Hogyan működnek egy azonosítók?

Hé! Hálózati beszállítóként tisztességes részesedésem volt a behatolás -észlelési rendszerekkel (IDS). Lehet, hogy kíváncsi: "Hogyan működik egy azonosítót?" Nos, csatolj fel, mert lebontom neked.

Először is, értjük, mi az IDS. Egyszerűen fogalmazva: az IDS olyan, mint egy biztonsági őr a hálózatához. Figyelembe veszi a hálózatba és a hálózatba folyó forgalomra, és minden baj jeleit keresi. Gondolj rá, mint egy nyomozóra, amely mindig arra törekszik, hogy a rossz fiúk megpróbálják becsapódni a digitális szomszédságába.

Két fő ID-típus létezik: a hálózati és a gazdagép-alapú. Hálózati alapú IDS (NIDS) ül a hálózaton, és figyelemmel kíséri az összes áthaladó forgalmat. Olyan, mintha egy őr lenne a hálózat elülső kapujánál, ellenőrizze minden be- és kijönő autót. Másrészt egy host-alapú IDS (HIDS) telepítve van az egyes számítógépekre vagy szerverekre. Olyan, mintha egy biztonsági rendszer lenne a digitális környéken lévő házakon belül, figyelemmel kísérve, mi folyik a benne.

Szóval, hogyan működnek egy azonosítót? Nos, az egész az adatgyűjtéssel kezdődik. Az ID -knek információkat kell gyűjteniük a hálózati forgalomról vagy a gazdagépen működő tevékenységekről. Ide tartozhatnak olyan dolgok, mint a forrás és a cél IP -címek, a használt portok, a protokoll típusa és az üzenetek tartalma.

Miután az IDS összegyűjtötte az adatokat, elemeznie kell azt. Két fő elemzési módszer létezik: aláírás-alapú és anomália-alapú.

Az aláírás-alapú elemzés olyan, mint egy keresett poszter használata. Az IDS -nek van egy adatbázisa ismert támadási mintákról vagy aláírásokról. Amikor egy olyan forgalmat lát, amely megegyezik ezen aláírások egyikével, riasztást vet fel. Például, ha az IDS tudja, hogy egy bizonyos típusú vírus mindig egy adott üzenetet küld, akkor minden forgalmat jelöl, amely potenciális fenyegetésként tartalmazza az üzenetet.

Az aláírás-alapú elemzésnek azonban vannak korlátai. Csak olyan támadásokat észlelhet, amelyekről már tud. Ha új típusú támadás érkezik, akkor az azonosítók nem tudják felismerni, amíg új aláírást nem adnak az adatbázisba. Itt jön be az anomálián alapuló elemzés.

Az anomália-alapú elemzés olyan mintákat keres, amelyek különböznek a hálózat vagy a gazdaszervezet normál viselkedésétől. Olyan, mintha észrevennénk, hogy egy autó túl gyorsan vagy rossz sávban vezet. Az IDS először megtanulja, hogy néz ki a "normál" a hálózati forgalom vagy a gazdaszervezet tevékenységeinek egy bizonyos ideig. Ezután keresi a normál viselkedéstől való eltéréseket. Ha lát valamit, ami szokatlan, akkor riasztást vet fel.

Például, ha a felhasználó általában normál munkaidőben jelentkezik be a fiókjába, de hirtelen megpróbál bejelentkezni 3 órakor, akkor az azonosítók ezt rendellenességként jelzik. Vagy ha egy szerver általában csak egy bizonyos forgalmat kap, de hirtelen elkezdi hatalmas kérések beáramlását, ez a baj jele lehet.

Természetesen mind az aláírás-alapú, mind az anomálián alapuló elemzésnek megvan az előnye és hátránya. Az aláírás-alapú elemzés nagyon pontos az ismert támadások észlelése során, de nem tud újokat észlelni. Az anomálián alapuló elemzés új és ismeretlen támadásokat képes felismerni, de sok hamis riasztást is generálhat. Ez az oka annak, hogy sok IDS mindkét módszer kombinációját használja, hogy mindkét világ legjobbjait kihasználhassa.

Most beszéljünk néhány olyan eszközről, amelyet egy azonosítóval együtt lehet használni. Hálózati beszállítóként gyakran azt javaslom, hogy használjon kiváló minőségű hálózati analizátorokat a megfigyelési és elemzési folyamat elősegítésére. Például aE8364A Agilent Network Analyzer, 45 MHz - 50 GHzKiváló eszköz a hálózati teljesítmény mérésére és elemzésére. Részletes információkat szolgáltathat a jelek gyakoriságáról, amplitúdójáról és fázisáról, amelyek nagyon hasznosak lehetnek a hálózati forgalom rendellenességeinek kimutatására.

Egy másik népszerű lehetőség aN5222B Agilent PNA Network Analyzer, 10 MHz - 26,5 GHz, 2 vagy 4 -portok- Ez az elemző nagy pontosságot és sebességet kínál, így ideális a hálózati problémák gyors azonosításához és hibaelhárításához.

És ha költségvetésbarátabb lehetőséget keres, akkor aZVB8 Rohde & Schwarz Network Analyzer, 300 kHz-8 GHz (2-PORT vagy 4-PORT)nagyszerű választás. Megbízható teljesítményt és széles körű funkciókat biztosít, elfogadható áron.

Miután az IDS észlelte a potenciális fenyegetést, intézkedéseket kell hoznia. Ez magában foglalhatja a forrás IP -címének blokkolását, a hálózati adminisztrátor értesítését, vagy akár az érintett rendszer leállítását a további károk megelőzése érdekében. A pontos válasz a fenyegetés súlyosságától és az ID -k konfigurációjától függ.

Összegezve: az IDS a hálózati biztonsági stratégia kritikus része. Segít megvédeni a hálózatát a fenyegetések széles skálájától, mind ismert, mind ismeretlen. Az aláírás-alapú és anomálián alapuló elemzés kombinációjával, valamint a megfelelő eszközökkel és a válaszmechanizmusokkal együtt az IDS magas szintű biztonságot nyújthat a hálózat számára.

Ha szeretne többet megtudni az IDS -ről vagy az általam említett hálózati elemzőkről, vagy ha ezeket a termékeket szeretne megvásárolni a hálózathoz, ne habozzon elérni. Azért vagyunk itt, hogy segítsünk megtalálni a legjobb megoldásokat az Ön egyedi igényeihez.

Referenciák

• "Hálózati biztonsági alapvető elemek: Alkalmazások és szabványok", Douglas A. Comer
• "Behatolás -észlelési rendszerek: Bevezetés", Robert A. Demillo és Richard A. Kemmerer
• Különböző iparági fehérek és műszaki cikkek a hálózati biztonságról és a behatolás észleléséről.