Презентация на тему "Обнаружение сетевых атак"

Содержание

• 
  Слайд 1
  

  Обнаружение сетевых атак Раздел 2 – Тема 14

• 
  Слайд 2
  

  Средства защиты сетей МЭ Средства анализа защищённости Средства обнаружения атак

• 
  Слайд 3
  

  Архитектура систем обнаружения атак Модуль слежения Модуль управления

• 
  Слайд 4
  

  Архитектура систем обнаружения атак E-Mail сервер WWW сервер Рабочие места Маршру-тизатор МЭ

• 
  Слайд 5
  

  Архитектура модуля слежения Источники данных Механизмы реагирования Алгоритм (технология) обнаружения

• 
  Слайд 6
  

  Классификация систем обнаружения атак Источники данных Системы на базе узла Системы на базе сегмента По источнику данных (принципу реализации) Защита ОС Защита СУБД Защита приложений Уровень приложений Уровень СУБД Уровень ОС Уровень сети

• 
  Слайд 7
  

  Системы обнаружения атак на базе узла E-Mail сервер WWW сервер Рабочие места Маршру-тизатор МЭ

• 
  Слайд 8
  

  Системы обнаружения атак на базе узла Источники данных: Журналы аудита Действия пользователей Необязательно: Сетевые пакеты (фреймы), направленные к узлу и от узла

• 
  Слайд 9
  

  Системы обнаружения атак на базе сети E-Mail сервер WWW сервер Рабочие места Маршру-тизатор МЭ

• 
  Слайд 10
  

  Системы обнаружения атак на базе сети Источник данных: Сетевые пакеты (фреймы)

• 
  Слайд 11
  

  Классификация систем обнаружения атак Алгоритм (технология) обнаружения По технологии обнаружения Обнаружение аномалий Обнаружение злоупотреблений

• 
  Слайд 12
  

  Обнаружение злоупотреблений Анализ сигнатур Источник данных Список правил (сигнатур) Обнаружена атака

• 
  Слайд 13
  

  Сигнатуры для сетевых IDS Синтаксический разбор отдельных пакетов (Packet grepping signature) Анализпротоколов (protocol analysis signature) Анализпротоколовсучётомсостояния (statefulprotocol analysis signature)

• 
  Слайд 14
  

  Анализ сигнатур A B ООВ Port=139 Windows Атака “WinNuke” Синтаксический разбор отдельных пакетов

• 
  Слайд 15
  

  Анализ сигнатур Атака “FTP_SITE_EXEC” Анализ протоколов FTP-сервер X telnet ftp-server 21 220 edu-main2k Microsoft FTP Service (Version 5.0). USER ftp 331 Anonymous access allowed, send identity (e-mail name) as password. PASS www@ 230 Anonymous user logged in. SITE EXEC ……

• 
  Слайд 16
  

  Анализ сигнатур Удачная попытка обращения к файлу FTP-сервер X Анализпротоколовсучётомсостояния (сопоставление запросов и ответов) Обращение к определённому файлу Код ответа «2хх»

• 
  Слайд 17
  

  Анализ сигнатур Атака “SynFlood” Анализпротоколовсучётомсостояния (отслеживание количества запросов в единицу времени) A SYN X SYN ACK SYNУзел А SYNУзел А SYNУзел А SYNУзел А SYNУзел А

• 
  Слайд 18
  

  Системы обнаружения атак Sourcefire IMS Secure IDS eTrust Intrusion Detection RealSecure Snort Производитель Sourcefire Cisco Systems Computer Associates Internet Security Systems Нет Платформа Unix Защищенная версия Solaris Windows NT Windows NT (2000) Unix Технология обнаружения Сигнатуры атак Принцип реализации Сигнатуры атак Сигнатуры атак Сигнатуры атак Сигнатуры атак На базе сети На базе сети На базе сети + возможности МЭ На базе сети и на базе узла На базе сети

• 
  Слайд 19
  

  Система обнаружения атак Snort

• 
  Слайд 20

  Архитектура

  По принципу реализации Система на базе сети По технологии обнаружения Анализ сигнатур

• 
  Слайд 21

  Режимы работы

  Sniffer Mode Packet Logger Intrusion Detection System

• 
  Слайд 22

  Sniffer Mode

  Вывод на экран содержимого пакетов Ethernet IP TCP UDP ICMP Данные ./snort -v ./snort -vd ./snort -vde IP TCP UDP ICMP Данные IP TCP UDP ICMP

• 
  Слайд 23

  Packet Logger

  Запись содержимого пакетов в файл ./snort –vde –l ./log подкаталог logв текущем каталоге

• 
  Слайд 24

  Intrusion Detection System

  Обнаружение событий ./snort –vde –l ./log – c snort.conf Правила срабатывания (контролируемые события)

• 
  Слайд 25
  

  Практическая работа 16 Работа с программой Snort

• 
  Слайд 26
  

  Система обнаружения атак RealSecure TCP IP NIC На базе узла На базе сети

• 
  Слайд 27
  

  Компоненты RealSecure Модули слежения Модули управления Сетевой модуль (Network Sensor) Серверный модуль (Server Sensor)

• 
  Слайд 28
  

  Компоненты RealSecure Модули слежения Модули управления Workgroup Manager Sensor Manager Командная строка Site Protector

• 
  Слайд 29
  

  Компоненты RealSecure WorkgroupManager Event Collector Enterprise Database Asset Database Console Консоль Enterprise Database Asset Database Event Collector

• 
  Слайд 30
  

  Трёхуровневая архитектура Компонент, отвечающий за сбор событий с сенсоров Консоли Модули слежения

• 
  Слайд 31
  

  Взаимодействие компонентов RealSecure Консоль Enterprise Database Asset Database Event Collector

• 
  Слайд 32
  

  Расположение сетевого модуля слежения HUB Network Sensor Event Collector Собранные данные

• 
  Слайд 33
  

  Механизмы реагирования RealSecure Разрыв соединения Реконфигурация межсетевого экрана Выполнение программы, определённой пользователем Отправка сообщения На консоль По протоколу SNMP По E-mail Регистрация события в БД Расширенная регистрация с возможностью последующего воспроизведения сессии прикладного уровня

• 
  Слайд 34
  

  Размещение модулей слежения E-Mail сервер WWW сервер Рабочие места Маршру-тизатор МЭ

• 
  Слайд 35
  

  Практическая работа 16 Работа с программой RealSecure

• 
  Слайд 36

  Обнаружение атак и МЭ

  Концепция OPSec OPSEC МЭ Сетевой модуль слежения

• 
  Слайд 37

  Концепция OPSec

  OPSec SDK (набор необходимых API) Открытые протоколы CVP(Content Vectoring Protocol) UFP (URL Filter Protocol) SAMP (Suspicious Activity Monitoring Protocol) Язык INSPECT

• 
  Слайд 38

  Реконфигурация МЭ

  HUB Протокол SAMP Network Sensor

• 
  Слайд 39
  

  HUB Протокол SAMP Network Sensor

• 
  Слайд 40
  

  HUB Network Sensor