Ukryte ataki i fałszywe alarmy nowe wyzwania dla narzędzi IDS
-
- Józef Muszyński,
- 01.12.2002
ManHunt
Architektura ManHunt
W miarę, jak ataki stają się coraz bardziej wymyślne, tradycyjne metody IDS nie radzą sobie z rozpoznaniem skoordynowanej taktyki ukrytego rekonesansu. Hybrydowa architektura ManHunt ma zapewniać podejście elastyczne, dostosowujące możliwości detekcyjne sensorów do otaczającego środowiska.
Wykrywanie hybrydowe to architektura zapewniająca skoordynowane stosowanie szeregu metod wykrywania w celu zwiększenia szansy identyfikacji ataku. ManHunt zbiera dodatkowe informacje o działaniach szkodliwych, prowadząc: behawioralny monitoring ruchu, śledzenie stanów protokołowych i reasemblację pakietów IP. Z kolei analiza korelacji statystycznych pozwala oceniać zagregowane zdarzenia pod kątem właściwej identyfikacji potencjalnych ataków i uszeregowania ich pod względem ważności, minimalizując przy tym możliwość fałszywych alarmów.
Wykrywanie anomalii protokołowych w ManHunt jest wykonywane na poziomie protokołów warstwy aplikacyjnej. Zastosowana tu własna metoda opiera się na strukturze i zawartości pakietów i pozwala na wykrywanie szeregu ataków dotyczących protokołów, takich jak Telnet, HTTP, RCP, SMTP i Rlogin.
Motor identyfikacji stanów przejścia w protokołach określa je w kontekście strumienia pakietów. Dla każdego z dwudziestu obsługiwanych protokołów jest stosowany pełny zestaw stanów przejścia. Motor stanów kontroluje dopuszczalne zakresy i możliwe odpowiedzi w danym stanie oraz weryfikuje, czy przejścia do kolejnych stanów są poprawne. Jakakolwiek niepoprawna odpowiedź, pominięcie lub błędne przejście do kolejnego stanu wskazują na potencjalny atak. Modelując reguły protokołowe bezpośrednio na sensorach, ManHunt ma możliwość identyfikacji ruchu naruszającego zasady poprawnego zachowania komunikacyjnego.
Reasemblacja ruchu IP - sensory ManHunt operują na fragmentowanych pakietach IP i wykonują rekonstrukcję od warstwy 3 do 7. Sensor wykonuje reasemblację spójną ze stosem IP.
Wykrywanie ataków zanurzonych. Jedną z taktyk używanych przez napastników w celu zmniejszenia prawdopodobieństwa namierzenia jest ukrycie prawdziwego ataku w potoku pakietów, np. typu DoS. Można tym łatwo wprowadzić w błąd tradycyjnie działające IDS. Ich sensory mogą przepuścić rozproszone pakiety składające się na realny atak. Potok pakietów może zapewniać "ukrycie w tłumie" pakietów tworzących taki atak.
Sensory ManHunt rozpoznają zmodyfikowane ataki w sposób ciągły, ponieważ są niewrażliwe na to, jak pakiety zostały wymieszane, ale czym nie powinny być. Wszystkie podejrzane zdarzenia są przekazywane do ManHunt Distribution Analysis Framework, gdzie są oceniane kontekstowo, zanim zostanie podjęta jakakolwiek akcja alarmowa.
Behawioralny monitoring ruchu. Sensory ManHunt zawierają komponent licznika statystycznego lub częstotliwościowego do dokładnego identyfikowania formy ruchu wskazującej, że jest to DDoS lub atak metodą potoku pakietów. Element ten ma wbudowany mechanizm samostrojenia do rozpoznawania różnych środowisk, a nawet różnych typów organizacji wewnętrznej ISP. Dopuszczalne formy poszczególnych typów zdarzeń w jednej lokalizacji mogą być uważane za atak potokowy w innej.
Kastomizowana definicja ataku - ManHunt zawiera funkcje umożliwiające import sygnatur ataku przy użyciu formatu de facto standardu Snort.
Anomaly-based IDS - IDS opierający się na parametrach określających ramy ruchu normalnego i raportujący odchylenia od tych norm jako możliwe próby ataków.
False positive - fałszywe alarmy, legalne zdarzenia w sieci zinterpretowane przez IDS jako prawdopodobny atak.
False negative - brak możliwości raportowania przez IDS przypadków, w których atakujący z powodzeniem może narażać bezpieczeństwo hosta lub sieci.
Host intrusion-detection system (HIDS) - system IDS raportujący jedynie incydenty dotyczące hosta, na którym pracuje.
Honeypot - host w sieci dostępnej publicznie zawierający powszechnie znane luki w ochronie, pozostawione w celu zwabienia napastnika i śledzenia jego poczynań.
Intrusion detection and prevention (IDP) - termin używany przez OneSecure i innych dostawców w odniesieniu do urządzeń IDS podłączanych na styku chronionej sieci z Internetem. IDP mogą przechwytywać i powstrzymywać ataki, zanim dosięgną one sieci.
Intrusion detection system (IDS) - zestaw sensorów i oprogramowania zarządzającego używany do wykrywania prób ataków na sieć lub system komputerowy.
In-line monitoring - konfiguracja, w której urządzenie IDS pracuje jako przełącznik na styku chronionej sieci z Internetem. W tej konfiguracji urządzenie IDS wstępnie filtruje ruch sieciowy, zanim osiągnie on hosty w chronionej sieci. Dla kontrastu większość urządzeń IDS stosuje monitorowanie pasywne, w którym ruch jest obserwowany, ale nie podejmuje się prób kontroli dostępu.
Network intrusion-detection system (NIDS) - monitoruje ruch w sieci i rejestruje podejrzane zachowania.
Sensor - urządzenie (komputer) monitorujące sieć pod kątem prób ataku. Niektóre sensory przechowują wszystkie rekordy lokalnie, podczas gdy inne wysyłają raporty do konsoli lub bazy danych na zapleczu. Sensory pracują zazwyczaj w tzw. trybie rozrzutnym (przechwytują cały ruch), często bez adresu IP.
Signature-based IDS - IDS używający algorytmów opartych na porównywaniu wzorców (do porównywania ruchu) z bazą danych znanych ataków.
Stateful matching - wykrywanie prób ataków z uwzględnieniem kontekstu wcześniejszych pakietów.
