Системи детектування атак.

Система виявлення вторгнень (IDP - Intrusion Detection System) - програмний або апаратний засіб, призначений для виявлення фактів несанкціонованого доступу в комп'ютерну систему або мережу або несанкціонованого управління ними в основному через Інтернет.

IDS можуть сповістити про початок атаки на мережу, причому деякі з них здатні виявляти paніш не відомі атаки. Системи запобігання вторгненням (IPS — англ. Intrusion Prevention System) не обмежуються лише оповіщенням, але й здійснюють piзні заходи, спрямовані на блокування атаки (наприклад. розрив з'єднання або виконання скрипта, заданого адміністратором).

Статичні і динамічні IDS:

- Статичні засоби роблять «знімки» (snapshot) середовища та здійснюють їх аналіз, розшукуючи вразливе ПО, помилки в конфігураціях і т. д. Статичні IDS перевіряють версії прикладних програм на наявність відомих вразливостей і слабких паролів, перевіряють вміст спеціальних файлів в директоріях користувачів або перевіряють конфігурацію відкритих мережевих сервісів. Статичні IDS виявляють сліди вторгнення.

- Динамічні IDS здійснюють моніторинг у реальному часі всіх дій, що відбуваються в системі, переглядаючи файли аудиту або мережні пакети, що передаються за певний проміжок часу. Динамічні IDS реалізують аналіз в реальному часі і дозволяють постійно стежити за безпекою системи.

На практиці досить часто програмно-апаратні рішення поєдують у co6і функціональністъ двох типів систем. Їх об'єднання тоді називають IDPS (IDS i IPS). Аналіз сигнатур застосовується для виявлення вторгнень. Він базується на простому понятті збігу послідовності зі зразком. У вхідному пакеті проглядається байт за байтом і порівнюється з сигнатурою (підписом) - характерним рядком програми, що вказує на характеристику шкідливого трафіку. Такий підпис може містити ключову фразу або команду, яка пов'язана з нападом. Якщо збіг знайдено, оголошується тривога. Системи запобігання вторгнень можна розділити на чотири типи:

• Мережа на основі системи запобігання вторгнень (НПВ): контролює всю мережу на предмет підозрілої трафіку, аналізуючи протокол діяльність.
• Системи бездротової запобігання вторгнень (WIPS): контролювати бездротову мережу на предмет підозрілої трафіку на основі аналізу бездротових мережевих протоколів.
• Аналіз поведінки мережі (НБА): розглядає мережевого трафіку для виявлення загроз, які генерують незвичайні транспортні потоки, такі як розподілена відмова в обслуговуванні (DDoS) атак, деякі форми шкідливого ПЗ і порушення політики.
• Хост-система запобігання вторгненням (HIPS): встановлений програмний пакет, який контролює один вузол для підозрілої активності, аналізуючи події, що відбуваються на цьому хості.

Більшість систем запобігання вторгнень використовувати один з трьох методів виявлення: сигнатура, статистична аномалія і стан аналізу протоколу:

• Підпис на основі виявлення: Підпис на основі IDS контролює пакети в мережі і порівнює з попередньо сконфігурованих і заздалегідь визначених шаблонів атак, відомих як підписів.
• Статистичний аномалія на основі виявлення: статистичної аномалією основі IDS визначає нормальну мережеву активність, як якій смузі пропускання зазвичай використовується, які протоколи використовуються, які порти і пристрої зазвичай з'єднуються один з одним і попередити адміністратора або користувача, коли рух виявлені який є аномальним (не є нормально).

Stateful Аналіз протоколу виявлення: Цей метод виявляє відхилення держав протоколу, порівнюючи спостережувані події з "заданими профілями загальноприйнятих визначень доброякісної діяльності».

Хоча й IDS, і міжмережевий екран відносяться до засобів забезпечення інформаційної безпеки, міжмережевий екран відрізняється тим, що обмежує надходження на хост або підмережу певних видів трафіку для запобігання вторгнень і не відслідковує вторгнення, які відбуваються всередині мережі. IDS, навпаки, пропускає трафік, аналізуючи його і сигналізуючи при виявленні підозрілої активності. Виявлення порушення безпеки проводиться звичайно з використанням евристичних правил та аналізу сигнатур відомих комп'ютерних атак.