|
Области, где системы обнаружения атак, средства поиска уязвимостей и контроля целостности файлов наиболее всего пригодны для управления сетевой защитой
Управление сетевой защитойУправление сетевой защитой - процесс, при котором определяется и поддерживается политика безопасности, процедуры и методы, необходимые для защиты сетевых ресурсов. Системы обнаружения атак и поиска уязвимостей предоставляют возможности, необходимые, как часть стандартной практики по управлению сетевой защитой. Иерархия защиты Следующая диаграмма представляет иерархию механизмов информационной безопасности. Она описывает средства защиты, которые составляют основу любой технологии защиты [Gartner Group, Conference Presentation, May, 1997].
Отметим, что для того, чтобы достичь определенных результатов в защите всего предприятия, уровни 1-3 должны существовать именно в этом порядке, тогда, технологии и продукты защиты на уровне 4 будут наиболее эффективными.
Рисунок 2 иллюстрирует существующие элементы рынка информационной защиты. Обнаружение атак и анализ уязвимостей соответствуют сектору, озаглавленному "Анализ" [Gartner Group, Conference Presentation, May, 1997]. Заметим, что в случае мониторинга и аудита остальных продуктов в таблице, обнаружение атак поддерживает все цели. Почему межсетевых экранов недостаточно Наиболее распространенный вопрос, - каким образом система обнаружения атак дополняет МСЭ. Один способ охарактеризовать разницу заключается в том, чтобы предоставить классификацию нарушений защиты по ИСТОЧНИКУ атаки, независимо от того, исходят они с внешней или с внутренней стороны сети организации. МСЭ действуют в качестве барьера между корпоративными (внутренними) сетями и внешним миром (сетью Internet) и фильтруют входящий трафик согласно установленной политики безопасности. Это очень важная характеристика и, вероятно, можно было бы обеспечить достаточный уровень защищенности, если бы не следующие факты:
Кто охраняет охрану? - Надежность и обнаружение атакЕсть еще один аспект для обсуждения, когда рассматривается важность систем обнаружения атак, это - необходимость мониторинга остальной инфраструктуры защиты. МСЭ, системы идентификации и аутентификации (I&A), системы разграничения доступа, виртуальные частные сети, СКЗИ и антивирусные системы - все они выполняют существенно важные функции по защите системы. Однако, играя такие жизненно важные роли, они являются главными целями хакерских атак. Не менее зловещим является и то, что эти системы управляются простыми смертными и, следовательно, также подвержены человеческим ошибкам. Вследствие нарушения конфигурации, полного выхода из строя или атаки, отказ любого из этих компонентов инфраструктуры защиты подвергает опасности защиту всех систем, которые они охраняют. Путем мониторинга журналов регистрации, генерируемых этими системами, а также при помощи мониторинга активности системы на предмет наличия атак, системы обнаружения атак предоставляют дополнительную возможность оценки целостности остальной части инфраструктуры защиты. Системы анализа защищенности также допускают проверку новых конфигураций инфраструктуры защиты на предмет "брешей" и упущений, которые могут привести к нарушениям политики безопасности. Управление системой защиты - обзор процессаЗащита - это не просто разовое устранение возникшей проблемы. Это непрерывный процесс отслеживания динамической среды, в которой ежедневно появляются новые угрозы. Рисунок 3 показывает обзор управления защитой.
"Предупреждение" (prevention) охватывает все меры, предпринимаемые организациями с целью снижения рисков при защите своих систем. Большая часть классических, финансируемых правительством работ в области компьютерной защиты адресовано именно к этой области путем фокусирования внимания на разработке и внедрении более защищенного ПО для ОС и приложений. Кроме того, "предупреждение" охватывает выработку политики безопасности, шифрование, усиленную идентификацию и аутентификацию, а также МСЭ. Механизмы на фазе обнаружения (detection) в основном представляются системами обнаружения атак, хотя антивирусные системы также попадают в эту категорию. Как показано на рисунке, обнаружение атак включает мониторинг выбранной системы (систем), анализ собранной информации, а затем, на основе настроек системы, реагирование на проблемы и генерация отчетов о них. Результаты процесса обнаружения атак задают два других этапа управления защитой, - исследование проблем (investigation), которые были обнаружены, документирование причины (diagnosis), вызвавшей проблему и, либо устранение (resolution) проблемы, либо разработка средств для ее решения, если она возникает снова. Наиболее распространенное видение систем обнаружения атак в будущем заключается в том, что эти два последние этапа должны выполняться автоматически, или необходимо так реализовывать функции обнаружения, что необходимость в двух последних этапах практически отпадает. Комбинацию фаз исследования и диагностики/решения часто называют реакцией на инцидент или обработкой инцидента. Организации должны выработать политику безопасности, процедуры и методы для решения проблем в данной области, поскольку они составляют остальную часть защиты.
|
![]() |
||||||||||||||||||||||||||||||||||||||||||||||||
| ||||||||||||||||||||||||||||||||||||||||||||||||||
![]() |
|
|
|
|