IDS z analizą danych
-
- Józef Muszyński,
- 19.03.2004, godz. 12:03
Firma NetScreen Technologies rozszerzyła oprogramowanie IDS o funkcje zbierania i analizy składniowej danych o ruchu w sieci, mające pomóc w zmniejszeniu liczby fałszywych alarmów i rozpoznawaniu źródła ataku.
Rozszerzenie o nazwie Enterprise Security Profiler (ESP) jest częścią nowego wydania tego oprogramowania, pracującego na sprzęcie NetScreen Intrusion Detection and Prevention o nazwie IDP v 3.0. Urządzenia IDP NetScreen są umieszczane pomiędzy siecią a kluczowymi jej zasobami, takimi jak serwery, w celu osłony tych ostatnich przed intruzami. Poza zbieraniem danych o ruchu i ich analizą, urządzenie określa, czy podejrzany ruch jest zagrożeniem dla danej sieci.
Na przykład strumień zleceń do serwera pochodzący z jednego źródła IP może być zdarzeniem normalnym w danej sieci, ale urządzenie IDP może interpretować je jako atak DoS i zamknąć połączenie.
Zobacz również:
Urządzenia IDP NetScreen mogą ‘oglądać’ jedynie ruch przechodzący przez nie na drodze do kluczowych zasobów sieci, tak więc nie mają wglądu w cały ruch sieciowy. Szkodliwy ruch nieprzechodzący przez te urządzenia może pozostać niewykryty, co wymaga zastosowania dodatkowych środków ochrony.
Zbierane przez ESP dane obejmują analizę poziomu sieciowego i aplikacyjnego. Tak więc ruch może być śledzony na podstawie adresu IP, ale także w oparciu o sesje zainicjowana przez aplikację spod tego adresu.
IDP 3.0 powiadamia użytkowników o wszystkich zagrożeniach związanych z atakiem. W wcześniejszej wersji atak mógł generować jedynie alarmy DoS, nawet wtedy, kiedy był on próbą uzyskania uprawnień administratora na serwerze. W wersji 3.0 raportowane są wszystkie elementy ataku.
NetScreen współpracuje z TruSecure nad oprogramowaniem Intellishield Alert Manager, które zapewniać ma informację pozwalającą na zidentyfikowanie maszyn podatnych na atak oraz informacje gdzie można znaleźć łatki zabezpieczające.
Śledzenie i pamiętanie danych wykonywane przez ESP może być używane także do rejestrowania i analizowania strumieni ruchu legalnego w sieci, co jest niezwykle cenną funkcją dla zarządców sieci.
NetScreen zapowiedział także nowy sprzęt IDP o nazwie NetScreen IDP 1000. Zawiera on wszystkie mechanizmy dostępne w innych urządzeniach IDP, ale charakteryzuje się gigabitową przepustowością.
