सामान्य घुसपैठ का पता लगाने और रोकथाम प्रणाली

फिर से नमस्कार। "रिवर्स इंजीनियरिंग" पाठ्यक्रम की शुरुआत की प्रत्याशा में , हमने आपके साथ सूचना सुरक्षा पर एक छोटा सा लेख साझा करने का फैसला किया है, हालांकि, इसका रिवर्स इंजीनियरिंग के लिए एक अप्रत्यक्ष संबंध है, कई के लिए उपयोगी सामग्री हो सकती है।

---

सूचना सुरक्षा उत्पादों के लिए वैश्विक बाजार तेजी से बढ़ती विभिन्न प्रकार की जटिल और जटिल खतरों के प्रभाव में विकसित हो रहा है, जिससे व्यापार पर सीधा प्रभाव पड़ता है, और न केवल बड़े और मध्यम आकार के लिए, बल्कि छोटे संगठनों के लिए भी मांग बन रही है। वर्तमान में, यह मामला है जब पारंपरिक सुरक्षा उपकरण, जैसे कि फ़ायरवॉल और एंटीवायरस, संगठन के आंतरिक नेटवर्क के लिए पर्याप्त स्तर की सुरक्षा प्रदान करने में सक्षम नहीं हैं, क्योंकि मैलवेयर "मास्क" कर सकते हैं और पैकेट भेज सकते हैं जो फ़ायरवॉल के दृष्टिकोण से पूरी तरह से दिखते हैं। वैध। ऐसे कई वाणिज्यिक समाधान हैं जो किसी संगठन के आंतरिक नेटवर्क के लिए पर्याप्त स्तर की सुरक्षा प्रदान कर सकते हैं, हालांकि आज हम समाधानों के एक वर्ग जैसे घुसपैठ का पता लगाने वाली प्रणालियों और घुसपैठ की रोकथाम प्रणालियों पर ध्यान केंद्रित करेंगे। अंग्रेजी साहित्य में, ये घुसपैठ डिटेक्शन सिस्टम (आईडीएस) और घुसपैठ रोकथाम प्रणाली (आईपीएस) हैं।

उनके बीच मतभेद केवल इतना है कि एक स्वचालित रूप से हमलों को रोक सकता है, और दूसरा सिर्फ इसके बारे में चेतावनी देता है।

इस वर्ग के समाधान या तो वाणिज्यिक (स्वामित्व) या खुले स्रोत हो सकते हैं, और दाहिने हाथों में संगठन सुरक्षा की सामान्य प्रणाली के लिए एक उत्कृष्ट जोड़ हो सकता है। सुरक्षा सुविधाओं का यह वर्ग किसी संगठन के संरक्षित संसाधनों तक पहुंच प्राप्त करने के लिए अनधिकृत प्रयासों पर नज़र रखने की एक विधि से संबंधित है, जिसे एक्सेस कंट्रोल मॉनिटरिंग कहा जाता है। इसका उद्देश्य आंतरिक बुनियादी ढांचे में नेटवर्क खामियों की पहचान करना और उनका पंजीकरण करना है - नेटवर्क हमले, अनधिकृत पहुंच या विशेषाधिकार वृद्धि के प्रयास, दुर्भावनापूर्ण सॉफ़्टवेयर का संचालन आदि। इस प्रकार, एक फ़ायरवॉल की तुलना में जो केवल सत्र मापदंडों को नियंत्रित करता है, आईडीएस और आईपीएस संचरित आंतरिक डेटा धाराओं का विश्लेषण करते हैं, उनमें बिट्स का एक क्रम खोजते हैं जो दुर्भावनापूर्ण कार्य या घटना हो सकते हैं। इसके अलावा, वे सिस्टम लॉग और अन्य उपयोगकर्ता गतिविधि लॉग फ़ाइलों की निगरानी कर सकते हैं।

लेकिन पहले बातें पहले। इसलिए, आईडीएस एक घुसपैठ का पता लगाने वाला सिस्टम है जो नेटवर्क पर संदिग्ध गतिविधियों को दर्ज करने के लिए डिज़ाइन किया गया है और प्रबंधन कंसोल को एक संदेश भेजकर, एक ई-मेल, एक मोबाइल फोन पर एसएमएस संदेश आदि भेजकर सूचना सुरक्षा के लिए जिम्मेदार कर्मचारी को सूचित करता है।

पारंपरिक IDS में सेंसर होते हैं जो नेटवर्क ट्रैफ़िक को स्कैन करते हैं और विश्लेषण करने वालों को भेजते हैं, विश्लेषक डेटा प्राप्त डेटा में दुर्भावनापूर्ण डेटा की तलाश करते हैं और यदि सफल होते हैं, तो प्रशासनिक इंटरफ़ेस पर परिणाम भेजते हैं। स्थान के आधार पर, IDS को नेटवर्क (नेटवर्क-आधारित IDS, NIDS) और होस्ट (होस्ट-आधारित, HIDS) में विभाजित किया जाता है। नाम से, यह स्पष्ट है कि एक उस खंड के सभी नेटवर्क ट्रैफ़िक पर नज़र रखता है जहां यह स्थापित है, और दूसरा एकल कंप्यूटर के भीतर। आईडीएस के अधिक समझने योग्य वर्गीकरण के लिए, दो और सबसे उपसमुच्चियों को भेद करना आवश्यक है, जिनका विश्लेषण ट्रैफ़िक के प्रकार से विभाजित किया गया है: प्रोटोकॉल-आधारित आईडीएस (PIDS), जो संबंधित प्रोटोकॉल या उपयोगकर्ताओं के साथ संचार प्रोटोकॉल का विश्लेषण करता है, और अनुप्रयोग प्रोटोकॉल के आधार पर आईडीएस। (एप्लिकेशन प्रोटोकॉल-आधारित आईडी, APIDS), जो एप्लिकेशन-विशिष्ट प्रोटोकॉल का उपयोग करके प्रेषित डेटा का विश्लेषण करने के लिए डिज़ाइन किया गया है।

स्वाभाविक रूप से, विश्लेषण किए गए ट्रैफ़िक में दुर्भावनापूर्ण गतिविधि का विभिन्न तरीकों से पता लगाया जा सकता है। इसलिए, IDS में निम्नलिखित विशेषताएं मौजूद हैं जो विभिन्न प्रकार की IDS तकनीकों को एक दूसरे से अलग करती हैं और इन्हें निम्नानुसार वर्णित किया जा सकता है:

• हस्ताक्षर IDS । ट्रैफ़िक में विशिष्ट पैटर्न ट्रैक करें और एंटीवायरस सॉफ़्टवेयर की तरह काम करें। इस दृष्टिकोण के नुकसान: हस्ताक्षर अद्यतित होने चाहिए और इस प्रकार के आईडीएस अपरिचित हमलों का पता लगाने में सक्षम नहीं हैं। इस श्रेणी को भी दो प्रकारों में विभाजित किया जा सकता है: हस्ताक्षर आईडीएस, ट्रैकिंग टेम्प्लेट - हस्ताक्षर के साथ नेटवर्क पैकेट की तुलना, और स्थिति ट्रैकिंग - टेम्प्लेट से कार्यों की तुलना करें। मुझे यकीन है कि हस्ताक्षर NIDS का सिद्धांत जो टेम्प्लेट को ट्रैक करता है, ज्ञात और समझने योग्य है। जैसा कि राज्य की निगरानी करने वाले हस्ताक्षर IDS के लिए है, यहाँ हमें उस राज्य की अवधारणा को समझना चाहिए, जिसके साथ IDS संचालित होता है। सिस्टम के संचालन में कोई भी परिवर्तन (सॉफ्टवेयर लॉन्च करना, डेटा दर्ज करना, अनुप्रयोगों के बीच बातचीत, आदि) राज्य में परिवर्तन की ओर जाता है। आईडीएस के लिए, प्रारंभिक राज्य हमले से पहले है, और समझौता राज्य हमले के बाद है, अर्थात। सफल संक्रमण।
• विसंगति आधारित आई.डी.एस. इस प्रकार के आईडीएस हस्ताक्षर का उपयोग नहीं करते हैं। यह प्रणाली के व्यवहार पर आधारित है और काम शुरू करने से पहले, सिस्टम की "सामान्य" गतिविधि सीखने का चरण होता है। इसलिए, यह अपरिचित हमलों का पता लगाने में सक्षम है। विसंगतियों, बदले में, इस श्रेणी को तीन प्रकारों में विभाजित किया जाता है: सांख्यिकीय - आईडीएस सिस्टम की नियमित गतिविधियों की एक प्रोफ़ाइल बनाता है और इस प्रोफ़ाइल के माध्यम से गुजरने वाले सभी गतिविधियों और गतिविधियों की तुलना करता है; प्रोटोकॉल विसंगतियाँ - प्रोटोकॉल के नाजायज उपयोग के टुकड़ों की पहचान करने के लिए आईडीएस ट्रैफ़िक का विश्लेषण करता है; ट्रैफ़िक विसंगतियाँ - IDS नेटवर्क ट्रैफ़िक में अवैध गतिविधियों का पता लगाता है।
• नियम आधारित IDS । IDS डेटा "IF स्थिति तब कार्रवाई " नियम-आधारित प्रोग्रामिंग का उपयोग करता है। नियम-आधारित आईडीएस विशेषज्ञ प्रणालियों के समान हैं, जैसा कि विशेषज्ञ प्रणाली एक ज्ञान आधार, तार्किक निष्कर्ष और नियम-आधारित प्रोग्रामिंग का एक संयुक्त कार्य है। इस मामले में, ज्ञान नियम हैं, और विश्लेषण किए गए डेटा को उन तथ्यों को कहा जा सकता है जिन पर नियम लागू होते हैं। उदाहरण के लिए: "यदि व्यवस्थापक उपयोगकर्ता ने System1 में लॉग इन किया और फ़ाइल 2 में कोई बदलाव किया, तो उसने" यूटिलिटी 3 "को एक अधिसूचना भेज दिया", अर्थात। यदि उपयोगकर्ता ने सिस्टम 1 में लॉग ऑन किया और फ़ाइल 2 में बदलाव किया, और फिर उपयोगिता 3 को चलाया, तो एक अधिसूचना भेजें।

इस प्रकार, हमारी आईडीएस दुर्भावनापूर्ण गतिविधि की चेतावनी दे सकती है, लेकिन अक्सर कार्य प्रारंभिक चरण में दुर्भावनापूर्ण गतिविधि को रोकने के लिए ठीक है। IPS , जो पहले उल्लेख किया गया था, इससे मदद मिल सकती है। उसके काम के तरीके आईडीएस के विपरीत समय पर (निवारक) और सक्रिय हैं, जो जासूसी कार्य करता है। यह ध्यान देने योग्य है कि आईपीएस आईडीएस का एक उपवर्ग है, इसलिए यह अपने हमले का पता लगाने के तरीकों पर आधारित है। IPS होस्ट स्तर (HIPS) और नेटवर्क स्तर (NIPS) दोनों पर काम कर सकता है। हमलों को रोकने की क्षमता इस तथ्य के कारण लागू की जाती है कि नेटवर्क IPS, एक नियम के रूप में, नेटवर्क के लिए बनाया गया है और इसके माध्यम से सभी ट्रैफ़िक पास करता है, साथ ही साथ एक बाहरी इंटरफ़ेस जो ट्रैफ़िक प्राप्त करता है और एक आंतरिक इंटरफ़ेस जो ट्रैफ़िक को आगे बढ़ाता है यदि इसे मान्यता प्राप्त है। सुरक्षित। निगरानी मोड में यातायात की एक प्रति के साथ काम करने की संभावना भी है, लेकिन फिर हम इस प्रणाली की मुख्य कार्यक्षमता खो देते हैं।

विश्व स्तर पर, IPS को उन लोगों में विभाजित किया जा सकता है जो ट्रैफ़िक का विश्लेषण करते हैं और ज्ञात हस्ताक्षरों के साथ तुलना करते हैं और जो कि प्रोटोकॉल विश्लेषण के आधार पर, पहले पाए गए कमजोरियों के ज्ञान के आधार पर अवैध ट्रैफ़िक की तलाश करते हैं। दूसरा वर्ग अज्ञात प्रकार के हमले से सुरक्षा प्रदान करता है। जैसा कि हमलों का जवाब देने के तरीकों के लिए, उनमें से एक बड़ी संख्या जमा हुई है, लेकिन निम्नलिखित को मुख्य से अलग किया जा सकता है: एक टीसीपी पैकेट को आरएसटी ध्वज के साथ या फ़ायरवॉल के माध्यम से कनेक्शन को अवरुद्ध करना, संचार उपकरणों को पुन: कॉन्फ़िगर करना, और बुनियादी ढांचे में उपयोगकर्ता रिकॉर्ड या एक विशिष्ट होस्ट को अवरुद्ध करना भी। ।

अंततः, बुनियादी ढांचे की सुरक्षा के लिए सबसे प्रभावी विचार एक उत्पाद में आईडीएस और आईपीएस का एक साथ उपयोग करना है - एक फ़ायरवॉल, जो नेटवर्क पैकेट के गहन विश्लेषण के माध्यम से, हमलों का पता लगाता है और उन्हें अवरुद्ध करता है। यह ध्यान देने योग्य है कि हम केवल रक्षा की एक पंक्ति के बारे में बात कर रहे हैं, जो एक नियम के रूप में, फ़ायरवॉल के पीछे स्थित है। और व्यापक नेटवर्क सुरक्षा प्राप्त करने के लिए, सुरक्षा उपकरणों के संपूर्ण शस्त्रागार का उपयोग करना आवश्यक है, उदाहरण के लिए UTM (यूनिफाइड थ्रेट मैनेजमेंट) - एक संयुक्त रूप से काम करने वाला फ़ायरवॉल, वीपीएन, आईपीएस, एंटीवायरस, फ़िल्टरिंग टूल और एंटी-स्पैम टूल।

कई वास्तु समस्याओं के साथ सामना, दुनिया के विक्रेताओं के बीच इस तरह के सिस्टम के विकास का अगला दौर अगली पीढ़ी का फ़ायरवॉल (NGFW, नेक्स्ट जेनरेशन फ़ायरवॉल) था, जो सभी सुरक्षा साधनों के साथ समान ट्रैफ़िक के समानांतर विश्लेषण से लाभ उठाता है, स्मृति में एंटीवायरस चेकिंग के लिए ट्रैफ़िक का विश्लेषण। हार्ड ड्राइव में सहेजे जाने के बाद नहीं, बल्कि OSI स्तर 7 प्रोटोकॉल के विश्लेषण के कारण, जो आपको विशिष्ट अनुप्रयोगों के संचालन का विश्लेषण करने की अनुमति देता है।