механизмов защиты информации в сетях и дайте им краткую характеристику.

10. Приведите и охарактеризуйте основные положения концепции защиты информации в эталонной модели взаимодействия открытых сетей.

11. Приведите структуру и содержание процедуры взаимной аутентификации пользователей сети.

12. Раскройте сущность метода распределения ключей прииспользовании:

— традиционных систем шифрования;

— систем шифрования с открытым ключом;

— методов цифровой подписи данных, передаваемых в сетях.

13. Приведите краткое описание системы защиты локальной вычислительной сети «Secret NET».

14. Дайте характеристики системам активного аудита.

Поиск по сайту: