Защита от хакеров корпоративных сетей

авторов Коллектив

Таблица 16.1.

Видоизменения управляющего кода

Как можно видеть из таблицы, три варианта исполняемого кода очень мало похожи друг на друга. Вообще, возможно большое число перестановок, которые могут быть использованы.

Очевидно, что большинство систем обнаружения вторжения не всегда вполне готовы к немедленному использованию. Для достижения долговременного успеха они нуждаются в частом обновлении и постоянном обслуживании. Системы обнаружения вторжения, у которых есть надежда

обнаружить неизвестные ранее типы атак, являются аномалией среди систем обнаружения вторжения, основанных на сравнении сигнатур. Подобные системы не используют сигнатуры вообще. Вместо этого они контролируют все сетевые соединения и изменения в них, для того чтобы попытаться построить обобщенный образ типичного трафика. При обнаружении статистических аномалий подается сигнал тревоги. В результате самообучения и накопления энтропии в своих базах данных система обнаружения вторжения со временем, теоретически, становится все более совершенной и точной. Есть лишь один вопрос. Насколько эффективна система обнаружения вторжения, основанная только на обнаружении аномалий сетевого трафика? Ведь атаки могут маскироваться под повседневную деятельность сети. В этом случае при совпадении характерных признаков атаки с признаками повседневной деятельности сети атака может быть не обнаружена. Как это часто бывает, не так уж и плохо от каждого понемногу позаимствовать чуть-чуть полезного. Основанная на сравнении сигнатур хорошая система обнаружения вторжения, дополненная средствами обнаружения атаки по анализу аномалий сетевого трафика, должна гарантировать контроль большинства событий вторжения.

В бесконечной игре в кошки-мышки по вопросам безопасности можно предсказать появление поколения полиморфных статистически нормализованных атак. Эти атаки добавят еще одно препятствие для разработчиков сетевых систем обнаружения вторжения, которые они должны будут преодолеть.

Резюме

Основанные на сравнении сигнатур системы обнаружения вторжения при попытке проанализировать и проинтерпретировать сетевые данные должны учитывать большое количество переменных параметров. По-прежнему у многих атак сохраняются шансы уклониться от подобных систем. Системам обнаружения вторжения трудно преодолеть недостаток доступной для анализа информации. Но темпы совершенствования их возможностей обнаружения атак впечатляют. Гигабитные скорости и гибкие архитектуры, поддерживаемые постоянно растущим сообществом безопасности, способствуют квалифицированной настройке систем для обнаружения всех атак, кроме наиболее тупых и нечастых сценариев нападения.

Всем уровням сетевого стека присущи свои трудности последовательного представления сетевого трафика, а заодно и анализа содержимого каждого передаваемого пакета. Вполне очевидно, что у атакующего есть определенные преимущества, поскольку у него есть возможность спрятать в море информации свои данные и он является единственным, кто знает их истинное предназначение.

В течение нескольких последних лет наблюдались случаи уклонения от обнаружения на уровне пакета. Разработчики систем обнаружения вторжения хорошо знакомы со многими проблемами, сопутствующими захвату пакета и его анализу. Большинство сетей в любом случае начинают фильтровать подозрительные пакеты. Подозрительными считаются пакеты с некоторыми типами установленных флажков и чрезмерной фрагментацией. Возможно, что в ближайшее время нормализация сетевых уровней станет обычным явлением. Тогда многие возможности для уклонения от обнаружения прекратят свое существование.

Трудности анализа протоколов на уровне приложений продолжают оставаться головной болью для лиц, участвующих в обеспечении безопасности сетей. Получили распространение некоторые прокси-решения, но их использование породило множество узких мест. Кроме того, прокси-решения также страдают от присущих системам обнаружения вторжения проблем: они не способны обнаружить первоначально непредусмотренные типы атак.

Вполне допустимо аннулировать искаженные TCP/IP-пакеты в случае ошибки. В конце концов, законная система передаст их повторно. Но на более высоком уровне так делать уже нельзя. Сетевая система обнаружения вторжения может быть чрезвычайно мало осведомлена о протоколах приложения и передаваемой ими информации. Полиморфные атаки являются серьезной проблемой, которую

нельзя легко разрешить в рамках систем обнаружения вторжения, основанных чисто на сравнении сигнатур. Число форм представления полиморфных атак практически бесконечно.

Уклонение от систем обнаружения вторжения продолжает оставаться образом жизни в Интернет. Можно наблюдать постоянно обновляемый поток инструментальных средств и способов, которые специально были разработаны и усовершенствованы для усложнения обнаружения вторжения (главным образом в результате усовершенствования обычных поделок хакера-новичка или любителя (script kiddie)). Следует постоянно контролировать и исследовать характеристики работы сети, для того чтобы получить представление о том, что следует ожидать во время повседневной деятельности.

Конспект

Принципы работы, основанной на анализе сигнатур системы обнаружения вторжений

· Возможности сетевых систем обнаружения вторжения определяются их базами сигнатур. Именно из этого следует необходимость повторных обновлений баз данных сигнатур сетевых систем обнаружения вторжения по мере появления новых уязвимостей. Только так можно защититься от использующих их атак.

· Большинство сетевых систем обнаружения вторжения не оповещают об атаке даже в случае незначительного изменения заранее определенных сигнатур. Если используется сравнение сигнатур, то это позволяет злоумышленнику избежать обнаружения его атаки.

· Атакующие будут продолжать совершенствовать свои способы уклонения от систем обнаружения вторжения, поэтому следует значительно наращивать возможности систем обнаружения вторжения, необходимые для контроля сетевого трафика и обнаружения атак. Это внесло бы достойный вклад в отражение атак типа отказ в обслуживании (DoS) и противодействие различным возможностям уклонения.

Уклонение на уровне пакетов

· Большинство разработчиков реализует протоколы TCP/IP с небольшими отклонениями от стандарта. Из-за этого сетевые системы обнаружения вторжения испытывают затруднения при построении представления сетевых соединений между другими системами. Получающееся при этом противоречивое представление позволяет злоумышленнику избежать обнаружения.

· Хосты могут не строго придерживаться спецификаций, допуская обработку некоторых типов пакетов, которые не могут обработать сетевые системы обнаружения вторжения.

· Сетевые системы обнаружения вторжения не получают достаточно информации из передаваемых по каналам связи данных для восстановления соединений TCP/IP. Благодаря предусмотренным в стеке TCP/IP опциям и состояниям возможны некоторые двусмысленности относительно интерпретации хостом принимаемой информации. Переданной во время сеанса информации недостаточно для ее правильной интерпретации.

· Программы fragrouter и congestant являются эффективными инструментальными средствами уклонения от обнаружения. В них реализован ряд зарегистрированных способов уклонения от сетевой системы обнаружения вторжения.

Уклонение на уровне приложений

· Протоколы приложений подробны и предоставляют многочисленные разнообразные функции. Есть много тонких, скрытых и устаревших нюансов приложений, которые затрудняют эффективную расшифровку протоколов приложений. Злоумышленник может воспользоваться даже небольшой оплошностью разработчиков приложений.

· Приложения имеют тенденцию учитывать небольшие изменения в протоколе работы. Разработчики преднамеренно встраивают в свои приложения возможности исправления ошибок, пытаясь придать смысл любому запросу вне зависимости от его состояния. В условиях отсутствия строгого соответствия сетевых приложений ранее определенным спецификациям сетевой системы обнаружения вторжения трудно предугадать их поведение.

· Для представления данных существуют многочисленные режимы кодирования. Опции кодирования Unicode, Unix – Unix (UUENCODE (Unix to Unix Encoding) – кодирование Unix – Unix. Метод преобразования файлов из двоичного формата в текстовый и обратно для обеспечения пересылки по сети Интернет сообщений при помощи электронной почты) или шестнадцатеричного кодирования описаны во многих прикладных протоколах. Подобное альтернативное представление данных усложняет развитие средств обнаружения вторжения.