Резюме

Резюме

Основанные на сравнении сигнатур системы обнаружения вторжения при попытке проанализировать и проинтерпретировать сетевые данные должны учитывать большое количество переменных параметров. По-прежнему у многих атак сохраняются шансы уклониться от подобных систем. Системам обнаружения вторжения трудно преодолеть недостаток доступной для анализа информации. Но темпы совершенствования их возможностей обнаружения атак впечатляют. Гигабитные скорости и гибкие архитектуры, поддерживаемые постоянно растущим сообществом безопасности, способствуют квалифицированной настройке систем для обнаружения всех атак, кроме наиболее тупых и нечастых сценариев нападения.

Всем уровням сетевого стека присущи свои трудности последовательного представления сетевого трафика, а заодно и анализа содержимого каждого передаваемого пакета. Вполне очевидно, что у атакующего есть определенные преимущества, поскольку у него есть возможность спрятать в море информации свои данные и он является единственным, кто знает их истинное предназначение.

В течение нескольких последних лет наблюдались случаи уклонения от обнаружения на уровне пакета. Разработчики систем обнаружения вторжения хорошо знакомы со многими проблемами, сопутствующими захвату пакета и его анализу. Большинство сетей в любом случае начинают фильтровать подозрительные пакеты. Подозрительными считаются пакеты с некоторыми типами установленных флажков и чрезмерной фрагментацией. Возможно, что в ближайшее время нормализация сетевых уровней станет обычным явлением. Тогда многие возможности для уклонения от обнаружения прекратят свое существование.

Трудности анализа протоколов на уровне приложений продолжают оставаться головной болью для лиц, участвующих в обеспечении безопасности сетей. Получили распространение некоторые прокси-решения, но их использование породило множество узких мест. Кроме того, прокси-решения также страдают от присущих системам обнаружения вторжения проблем: они не способны обнаружить первоначально непредусмотренные типы атак.

Вполне допустимо аннулировать искаженные TCP/IP-пакеты в случае ошибки. В конце концов, законная система передаст их повторно. Но на более высоком уровне так делать уже нельзя. Сетевая система обнаружения вторжения может быть чрезвычайно мало осведомлена о протоколах приложения и передаваемой ими информации. Полиморфные атаки являются серьезной проблемой, которую нельзя легко разрешить в рамках систем обнаружения вторжения, основанных чисто на сравнении сигнатур. Число форм представления полиморфных атак практически бесконечно.

Уклонение от систем обнаружения вторжения продолжает оставаться образом жизни в Интернет. Можно наблюдать постоянно обновляемый поток инструментальных средств и способов, которые специально были разработаны и усовершенствованы для усложнения обнаружения вторжения (главным образом в результате усовершенствования обычных поделок хакера-новичка или любителя (script kiddie)). Следует постоянно контролировать и исследовать характеристики работы сети, для того чтобы получить представление о том, что следует ожидать во время повседневной деятельности.