Презентация "Средства обнаружения атак - 3" - скачать презентации по Информатике

Средства защиты сетей

МЭ
Средства анализа защищённости
Средства обнаружения атак

Архитектура систем обнаружения атак

Модуль слежения
Модуль управления

Системы на

Архитектура систем обнаружения атак

E-Mail сервер

WWW
сервер

Рабочие места

Маршру-тизатор

МЭ

Сенсоры

Архитектура систем обнаружения атак

E-Mail сервер

WWW
сервер

Рабочие места

Маршру-тизатор

МЭ

Управляющие компоненты

E-Mail сервер

WWW
сервер

Рабочие места

Маршру-тизатор

МЭ

Системы обнаружения атак на базе узла

Системы обнаружения атак на базе узла

Источники данных:
Журналы аудита
Действия пользователей
Необязательно:
Сетевые

Системы обнаружения атак на базе сети

E-Mail сервер

WWW
сервер

Рабочие места

Маршру-тизатор

МЭ

Системы обнаружения атак на базе сети

TCP

IP

NIC

Источник данных:
Сетевые пакеты (фреймы)

Принципы работы систем обнаружения атак

Обнаружение аномалий
Анализ сигнатур

Анализ сигнатур

A

B

ООВ

Port=139

Windows

 Атака “WinNuke”

Сигнатуры «State-less» (однопакетные)

Анализ сигнатур

 Атака “SynFlood”

Сигнатуры «State-based» (анализ таблиц)

A

SYN

X

SYN

ACK

SYN Узел А

SYN Узел А

SYN

Анализ сигнатур

 Атака “HTTP_Shell”

Сигнатуры «Stream-oriented» (сборка сегментов)

WWW-сервер

X

Системы обнаружения атак

Net Prowler

Secure IDS

eTrust
Intrusion
Detection

RealSecure

Snort

Производитель

Axent
Technologies

Cisco
Systems

Computer
Associates

Internet
Security
Systems

Нет

Платформа

Windows NT

Защищенная
версия
Solaris

Windows NT

Windows NT
(2000)

Unix

Технология
обнаружения

Сигнатуры
атак

Принцип
реализации

Сигнатуры
атак

Сигнатуры
атак

Сигнатуры
атак

Сигнатуры
атак

На базе
сети

На базе
сети

На базе

Система обнаружения атак RealSecure

TCP

IP

NIC

На базе узла

На базе сети

Компоненты RealSecure

Модули слежения

Модули управления

Сетевой модуль
(Network Sensor)

Системный агент
(OS Sensor)

Server Sensor

Компоненты RealSecure

Модули слежения

Модули управления

Workgroup
Manager

Server Manager

Командная
строка

Компоненты RealSecure

Модули управления

Workgroup Manager
Event Collector
Enterprise Database
Asset Database
Console

Server

Архитектура

Event Collector
(сбор событий с сенсоров)

Консоли

Сетевой модуль
(Network Sensor)

Системный агент
(OS Sensor)

Server Sensor

Взаимодействие компонентов

Сенсоры

Консоли

Enterprise Database
Asset Database

Event Collector

Расположение сетевого модуля

Network
Sensor

Event Collector

Расположение Server Sensor

Server
Sensor

Event Collector

Пример атаки

Firewall

Web Server

UNIX

Шаг 1. При сканировании портов через МЭ была обнаружена

Пример атаки: Сеть + RealSecure

Firewall

E-Mail

Server

Web

Server

Router

NT

Clients & Workstations

Network

UNIX

NT

UNIX

UNIX

Шаг 1. Сетевой сенсор обнаруживает

Категории контролируемых событий

Атаки
Уровня сети (Сканирование портов, SYN Flood, Ping

Механизмы реагирования RealSecure

Разрыв соединения

Реконфигурация межсетевого экрана

Выполнение программы, определённой пользователем

Отправка сообщения

На консоль

По

Обнаружение атак и МЭ

Использование OPSec SDK, предоставляющих необходимые API
Применение

Реконфигурация МЭ

Network
Sensor

Протокол SAMP

Реконфигурация МЭ

Network
Sensor

Протокол SAMP

Реконфигурация МЭ

Network
Sensor

Практическая работа 12

Работа с программой RealSecure

Система обнаружения
атак Snort

Архитектура

TCP

IP

NIC

По принципу реализации
Система на базе сети

По технологии обнаружения
Анализ сигнатур

Режимы работы

Sniffer Mode
Packet Logger
Intrusion Detection System

Sniffer Mode

Вывод на экран содержимого пакетов

Ethernet

IP

TCP
UDP
ICMP

Данные

./snort -v

./snort -vd

./snort -vde

IP

TCP
UDP
ICMP

Данные

IP

TCP
UDP
ICMP

Packet Logger

Запись содержимого пакетов в файл

./snort –vde –l ./log

подкаталог log в

Intrusion Detection System

Обнаружение событий

./snort –vde –l ./log – c snort.conf

Правила