Top.Mail.Ru
Введение в IPS/IDS/snort


Feb 15, 2024

Введение в IPS/IDS/snort

Система обнаружения вторжений ( IDS )

IDS — это решение для пассивного мониторинга для обнаружения возможных вредоносных действий/шаблонов, аномальных инцидентов и нарушений политик. Он отвечает за создание оповещений о каждом подозрительном событии. 

Существует два основных типа систем IDS ;

Система предотвращения вторжений ( IPS )

IPS — это активное защитное решение для предотвращения возможных вредоносных действий/шаблонов, аномальных инцидентов и нарушений политик. Он отвечает за остановку/предотвращение/прекращение подозрительного события сразу после его обнаружения.

 Существует четыре основных типа систем IPS ;

Система анализа сетевого поведения работает аналогично NIPS . Разница между NIPS и поведенческим подходом заключается в следующем: Системы, основанные на поведении, требуют периода обучения (также известного как «базовый уровень»), чтобы изучить обычный трафик и дифференцировать вредоносный трафик и угрозы. Эта модель обеспечивает более эффективные результаты против новых угроз.

Система обучена распознавать «нормальное» и обнаруживать «ненормальное». Период обучения имеет решающее значение, чтобы избежать ложных срабатываний. В случае любого нарушения безопасности во время периода обучения результаты будут весьма проблематичными. Еще одним важным моментом является обеспечение того, чтобы система была хорошо обучена распознавать безопасные действия. 

Механизм работы HIPS аналогичен HIDS. Разница между ними заключается в том, что  HIDS создает оповещения об угрозах, **а HIPS останавливает угрозы, разрывая соединение.
**

Методы обнаружения/предотвращения

В решениях IDS и IPS используются три основных метода обнаружения и предотвращения ;

   
Техника Подход
На основе подписи Этот метод основан на правилах, которые определяют конкретные закономерности известного вредоносного поведения. Эта модель помогает обнаруживать известные угрозы.
На основе поведения Этот метод идентифицирует новые угрозы с помощью новых шаблонов, которые проходят через сигнатуры. Модель сравнивает известное/нормальное поведение с неизвестным/ненормальным поведением. Эта модель помогает обнаруживать ранее неизвестные или новые угрозы.
На основе политики Этот метод сравнивает обнаруженные действия с конфигурацией системы и политиками безопасности. Эта модель помогает обнаруживать нарушения политики.

Краткое содержание

Уф! Это была долгая поездка и много информации. Давайте в двух словах суммируем общие функции IDS и IPS.

Snort также может быть встроен для остановки этих пакетов. Snort имеет три основных применения: в качестве анализатора пакетов, такого как tcpdump, в качестве регистратора пакетов, что полезно для отладки сетевого трафика, или его можно использовать в качестве полноценного система предотвращения вторжений в сеть. Snort можно загрузить и настроить как для личного, так и для делового использования » .

SNORT — это  основанная на правилах система   обнаружения и предотвращения сетевых вторжений с  открытым исходным кодом (NIDS/NIPS) . Он был разработан и до сих пор поддерживается Мартином Рошем, участниками открытого исходного кода и командой Cisco Talos. 

Возможности Snort;

Snort имеет три основные модели использования;