Конспект

Конспект

· Возможности сетевых систем обнаружения вторжения определяются их базами сигнатур. Именно из этого следует необходимость повторных обновлений баз данных сигнатур сетевых систем обнаружения вторжения по мере появления новых уязвимостей. Только так можно защититься от использующих их атак.

· Большинство сетевых систем обнаружения вторжения не оповещают об атаке даже в случае незначительного изменения заранее определенных сигнатур. Если используется сравнение сигнатур, то это позволяет злоумышленнику избежать обнаружения его атаки.

· Атакующие будут продолжать совершенствовать свои способы уклонения от систем обнаружения вторжения, поэтому следует значительно наращивать возможности систем обнаружения вторжения, необходимые для контроля сетевого трафика и обнаружения атак. Это внесло бы достойный вклад в отражение атак типа отказ в обслуживании (DoS) и противодействие различным возможностям уклонения.

· Большинство разработчиков реализует протоколы TCP/IP с небольшими отклонениями от стандарта. Из-за этого сетевые системы обнаружения вторжения испытывают затруднения при построении представления сетевых соединений между другими системами. Получающееся при этом противоречивое представление позволяет злоумышленнику избежать обнаружения.

· Хосты могут не строго придерживаться спецификаций, допуская обработку некоторых типов пакетов, которые не могут обработать сетевые системы обнаружения вторжения.

· Сетевые системы обнаружения вторжения не получают достаточно информации из передаваемых по каналам связи данных для восстановления соединений TCP/IP. Благодаря предусмотренным в стеке TCP/IP опциям и состояниям возможны некоторые двусмысленности относительно интерпретации хостом принимаемой информации. Переданной во время сеанса информации недостаточно для ее правильной интерпретации.

· Программы fragrouter и congestant являются эффективными инструментальными средствами уклонения от обнаружения. В них реализован ряд зарегистрированных способов уклонения от сетевой системы обнаружения вторжения.

· Протоколы приложений подробны и предоставляют многочисленные разнообразные функции. Есть много тонких, скрытых и устаревших нюансов приложений, которые затрудняют эффективную расшифровку протоколов приложений. Злоумышленник может воспользоваться даже небольшой оплошностью разработчиков приложений.

· Приложения имеют тенденцию учитывать небольшие изменения в протоколе работы. Разработчики преднамеренно встраивают в свои приложения возможности исправления ошибок, пытаясь придать смысл любому запросу вне зависимости от его состояния. В условиях отсутствия строгого соответствия сетевых приложений ранее определенным спецификациям сетевой системы обнаружения вторжения трудно предугадать их поведение.

· Для представления данных существуют многочисленные режимы кодирования. Опции кодирования Unicode, Unix – Unix (UUENCODE (Unix to Unix Encoding) – кодирование Unix – Unix. Метод преобразования файлов из двоичного формата в текстовый и обратно для обеспечения пересылки по сети Интернет сообщений при помощи электронной почты) или шестнадцатеричного кодирования описаны во многих прикладных протоколах. Подобное альтернативное представление данных усложняет развитие средств обнаружения вторжения.

· Обычно всегда существует более одного способа что-либо сделать. Когда обнаружение зависит от идентификации прикладного кода, то есть много способов генерации кода атаки.

· Большинство атак изменяют свой код от хоста к хосту. Код может изменяться даже при наложении ограничений на длину или тип возможных кодов.