Systémy prevence neoprávněného průniku

V minulém čísle PC WORLDu jsme se věnovali systémům detekce neoprávněného
průniku (Intrusion Detection System, IDS), dnes se budeme věnovat systémům
prevence těchto neoprávněných průniků (Intrusion Prevention System, IPS).
V současné době se již za adekvátní ochranu vnitřní sítě nepovažuje pouze
router v součinnosti s firewallem. Komplexní zabezpečení se nyní skládá z výše
zmíněných zařízení a následně pak také z dobře distribuovaných instalací nových
bezpečnostních záplat, datových vzorků antivirových produktů a dalších
bezpečnostních balíčků pro používané aplikace. Dnešní administrátor pak musí
stále více řešit problémy se správným zabezpečením celé sítě z hlediska
vnějšího napadení ať už na úrovni zmíněného firewallu, či na úrovni dalších
zařízení, které umožňují přístup do vnitřní sítě (jako bezdrátové přístupové
body a další zařízení).
V minulosti se dbalo právě na zabezpečení vstupních bran, a proto se změnily i
techniky průniku do sítí, případně technika krádeží dat či kompromitace
jednotlivých serverů a stanic. Nyní lze s velkou mírou pravděpodobnosti říci,
že útoky jsou častěji vedeny tzv. z vnitřní strany, a proto se hůře odhalují.
Proto (a nejen proto) se nyní doporučuje využívat zařízení, které monitoruje
toky dat v DMZ, v kritických lokalitách, popř. v celé vnitřní síti. To pak
obstarávají systémy IDS. Nová generace těchto zařízení umožňuje nejen
monitoring, ale i následnou akci v reálném čase - tyto systémy označujeme právě
IPS.
Základním rozdílem mezi IPS a ostatními ochrannými prvky je proaktivní přístup
k informační bezpečnosti. Zatímco běžné firewally dokáží provoz pouze blokovat
či propouštět, systémy IPS v tomto provozu umí nalézt škodlivé kódy a rozpoznat
pokusy o útok. Zatímco běžné detekční metody vydají v případě nebezpečné
situace pouze varování a čekají na akci či pokyn k akci od uživatele/
administrátora, systémy IPS okamžitě přijímají odpovídající protiopatření
(podle nastavené bezpečnostní politiky), aby útok zhatily už v počátku.
Některé systémy IDS sice mají určité obranné mechanismy implementovány také
(ukončení TCP spojení, rekonfigurace firewallu po zjištění útoku aj.), ale ty
zpravidla nejsou schopné reagovat s dostatečnou rychlostí, protože mezi detekcí
útoku a pokusem o jeho zblokování uplyne krátká, leč významná doba. Naproti
tomu systémy IPS nepoužívají k likvidaci útoků žádné další prostředky, ale s
nebezpečným paketem nebo spojením se vypořádají okamžitě.
K základním úkolům systémů IPS patří:
• Identifikovat neautorizovaný provoz založený na signaturových vzorcích.
• Identifikovat neautorizovaný provoz založený na detekci anomálií v
protokolech.
• Ukončit nebo znesnadnit služby spojené s nežádoucí činností.
• Logovat všechny monitorované činnosti.
• Zajišťovat důkazy o nepřátelské činnosti v anomálních paketech.
Rozlišujeme přitom systémy IPS dvojího typu - uživatelské a síťové. Zatímco
uživatelské jsou instalovány na lokálních stanicích a chrání je před
jednotlivými útoky, síťové mají na starosti veškerý provoz příchozí zvenčí. Oba
typy přitom mají své výhody i nevýhody. Zatímco uživatelské IPS je velmi pevně
spjato s konkrétním operačním systémem a jeho upgrade může působit potíže, u
síťového je zase obtížné zajistit, aby v dnešní době bezdrátových, mobilních a
jiných připojení k síti šel skutečně veškerý provoz přes tento systém (jinak
IPS samozřejmě pozbývá smysl).
Systémy prevence neoprávněného průniku tak představují další stupeň k zajištění
bezpečnosti informačních technologií před útokem zvenčí.Tomáš Přibyl, AEC
http://www.aec.cz