Treść książki
Przejdź do opcji czytnikaPrzejdź do nawigacjiPrzejdź do informacjiPrzejdź do stopki
826
Rozdział16.Bezpieczeństwo
Cojednakstanowiowłamaniu?Zdefiniowanieodpowiedniejspecyfikacji
włamaniaokazujesiędośćtrudne,toteżdzisiejszeautomatyczneIPS-yzazwy-
czajzasadzająsięnajednejlubdwóchmniejambitnychmetodach.Wpierwszej,
nazywanejwykrywaniemopartymnasygnaturach(signature-baseddetection),
wejściesystemulubruchwsiecibadasiępodkątemwystępowaniaspecyficz-
nychwzorcówzachowań(czylisygnatur),októrychwiadomo,żeznamionują
atak.Prostymprzykłademwykrywaniaopartegonasygnaturachjestposzuki-
wanienapisu/etc/passwdwpakietachsieciowychkierowanychdosystemu
UNIX.Innyprzykładstanowioprogramowaniewykrywającewirusy,które
analizujeplikibinarnelubpakietysieciowe,poszukującznanychwirusów.
Wdrugiejmetodzie,zazwyczajnazywanejwykrywaniemanomalii(anom-
alydetection),zapomocąróżnychtechnikpodejmujesiępróbywykrycianie-
normalnegozachowaniawobrębiesystemówkomputerowych.Rzeczjasna,nie
wszystkieodbiegająceodnormydziałaniasystemuwskazująnawłamanie,lecz
zakładasię,żewłamaniaczęstowywołująwsystemienienormalnezachowanie.
Przykłademwykrywaniaanomaliijestmonitorowaniewywołańsystemowych
odnoszącychsiędoprocesu-demona,mającenaceluzaobserwowanie,czytakie
wywołanianieodbiegająodzwykłychschematówiczynaprzykładniewska-
zująnadążeniedoprzepełnieniabuforawobrębiedemonawceluuszkodzenia
jegodziałania.Innymprzykłademjestnadzorowaniepoleceńpowłokowych
wceluwykrywaniapoleceńnietypowychdladanegoużytkownikalubnienor-
malnejporyotwieraniaprzezniegosesji–jednoidrugiemożewskazywać,że
atakującemuudałosięuzyskaćdostępdokontadanegoużytkownika.
Wykrywanieopartenasygnaturachiwykrywanieanomaliimożnauważać
zadwiestronytegosamegomedalu.Wwykrywaniuopartymnasygnaturach
dążysiędoscharakteryzowanianiebezpiecznychzachowańitropieniawystę-
powaniaktóregośznich,natomiastwykrywanieanomaliitopróbascharakte-
ryzowanianormalnych(czylinietworzącychzagrożenia)zachowańiodnoto-
wywaniewystąpieńzachowańinnychniżone.
TeróżnepodejściaprowadząjednakdosystemówIPSobardzoróżnych
własnościach.Wszczególnościwykrywanieanomaliimożeujawniaćuprzednio
nieznanemetodywłamań(zwaneatakamidniazerowego;zero-dayatacks).Wy-
krywanieopartenasygnaturachbędzienatomiastwykazywaćtylkoznaneme-
todyataku,dającesięskodyfikowaćwrozpoznawalnywzorzec.Tymsamym
nowerodzajeataku,któreniebyłyjeszczeprzeanalizowane,kiedygenerowano
sygnatury,pozostanąniewykrytenapodstawiesygnatur.Jesttoproblemdo-
brzeznanydostawcomoprogramowaniawykrywającegowirusy;musząoni
publikowaćbardzoczęstonowesygnatury,wśladzaręcznymwykrywaniem
nowychwirusów.
Wykrywanieanomaliiniekonieczniejednakgórujenadwykrywaniem
opartymnasygnaturach.Wistocie,poważnymwyzwaniemdlasystemówpo-
dejmującychwykrywanieanomaliijestznalezieniewłaściwejmiaryflnormalne-
go”zachowaniasystemu.Jeślisystemwtrakcieokreślaniatakiejmiaryjestjuż
