Проектирование IDS/IPS. Тезисы.

    В условиях непрекращающейся компьютеризации сетевые технологии развиваются и проникают практически во все сферы современного бизнеса. Вместе с технологиями растут возможности взлома, проникновения, выведения серверов и сервисов из строя и прочих видов деструктивной активности как снаружи корпоративной сети, так и изнутри ее. Одной защиты с помощью межсетевого экрана явно недостаточно, и поэтому необходимо применять системы обнаружения и предотвращения вторжений. Для рационального использования финансов на обеспечение сетевой безопасности необходимо правильно рассчитать технические требования к системам IDS/IPS.

Интеграция Cisco IDS/IPS и IBM ISS SiteProtector с OpenNMS

Иногда у администратора IT-безопасности может возникнуть необходимость предоставления оперативного доступа к событиям систем обнаружения вторжений для других подразделений.

IDS/IPS implementation. Phase 2. Throughput metering

Usually traffic intrusion detection in the corporate network is provided without an ability to affect the productive services. This mode is named IDS (Intrusion Detection System). IDS also may be integrated with the active network equipment for an ability to block the attacker host or network (IDS shun). Another way is the sensor usage in the active protection mode called inline IPS (Intrusion Prevention System) or with an ability to terminate the TCP-sessions by the way of RST-packet sending to the source and destination host of the malicious session. Let's make some analysis of the IDS and IPS modes according to the network integration requirements.

Защищаем mediawiki

К базе знаний, для обеспечения достоверности информации, должны применяться технологии защиты.

Все чаще даже в корпоративной среде используется открытый инструмент mediawiki, позволяющий создавать и поддерживать базу знаний, аналогичную всемирной Википедии, но в масштабах организации либо даже ее подразделений. Для того чтобы обеспечить целостность и достоверность данных в базе знаний, необходимо разумно применить варианты защиты информации от:

• неавторизованного доступа и модификации
• перехвата по сети
• использования чужих учетных записей
• возможного взлома

Cisco IDSM2 + MRTG. Часть 2

  Статья 2009 года, опубликована в журнале "Системный администратор"

Мониторинг Cisco IDS/IPS на примере модуля IDSM2 c помощью MRTG. Часть 2.

Рано или поздно перед администратором систем обнаружения вторжений возникают вопросы:

- рациональности использования ресурсов,

- соответствия официально заявленных производителем параметров реальным данным,

- возможности распределения сенсоров различной мощности по разным участкам сети.

В этом случае также может пригодиться MRTG.

Linux и системы обнаружения вторжений

Linux: применение в корпоративной сети

В условиях дефицита бюджета вопрос стоимости решения зачастую будет играть наиболее существенную роль. Решением, которое сократит расходы на первоначальном этапе до минимума, может быть использование программных средств с открытым исходным кодом (Open Source). Рассмотрим преимущества и недостатки использования бесплатного ПО и коммерческих программно-аппаратных комплексов.

Cisco IDSM2 + MRTG. Часть 1

  Статья 2009 года, опубликована в журнале "Системный администратор"

Мониторинг Cisco IDS/IPS на примере модуля IDSM2 c помощью MRTG.

Если ваши системы обнаружения вторжения вызывают беспокойство тем, что не сигнализируют своевременно о сбоях в функционировании или реконфигурации сети, не спешите искать дорогостоящие решения от поставщиков. Возможно, абсолютно бесплатные Open Source решения после некоторой реконфигурации покажут себя нисколько не хуже.

Пароли :)

IDS/IPS implementation phase 1. Network topology points

Correct infrastructure segment and network topology level finding for IDS/IPS network sensors are critical for their efficiency. Users’ and datacenter segments are analyzed for intrusion detection and prevention systems implementation practicability. Network topology points of IDS/IPS integration are defined with technical requirements description.

Проектирование инфраструктуры систем обнаружения вторжений. Этап 4. Система управления.

Немаловажным компонентом инфраструктуры систем обнаружения и предотвращения вторжений является система управления IDS/IPS. От нее зависит скорость и качество выполнения многих задач информационной безопасности, связанных с человеческим фактором.

Проектирование и внедрение инфраструктуры IDS/IPS. Этап 3. Выбор решения

На основании проведенных расчетов производится выбор решения, удовлетворяющего потребности данного участка сети.

После определения требований к производительности одним из первых возникает вопрос о том, использовать коммерческое решение или Open Source.

Для коммерческих продуктов, кроме соответствия функциональным требованиям, учитываются стоимость решения, а также уровень, условия и стоимость технической поддержки.

Также принимается решение о том, использовать программный продукт либо программно-аппаратную платформу. В случае использования программного решения необходимо учесть дополнительные расходы на оборудование и (опционально) операционную систему.

Проектирование и внедрение инфраструктуры IDS/IPS. Этап 2. Определение производительности

Обработка сетевого трафика системами обнаружения и предотвращения вторжений в корпоративных сетях, как правило, производится без потенциального влияния на сетевые сервисы, то есть, в режиме IDS (Intrusion Detection Systems). IDS также может быть интегрирован с активным сетевым оборудованием для возможности временной блокировки хостов и подсетей, генерирующих трафик, определяемый как вредоносный (IDS shun). Реже используются системы предотвращения вторжений в режиме IPS (Intrusion Prevention Systems), полностью пропускающие через себя трафик (inline IPS), либо с возможностью внедрения в TCP-сессию и принудительного ее обрыва посредством отсылки TCP RST-пакетов участникам сессии. Рассмотрим общие характеристики режимов IDS и IPS с точки зрения интеграции сетевых сенсоров в существующую корпоративную сеть.

Проектирование и внедрение инфраструктуры IDS/IPS. Этап 1. Архитектура.

Сеть передачи данных крупных предприятий можно логически поделить на 3 уровня. Уровень, на котором к коммутаторам подключаются пользователи и конечные узлы, чаще всего называют уровнем доступа. Маршрутизация между подсетями уровня доступа, резервирование шлюза по умолчанию, применение межсетевого экранирования и балансировки трафика конечных узлов производится на уровне агрегации. Высокоскоростная коммутация и маршрутизация, резервирование и эффективное использование каналов осуществляется на уровне ядра сети. Уровни доступа и агрегации можно выделить как для пользовательского сегмента, где конечными узлами будут пользовательские ПК, так и для сегментов центров обработки данных (ЦОД), в котором конечными узлами могут быть виртуальные либо физические сервера.