IDS — система обнаружения вторжений¶
IDS (англ. Intrusion Detection System, система обнаружения вторжений) — программный аппаратный комплекс, предназначенный для мониторинга сетевой активности и системных событий с целью выявления несанкционизированных действий, атак и нарушений политик безопасности. IDS анализирует трафик и журналы, формирует предупреждения (алерты), но, в отличие от систем предотвращения вторжений (IPS), как правило, не блокирует вредоносную активность автоматически, а лишь сообщает о ней оператору.
¶Принцип работы
IDS устанавливается на периметре сети или внутри неё и в реальном времени анализирует проходящие пакеты данных, системные логи и поведение пользователей. Для обнаружения аномалий применяются два основных метода:
- Сигнатурный анализ — сравнение наблюдаемого трафика с базой известных сигнатур атак. Позволяет точно выявлять уже известные угрозы, но не обнаруживает новые (zero-day) атаки.
- Анализ аномалий — построение модели «нормального» поведения сети и отслеживание отклонений. Способен обнаруживать неизвестные атаки, но даёт больше ложных срабатываний.
Современные IDS сочетают оба подхода, дополняя их эвристиками и машинным обучением.
¶Классификация
По месту установки и способу анализа IDS подразделяются на несколько типов.
¶По архитектуре
- NIDS (Network IDS) — сетевые системы, анализирующие трафик на уровне сети. Устанавливаются на магистральных каналах или в зонах DMZ.
- HIDS (Host IDS) — хостовые системы, мониторящие события конкретного компьютера: изменения файлов, запуск процессов, попытки повышения привилегий.
- WIDS/WIPS — системы, контролирующие беспроводные сети Wi-Fi.
¶По способу получения данных
- Passive — подключаются к сети через коммутатор-зеркало (SPAN-порт) или тап и только копируют трафик для анализа.
- Inline — расположены в потоке трафика и имеют возможность его прерывать; такие системы фактически работают как IPS.
¶Основные решения
На рынке представлены как коммерческие, так и открытые IDS.
| Название | Тип | Особенности |
|---|---|---|
| Snort | NIDS/HIDS | Один из старейших открытых IDS, разработан Martin Roesch в 1998 году; широкая база сигнатур |
| Suricata | NIDS | Многопоточный движок от Open Information Security Foundation, поддержка протоколов HTTP, TLS, DNS |
| OSSEC | HIDS | Мониторинг файловой системы, логов и rootkit-детекция |
| Zeek (Bro) | NIDS | Скриптовый анализ сетевого трафика, генерация подробных логов |
| «СёрчМайнс СИБКИ» | Коммерческий | Российская система обнаружения атак, сертифицирована ФСТЭК |
¶Развёртывание и интеграция
Для эффективной работы IDS требуются:
- Сенсоры — точки сбора трафика и логов.
- Консоль управления — интерфейс для настройки правил и просмотра алертов.
- SIEM-система — корреляция событий от IDS с данными других источников (антивирусы, файрволы, контроллеры домена). Примеры: Splunk, IBM QRadar, «Рутокен SIEM», «Криптосистема Видеотон SIEM».
В российской практике применение IDS регулируется приказами ФСТЭК России: для систем, содержащих государственную тайну, а также для критически значимых объектов КИИ (критической информационной инфраструктуры) обнаружение атак в сетях является обязательным требованием. Перечень мер по защите (Приказ ФСТЭК № 239 от 2021 года) требует внедрения средств обнаружения атак на уровне сетей и хостов.
¶Ограничения
IDS не является панацеей: высокая нагрузка на каналы связи, необходимость постоянного обновления сигнатур, проблема ложных срабатываний и требование квалифицированного персонала для анализа алертов остаются актуальными. В сочетании с IPS, межсетевыми экранами и системой управления событиями безопасности IDS образует многоуровневую защиту периметра.
¶См. также
- IPS (система предотвращения вторжений)
- SIEM
- Межсетевой экран
- Кибербезопасность
¶Источники
- Р. Гарсия-Техада, «Введение в системы обнаружения вторжений»
- Documentation Suricata — suricata.io
- Snort User Manual — snort.org
- Приказ ФСТЭК России № 239 от 25.12.2017 (ред. 2021) «Об утверждении состава и содержания организационных и технических мер по защите персональных данных при их обработке в информационных системах персональных данных»
- Методические рекомендации ФСТЭК по защите критической информационной инфраструктуры