Глава 8. Выбор системы обнаружения атак
Алексей Лукацкий
Обнаружение
Атак
Санкт-Петербург
Содержание
Предисловие
Для кого эта книга?
Обзор содержания
Об авторе
Благодарности
Глава 1. Введение
Необходимость технологий обнаружения атак
Уровни информационной системы
Традиционные средства защиты
Заключение
Глава 2. Анатомия атаки
События безопасности
Уязвимости
Классификация уязвимостей
Атаки
Неформальная модель атаки
Результат атаки
Этапы реализации атак
Сокрытие источника и факта атаки
Средства реализации атак
Классификация атак
Базы данных уязвимостей и атак
Инциденты
Нарушители
Цели злоумышленников
Заключение
Глава 3. Введение в обнаружение атак
Введение
Системы обнаружение атак и другие средства защиты
Возможности технологий обнаружения атак
Реальные ожидания
Нереальные ожидания
Заключение
Глава 4. Три кита технологии обнаружения атак
Признаки атак
Повтор определенных событий
Неправильные команды
Использование уязвимостей
Несоответствующие параметры сетевого трафика
Непредвиденные атрибуты
Необъяснимые проблемы
Заголовки
Цифровой "отпечаток пальца"
Дополнительные признаки
Источники информации об атаках
Журналы регистрации
Сетевой трафик
Деятельность субъектов системы
Дополнительные источники
Технологии обнаружения атак
Обнаружение аномальной деятельности
Обнаружение злоумышленной деятельности
Подходы к обнаружению атак
Статистический анализ
Экспертные системы
Нейросети
Комбинация подходов
Другие решения
Заключение
Глава 5. Обнаружение следов атак
Контроль изменений каталогов и файлов
Установка приоритетов и расписания проверок
Сбор данных о важных файлах и каталогах
Контроль целостности файлов и каталогов
Расследование непредвиденных изменений
Обнаружение различных атак и злоупотреблений
Анализ журналов регистрации
Периодическая проверка журналов регистрации
Документирование всех неудачных попыток
Особенности анализа журналов регистрации
Анализ сетевого трафика
Обнаружение различных атак и злоупотреблений
Анализ уведомлений
Анализ заголовков
Анализ процессов, сервисов и портов
Получение дополнительной информации
Особенности анализа процессов
Обнаружение различных атак и злоупотреблений
Обнаружение несанкционированных устройств
Регулярная инвентаризация оконечных устройств
Контроль модемов
Расследование всех случаев аппаратных аномалий
Особенности обнаружения несанкционированных устройств
Контроль доступа к физическим ресурсам
Анализ внешних источников о поведении системы
Исследование сообщений из внешних источников
Анализ и расстановка приоритетов отчетов
Особенности анализа внешних источников
Заключение
Глава 6. Классификация систем обнаружения атак
Системы анализа защищенности
Системы поиска уязвимостей проектирования
Системы поиска уязвимостей реализации
Системы поиска уязвимостей эксплуатации
"Классические" системы обнаружения атак и анализаторы журналов
регистрации
Немного истории
Введение в классификацию
Архитектура систем обнаружения атак
Системы обнаружения атак на уровне узла
Системы обнаружения атак на уровне сети
Сетевые системы обнаружения атак и межсетевые экраны
Обманные системы
The Deception Toolkit
CyberCop Sting
Системы контроля целостности
Tripwire
AIDE и L5
Gog&Magog
Выводы
Глава 7. В предверии атаки или создание инфраструктуры обнаружения атак
Подготовка персонала
Учебные центры
Дистанционное обучение
Online-семинары
Семинары и конференции
Ролевые игры
Сертификация специалистов
Определение политики и процедур безопасности
Выбор и использование механизмов системной и сетевой регистрации
Регистрируемая информация
Достаточность встроенных механизмов регистрации
Регистрация событий
Защита журналов регистрации
План управления журналами регистрации
Генерация информации для контроля целостности ваших системных
файлов и данных
Карта сети
Резервирование важных файлов и каталогов
Характеристики поведения процессов и пользователей
Защита и целостность описи, карты сети и авторитарных ссылок
Заключение
Глава 8. Выбор системы обнаружения атак
Предварительный анализ
Что защищать?
От чего защищать?
От кого защищать?
Как защищать?
Чем защищать?
Потребители систем обнаружения атак
Небольшие компании
Крупные компании с филиалами
Транснациональные корпорации
Провайдеры Internet
Провайдеры услуг
Критерии оценки
Число обнаруживаемых атак
Место установки
Источники информации и методы анализа
Выполнение
Реагирование
Архитектура
Удаленное управление
Число управляемых агентов
Иерархическое управление
Обеспечение отказоустойчивости соединения между сенсорами
и консолью
Гибкость
Защита от несанкционированного доступа
Интеграция с другими средствами
Мониторинг дополнительных событий
Управление событиями
Наличие API и SDK
Техническая поддержка
Обновление сигнатур
Варианты реагирования
Обработка фрагментированного трафика
Шаблоны
Поддерживаемые платформы
Производительность
Стоимость
Автоматизация
Удобство работы и настройки
Коммерческая или бесплатная система обнаружения атак
Другие критерии
Расстановка приоритетов критериям
Тестирование
Обоснование для руководства
Расчет потерь от атак
Обзор рынка средств обнаружения атак
Internet Security Systems
Cisco Systems
Symantec
Computer Associates
Network Associates
NFR Security
Другие решения
Свободно распространяемые продукты
Заключение