Что такое IPS (Intrusion Prevention System) и где применяются такие системы

Обеспечение сетевой безопасности — одна из ключевых задач любой организации. Арсенал злоумышленников пополняется продвинутыми инструментами, схемы кибернападений усложняются, поэтому базовые средства защиты не всегда могут обнаружить атаки и остановить их развитие. В этом случае на помощь приходят IPS (Intrusion Prevention System) — эффективные инструменты для предотвращения несанкционированных действий в локальных сетях. Рассказываем, что это за решения, как они работают, где используются. Также разберем возможные сценарии их эксплуатации, преимущества и недостатки.

Что такое IPS?

Intrusion Prevention System: что из себя представляют такие решения

IPS (система предотвращения вторжений) — это система, задача которой состоит в предотвращении атак (как распространенных, так и нетипичных) на локальные сети. Условно они являются компонентами решений IDS (Intrusion Detection System), которые предназначены для обнаружения вредоносной активности в локальных сетях и на конкретных хостах. Однако не стоит воспринимать эти системы как единое целое, так как у них разные сценарии реагирования на инциденты. IDS ориентированы на мониторинг и уведомление о вредоносной активности, в то время как IPS не только выявляют проблемы, но и активно противодействуют им.

Также эти два класса систем различаются методом установки. IPS часто встраивают «в разрыв» трафика, то есть решения как бы встают на пути движения пакетов данных через оборудование сети. IDS обычно находятся «сбоку» и работают с копией циркулирующего в локальных сетях трафика.

Перейдем к задачам инструментов для предотвращения вредоносной активности. Системы IPS работают в трех ключевых направлениях:

Мониторинг в режиме реального времени несанкционированных попыток активности в локальных сетях организаций.
Поиск потенциальных уязвимостей, которые могут стать входными точками для злоумышленников.
Идентификация источников вредоносной активности.

Важно отметить, что вредоносная активность может быть инициирована не только внешними злоумышленниками, но и сотрудниками компании. Именно такие нарушители-инсайдеры часто создают благоприятные условия для атак на информационную инфраструктуру, действуя целенаправленно или пренебрегая соблюдением политик безопасности. IPS позволяет прогнозировать подобные ситуации и принимать превентивные меры.

Форматы работы IPS-системы

Инструменты для предотвращения сетевых атак разделяют по применяемым методикам. Виды систем в зависимости от способов исследования трафика сети:

Сигнатурные — IPS, которые анализируют информационные пакеты на наличие в них характерных признаков той или иной вредоносной активности. Такие решения используют в работе базы общедоступных и уникальных сигнатур, но также проверяют и состояния — любые действия во внутренних информационных системах. У средств защиты этого типа есть существенный недостаток — если по каким-то причинам перечень признаков атак не обновился или к нему нет доступа, инструменты могут не заметить сомнительный трафик.
Анализирующие аномалии — IPS, в основе которых лежат «умные» алгоритмы машинного обучения. Такие системы в режиме реального времени следят за работой сетей, исследуют показатели и соотносят их с характеристиками из прошлых периодов. Иногда выявляются серьезные расхождения, которые как раз и называются аномалиями. Об их наличии немедленно оповещаются офицеры службы безопасности, которые должны выяснить причины и оперативно принять меры для устранения слабых мест.
Инструменты, которые обнаруживают нетипичную активность путем проверки соблюдения внутренних регламентов безопасности. Если такие системы предотвращения вторжений отмечают расхождения, то немедленно оповещают ответственных лиц — администраторов сетей или офицеров службы безопасности.

Большинство современных IPS работают с сигнатурами, поскольку такой метод анализа трафика показывает высокую эффективность и позволяет обнаруживать даже сложные сетевые атаки.

Интеграция IPS с Next Generation Firewall (NGFW)

Системы предотвращения вторжений играют ключевую роль в функционале Next Generation Firewall (NGFW). В этом контексте заметно выделяются использование решения от ГК «Солар», которые предлагают высокопроизводительный продукт с несколькими модулями безопасности. Solar NGFW сочетает в себе функциональность межсетевого экрана, технологии глубокого анализа трафика приложений, прокси, инструмент для категоризации интернет-ресурсов.

IPS в составе Solar NGFW позволяет быстро идентифицировать и предотвращать сложные атаки, которые могли быть пропущены другими инструментами. Модуль проверяет все входящие пакеты на соответствие признакам злоумышленной активности и фиксирует аномалии, что значительно улучшает безопасность сети. Преимуществом Solar NGFW является использование сигнатур от Solar 4RAYS, которые доставляются в продукт с SLA 24 часа и автоматически обновляются для минимизации рисков пропуска атак. В результате клиент может сам устанавливать определенную периодичность или расписание обновления в зависимости от политик безопасности.

Но главное достоинство эксплуатации IPS в составе Solar NGFW заключается в наличии, наряду с сигнатурами из открытых источников, базы уникальных сигнатур против актуальных кибератак на российскую инфраструктуру, разработанных экспертами центра исследования киберугроз Solar 4RAYS, что позволяет с высокой долей вероятности предотвращать любую вредоносную активность.

Сферы использования IPS-системы

Инструменты IPS считаются средствами защиты сетей и призваны держать под контролем:

Информационные потоки, циркулирующие внутри сетей конкретных компаний.
Пакеты, адресованные хостам, например, конкретным серверам или пользовательским компьютерам.
Потоки данных, которые уходят с серверов и рабочих компьютеров внутренней сети.
Устройства, которые подключаются к Wi-Fi.

В зависимости от принципа функционирования, вида проверяемого трафика и расположения IPS подразделяются на:

Wireless — инструменты предотвращения вторжений, ориентированные на работу в беспроводных сетях (WIPS).
Network IPS — решения сетевого типа NIPS.
Network Behaviour Analysis — инструменты NBA для исследования поведения во внутренних сетях.
Host IPS — IPS для остановки нападений на хосты.

Независимо от типа эксплуатируемого решения, система должна работать непрерывно, поскольку злоумышленники могут активизироваться в любое время. Компании, пренебрегающие этим правилом, подвергают сетевой периметр значительным рискам.

Синергия IPS и TI

TI, или Threat Intelligence, можно условно назвать киберразведкой. Специалисты этой сферы собирают данные о потенциальных или уже существующих угрозах безопасности информационной инфраструктуры. Смысл киберразведки в том, чтобы понять цели и тактики злоумышленников, изучить все используемые ими при нападениях инструменты. Эта информация помогает грамотно выстроить защиту сетевого периметра и информационной инфраструктуры компаний.

Инструменты защиты в портфеле «Солара», в том числе системы IPS, создаются в тесном сотрудничестве с центром исследования киберугроз Solar 4RAYS. Это команда экспертов в сфере кибербезопасности, которые оценивают инфраструктуру организаций-заказчиков и текущий уровень ее защищенности, формируют актуальный ландшафт угроз и предоставляют крупнейшую базу знаний о вероятных атаках.

ЗАКЛЮЧЕНИЕ

IPS-система занимает важное место в контуре информационной безопасности организаций, поскольку она способна обнаруживать вторжения, которые могут пройти мимо других инструментов защиты. Intrusion Prevention System позволяет не только выявлять подозрительную активность, но и предпринимать превентивные меры по предотвращению развития атак на локальные сети. Главное — определиться с типом инструмента и сценарием его использования. Крупные компании все реже эксплуатируют IPS отдельно или в составе IDS, отдавая предпочтение комплексным продуктам класса Next Generation Firewall, где присутствует этот модуль. Пример надежного российского брандмауэра нового поколения — Solar NGFW. Он выдает производительность до 84 Гбит/с при условии работы всех технологий защиты, обладает подтвержденной отказоустойчивостью, имеет продуманный и удобный для пользователя интерфейс. Solar NGFW поставляется как виртуальное решение, так и как программно-аппаратный комплекс.