Система обнаружения вторжения в сеть предприятия

Удаленное воздействие, также как и любое другое, может  начать осуществляться только при определенных условиях. В распределенных ВС существуют три вида условий начала осуществления удаленной атаки:

- Атака по запросу  от атакуемого объекта  

В этом случае атакующий  ожидает передачи от потенциальной  цели атаки запроса определенного типа, который и будет условием начала осуществления воздействия. Примером подобных запросов в ОС Novell NetWare может служить SAP-запрос, а в сети Internet - DNS- и ARP-запросы

- Атака по наступлению  ожидаемого события на атакуемом  объекте 

В этом случае атакующий осуществляет постоянное наблюдение за состоянием операционной системы удаленной цели атаки и при возникновении определенного события в этой системе начинает воздействие. Как и в предыдущем случае, инициатором осуществления начала атаки выступает сам атакуемый объект. Примером такого события может быть прерывание сеанса работы пользователя с сервером в ОС Novell NetWare без выдачи команды LOGOUT.

- Безусловная атака  

В этом случае начало осуществления  атаки безусловно по отношению к  цели атаки, то есть атака осуществляется немедленно и безотносительно к состоянию системы и атакуемого объекта. Следовательно, в этом случае атакующий является инициатором начала осуществления атаки.

 По наличию  обратной связи с атакуемым  объектом 

- с обратной связью 

- без обратной связи (однонаправленная атака)

Удаленная атака, осуществляемая при наличии обратной связи с  атакуемым объектом, характеризуется  тем, что на некоторые запросы, переданные на атакуемый объект, атакующему требуется  получить ответ, а, следовательно, между атакующим и целью атаки существует обратная связь, которая позволяет атакующему адекватно реагировать на все изменения, происходящие на атакуемом объекте. Подобные удаленные атаки наиболее характерны для распределенных ВС.

В отличие от атак с обратной связью удаленным атакам без обратной связи не требуется реагировать на какие-либо изменения, происходящие на атакуемом объекте. Атаки данного вида обычно осуществляются передачей на атакуемый объект одиночных запросов, ответы на которые атакующему не нужны. Подобную УА можно называть однонаправленной удаленной атакой.

 По расположению  субъекта атаки относительно  атакуемого объекта 

- внутрисегментное 

- межсегментное 

Рассмотрим ряд определений:

Субъект атаки (или источник атаки) - это атакующая программа или оператор, непосредственно осуществляющие воздействие.

Хост (host) - сетевой компьютер.

Маршрутизатор (router) - устройство, обеспечивающее маршрутизацию пакетов обмена в глобальной сети.

Подсеть (subnetwork) (в терминологии Internet) - совокупность хостов, являющихся частью глобальной сети, для которых маршрутизатором выделен одинаковый номер подсети. Подсеть - логическое объединение хостов маршрутизатором. Хосты внутри одной подсети могут взаимодействовать между собой непосредственно, минуя маршрутизатор.

Сегмент сети - физическое объединение хостов. Например, сегмент сети образуют совокупность хостов, подключенных к серверу по схеме "общая шина". При такой схеме подключения каждый хост имеет возможность подвергать анализу любой пакет в своем сегменте.

С точки зрения удаленной  атаки чрезвычайно важно, как  по отношению друг к другу располагаются  субъект и объект атаки, то есть в  одном или в разных сегментах  они находятся. В случае внутрисегментной атаки, как следует из названия, субъект и объект атаки находятся в одном сегменте. При межсегментной атаке субъект и объект атаки находятся в разных сегментах.

Данный классификационный  признак позволяет судить о так  называемой "степени удаленности" атаки. В дальнейшем будет показано, что на практике межсегментную атаку осуществить значительно труднее, чем внутрисегментную. Важно отметить, что межсегментная удаленная атака представляет гораздо большую опасность, чем внутрисегментная. Это связано с тем, что в случае межсегментной атаки объект её и непосредственно атакующий могут находиться на расстоянии многих тысяч километров друг от друга, что может существенно воспрепятствовать мерам по отражению атаки.

 По уровню  эталонной модели ISO/OSI, на котором  осуществляется воздействие 

- физический

- канальный 

- сетевой 

- транспортный 

- сеансовый 

- представительный 

- прикладной 

Международная Организация  по Стандартизации (ISO) приняла стандарт ISO 7498, описывающий взаимодействие открытых систем (OSI). Распределенные ВС также  являются открытыми системами. Любой сетевой протокол обмена, как и любую сетевую программу, можно с той или иной степенью точности спроецировать на эталонную семиуровневую модель OSI. Такая многоуровневая проекция позволит описать в терминах модели OSI функции, заложенные в сетевой протокол или программу. Удаленная атака также является сетевой программой. В связи с этим представляется логичным рассматривать удаленные атаки на распределенные ВС, проецируя их на эталонную модель ISO/OSI.

Список литература

1. Вихорев С., Ефимов А. Практические рекомендации по информационной    безопасности // Jet info. 1996. №10/11

2. Медведовский И.Д.,  СемьяноП.В., Платонов В.В. Атака  через Интернет    /под ред.  проф. Зегжды.-М., 1997

3. Векслер Д. (J.Wexler) Наконец-то  надежно обеспечена защита данных в      радиосетях // Компьютеруорлд Москва, 1994, № 17, стр. 13-14.

4. Сухова С.В.Система  безопасности  NetWare//“Сети”, 1995, №  4, стр. 60-70.

5. Беляев В. Безопасность  в распределительных системах // Открытые      системы   Москва, 1995, № 3, стр. 36-40.

6. Ведеев  Д. Защита  данных в компьютерных сетях  // Открытые 

     системы   Москва, 1995, № 3, стр. 12-18.