IPS/IDS: системы обнаружения и предотвращения вторжений

Сканирование узлов, подбор паролей и проверка открытых портов выглядят для сети как обычная нагрузка. Межсетевой экран (МЭ) фильтрует соединения по адресам и портам, но содержимое разрешенных сеансов остается непроверенным. Эту проверку выполняют IPS/IDS-системы: IDS сигнализируют об атаке, IPS сразу ее блокируют. Рассмотрим типы таких систем, принцип работы, области применения, требования регуляторов и критерии выбора.

Два класса защиты сети в одной аббревиатуре

Обнаружение вторжений и остановку атаки нередко выполняет одно устройство по общему набору правил. Отличается только действие после срабатывания: оповестить администратора или заблокировать сетевой трафик.

Что такое IDS

Сокращение IDS образовано от Intrusion Detection System, а в российских документах такие средства называют СОВ, то есть системами обнаружения вторжений. Сенсор работает с копией потока: он читает пакеты или события на сервере, сверяет их с правилами и ничего не меняет в передаче данных. Поэтому остановка сенсора не нарушает работу сервисов.

Результат проверки администратор видит в консоли управления или в журнале, а при наличии SIEM (Security Information and Event Management) событие уходит в эту платформу, где данные безопасности из разных источников сопоставляются между собой. Реакция остается за человеком, поэтому ночное срабатывание, замеченное лишь утром, оставляет атакующему несколько часов свободы.

Что такое IPS

Intrusion Prevention System, что в переводе на русский означает систему предотвращения вторжений. Устройство встраивают прямо в линию связи, и каждый пакет проходит через него до защищаемого сервера. Когда содержимое соответствует признакам атаки, система уничтожает пакеты, обрывает сеанс или запрещает адрес отправителя.

Автоматическая блокировка может давать ложные срабатывания. Если правило совпало с обычным запросом, пользователь теряет доступ к сервису. Поэтому новое устройство сначала включают в режиме наблюдения, по журналу настраивают правила под реальный поток данных и только затем разрешают блокировку.

Чем IPS отличается от IDS

Системы отличаются местом подключения и реакцией на атаку. Наблюдающее устройство получает копии пакетов, которые коммутатор отдает через зеркальный порт (SPAN) или оптический ответвитель (TAP), поэтому на скорость сети оно не влияет. IPS стоит прямо на пути потока и проверяет каждый пакет на лету. Отказ такого устройства останавливает сеть, и от этого защищают обходной режим bypass или кластер из двух узлов.

Один продукт часто совмещает оба режима. Правила с малым риском ложных срабатываний переводят в блокировку, сомнительные оставляют на оповещение, так что один модуль одновременно блокирует и оповещает.

Типы систем обнаружения и предотвращения вторжений

Виды IDS и систем блокировки определяются двумя вопросами: где установлен сенсор и по какому принципу он отличает атаку от обычной работы. Первый ответ показывает область защиты, то есть отдельный сервер или целый сегмент, второй задает круг находимых атак: только известные или еще и новые.

Виды IDS по месту установки: сеть и узел

Сетевые IDS-системы устанавливают на границе с интернетом, перед серверным сегментом и на стыке офисной и производственной сетей. Один такой сенсор просматривает весь поток и закрывает десятки узлов, но зашифрованное содержимое остается для него закрытым до расшифровки на шлюзе.

Узловая система обнаружения вторжений устанавливается как программа на сам сервер. Она анализирует системные вызовы, файлы и процессы, поэтому ей доступны данные в открытом виде и действия локального администратора. Расплата за это: дополнительная нагрузка на сервер и отдельная настройка каждой установки.

Виды IDS по методу анализа: сигнатуры и аномалии

Сигнатурный метод сверяет сетевой трафик с базой описаний известных атак. Сигнатура содержит характерные признаки: последовательность байтов, длину поля, порядок служебных флагов. Совпадение дает точный результат, но атаку, которой нет в базе, сенсор пропустит, поэтому базу обновляют регулярно.

Анализ аномалий строится иначе. Сначала система строит профиль нормальной работы: обычные объемы данных, привычные порты, часы активности. Резкое отклонение вызывает тревогу, например ночная отправка десятков гигабайт на незнакомый адрес. Метод обнаруживает и неизвестные атаки, но в первые недели дает много ложных срабатываний.

Сенсоры проверяют содержимое трафика, а шифрование каналов между площадками обеспечивает российский комплекс «ЗАСТАВА». Собрали в презентации состав комплекса, схему подключения площадок, сертификаты и условия поддержки.

Скачать презентацию

Как работают IPS и IDS

Для обнаружения атаки сенсору нужен весь сеанс, то есть обмен данными между двумя узлами. Он принимает копию пакетов или пропускает их через себя и собирает в целые сеансы, потому что вредоносная команда может быть разбита на несколько пакетов. В сетевых системах каждый сеанс проходит четыре этапа:

1. Сенсор принимает пакеты и собирает их в сеансы.
2. Модуль разбора обрабатывает протоколы прикладного уровня, например HTTP (протокол передачи гипертекста) или DNS (система доменных имен), и приводит данные к единому виду, чтобы атака не спряталась за нестандартной кодировкой.
3. Модуль проверки сравнивает результат с сигнатурами, правилами и профилем нормальной активности.
4. При совпадении система отправляет оповещение, а в режиме предотвращения дополнительно блокирует пакеты или завершает соединение.

Применение в инфраструктуре компании

Место установки определяет, какие атаки увидит сенсор. На границе с интернетом обнаружение вторжений показывает внешнее сканирование и попытки взлома, а внутри сети позволяет увидеть перемещение злоумышленника между серверами после проникновения.

Где применяются системы защиты от вторжений

На границе с интернетом блокирующее устройство работает вместе с МЭ. Перед серверами клиентских сервисов оно блокирует попытки использовать уязвимости сайтов и порталов. Между внутренними сегментами лучше оставить IDS в режиме оповещения: автоматическая блокировка внутри сети может остановить бизнес-процесс.

Компании из разных отраслей ставят сенсоры для разных целей. Банки контролируют обращения к платежным шлюзам, промышленные предприятия анализируют команды в сетях автоматизации, а операторы критической информационной инфраструктуры (КИИ) устанавливают сенсоры по требованиям регуляторов. Сферы КИИ определены законом № 187-ФЗ.

Точка установки сенсора зависит от угрозы, которую нужно обнаружить. Три типовых случая показывают, что система регистрирует в каждом из них:

• У серверов сайтов и порталов сетевой сенсор регистрирует перебор паролей и попытки внедрить вредоносные запросы к базе данных.
• На стыке офисной и производственной сетей сенсор показывает неожиданные обращения к контроллерам автоматизированных систем управления технологическими процессами (АСУ ТП).
• На сервере с базой данных узловая система обнаруживает изменения системных файлов и запуск незнакомых процессов.

Зачем бизнесу защита от вторжений

Размер ущерба сильнее всего зависит от времени обнаружения. Без обнаружения вторжений компания узнает о взломе от клиентов или из письма вымогателя, а с сенсором специалисты успевают отключить узел до шифрования данных.

По журналам сенсора, где записаны адреса, время и содержание подозрительных соединений, после инцидента восстанавливают путь атакующего и находят уязвимость. Отдельная причина внедрения лежит в требованиях регуляторов: Федеральная служба по техническому и экспортному контролю (ФСТЭК) и Федеральная служба безопасности (ФСБ) предъявляют требования к самим средствам защиты, а сертификат продукта облегчает подтверждение соответствия.

Требования ФСТЭК и ФСБ к системам защиты от вторжений

Допустимые для государственных и критически важных системы обнаружения вторжений определяют два ведомства. ФСТЭК отвечает за свойства самих средств и их сертификацию, а ФСБ формулирует требования к средствам «ГосСОПКА», государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак.

Требования ФСТЭК России

Требования к СОВ ФСТЭК России собрала в профилях защиты, которые делят средства по классам. Для примера: профиль ИТ.СОВ.С5.ПЗ от 6 марта 2012 года относится к сетевой СОВ пятого класса.

Покупку начинают со сверки: класс защищенности вашей информационной системы задает нужный класс СОВ, а класс самого продукта читают в сертификате ФСТЭК. Если продукт слабее требуемого, соответствие не подтвердится, как бы хорошо он ни справлялся с нагрузкой.

Требования ФСБ России

Приказ ФСБ России от 6 мая 2019 года № 196 касается субъектов КИИ, подключенных к «ГосСОПКА», и описывает, какими должны быть средства обнаружения, предупреждения и ликвидации последствий компьютерных атак. Среди требований есть ограничение на управление средствами извне.

Удаленное управление этими средствами запрещено лицам, которые не состоят в штате организации. Облачный сервис с внешним оператором из-за этого проверяют на соответствие пункту отдельно.

Роль протокола IPsec и IKEv2 в предотвращении вторжений

Сенсор анализирует содержимое сетевого трафика, а IPsec защищает его от чтения и подмены между площадками. Зашифрованные данные сенсор прочитать не может, поэтому его ставят за точкой расшифровки, то есть за шлюзом виртуальной частной сети (VPN). От взаимного расположения шлюза и сенсора зависит схема защиты периметра.

Как IPsec и IKEv2 защищают канал

Набор протоколов IPsec (Internet Protocol Security) разделяет работу между двумя протоколами. Протокол ESP (Encapsulating Security Payload) шифрует пакеты, проверяет их целостность и подлинность отправителя, поэтому перехваченный трафик нельзя прочитать, и подмена данных не остается незамеченной. Ключи вырабатывает протокол IKEv2 (Internet Key Exchange). Узлы обмениваются сообщениями дважды: в обмене IKE_SA_INIT стороны создают общий секрет, в обмене IKE_AUTH подтверждают друг другу подлинность, и подставное устройство в канал не попадает.

Опыт «ЭЛВИС-ПЛЮС» в разработке IPsec

Архитектор системы «ЭЛВИС-ПЛЮС» Валерий Смыслов входит в IETF с 1997 года и, по данным журнала Information Security, автор нескольких стандартов семейства IPsec. Компания участвует в разработке расширений IKEv2: RFC 8784 о защите ключевого обмена от квантовых атак выпущен при участии ее специалиста.

Эксперты также участвуют в работе над расширениями IKEv2 в организации IETF, которая ведет стандарты интернета. Производитель заявляет, что АПК совместим с оборудованием Cisco, Check Point и Palo Alto, а российские алгоритмы «Магма» и «Кузнечик» реализованы внутри протоколов IKEv2 и ESP. Комплекс подключают к сети, где уже работают устройства других вендоров.

Защита от вторжений: получите консультацию по АПК «ЗАСТАВА»

Расскажите, сколько у вас площадок и удаленных сотрудников. Специалисты Solar подберут конфигурацию АПК «ЗАСТАВА» из центра управления, шлюзов и клиентов и покажут решение на демонстрации по видеосвязи.

Получить консультацию

АПК «ЗАСТАВА»: российское решение для защиты периметра и ГОСТ VPN

Комплекс «ЗАСТАВА» строит защищенные каналы по алгоритмам российского стандарта ГОСТ и фильтрует трафик на границе сети. Сенсор проверяет содержимое пакетов, а «ЗАСТАВА» шифрует данные между площадками и пускает в канал только узлы, прошедшие аутентификацию.

Состав комплекса

В состав входят центр управления, шлюзы и клиенты для удаленных сотрудников. Шлюз ставят на границе площадки или в центре обработки данных (ЦОД), и он защищает каналы между ними.

Шлюзы соединяют офисы между собой, офис с ЦОД и два ЦОД, а клиенты подключают мобильные устройства. Центр управления задает всем шлюзам и клиентам единые политики безопасности.

Функции защиты периметра и сертификаты

В составе комплекса работает межсетевой экран, который разграничивает права доступа и ограничивает выход сотрудников в интернет. По данным презентации производителя, у АПК есть сертификат ФСТЭК на межсетевой экран и сертификаты ФСБ на средства криптографической защиты классов КС1 и КС3.

Для проверки содержимого трафика применяют межсетевые экраны нового поколения: они объединяют фильтрацию с глубоким анализом пакетов и блокировкой атак. «ЗАСТАВА» в такой схеме шифрует каналы между площадками, а экран проверяет расшифрованный трафик на границе.

Если нужны защита каналов и разграничение доступа, хватит комплекса «ЗАСТАВА». Если требуется анализ содержимого, к нему добавляют NGFW (Next Generation Firewall) со встроенной блокировкой атак или отдельный сенсор.

Как выбрать систему защиты от вторжений для компании

Выбор IPS/IDS-системы начинают со схемы сети: надо решить, какие сегменты защищать и где допустима автоматическая блокировка. Затем проверяют три критерия из таблицы до пилота. Кроме них, события сенсора должны уходить в SIEM, иначе разбирать их придется вручную.

Эксплуатацию поручают отделу информационной безопасности, а правила согласуют с владельцами сервисов, чтобы блокировка не остановила бизнес-процесс. Если ответственного нет, оповещения копятся без реакции.

Как собрать защиту сети из «ЗАСТАВЫ» и сенсоров

Защита собирается слоями. Сначала шифруются каналы и ограничивается доступ узлов, затем на границе и внутри сегментов появляются сетевые системы защиты и узловые сенсоры, а события стекаются в SIEM.

Внедрение АПК «ЗАСТАВА» занимает первый слой. Компания разворачивает центр управления, подключает шлюзы и клиентов, после чего добавляет проверку содержимого трафика.

Буклет АПК «ЗАСТАВА»: возможности и демонстрация

Буклет описывает состав АПК «ЗАСТАВА» и показывает, как запросить демонстрацию решения на вашей схеме сети.

Скачать буклет

Частые вопросы и ответы