Detekcja ataków
System zabezpieczeń IDP wykorzystuje wiele metod identyfikacji i ochrony przed atakami. Metody detekcji ataków włączone są w zależności od kontrolowanego ruch sieciowego. Analiza danych za pomocą poszczególnych metod detekcji odbywa się w tym samym czasie (przetwarzanie współbieżne). Zapewnia to wysoką wykrywalność ataków bez obniżania wydajności.
Zastosowany w IDP mechanizm Multi-Method Detection (MMD) zawiera następujące metody detekcji:
- Stateful Signatures - wykrywanie znanych ataków w oparciu o bazę sygnatur. Pełno-stanowe sygnatury zawierają dane na temat wzorca ataku oraz rodzaju komunikacji, gdzie takie zdarzenie może wystąpić. Ruch sieciowy poddawany jest analizie kontekstowej przez co w dużym zakresie eliminowane są fałszywe alarmy (tzw. false positives). Wzorce ataków wyszukiwane są tylko w wybranej komunikacji sieciowej, zapewniając w ten sposób dużą efektywność kontroli i wydajność zabezpieczeń.
- Protocol Anomalies - wykrywanie niezgodności ruchu sieciowego ze standardami określonych protokołów (m.in. RFC). W praktyce zdarza się, że intruzi w celu zmylenia zabezpieczeń, bądź ukrycia rzeczywistych ataków generują ruch sieciowy odbiegający od przyjętych norm i standardów.
- Backdoor Detection - wykrywanie aktywności "koni trojańskich" oraz prób nieupoważnionego dostępu do chronionych systemów poprzez tzw. "włazy" (backdoor). Detekcja odbywa się poprzez porównywanie ruchu sieciowego ze znanymi wzorcami działań intruzów oraz analizę heurystyczną transmitowanych pakietów.
- Traffic Anomalies - identyfikowanie działań w sieci, uznawanych za niedozwolone lub podejrzane, które są realizowane w formie wielu, różnych połączeń (np. skanowanie portów). Analizie poddawane są połączenia w określonych przedziale czasowym.
- IP Spoofing - wykrywanie ruchu sieciowego ze sfałszowanymi adresami IP nadawcy pakietów (IP Spoofing). Intruzi często wykorzystują technikę IP Spoofing, żeby ukryć rzeczywiste źródło ataku. IDP wykrywa IP Spoofing porównując adresy IP w pakietach z adresami wykorzystywanymi w sieciach wewnętrznych.
- Layer 2 - wykrywanie ataków i działań podejrzanych na poziomie warstwy 2 modelu OSI i adresacji MAC (np. ARP cache poisoning). Jest to szczególnie wartościowe w przypadku kontroli przez IDP sieci wewnętrznych.
- Denial of Service Detection - wykrywanie ataków destrukcyjnych i destabilizujących (Denial-of-Service, DoS). Ataki DoS realizowane są zwykle poprzez wysyłanie do serwera usługi dużej liczby odpowiednio spreparowanych zapytań, które wyczerpują jego zasoby (np. SYN-Flood).
- Network Honeypot - wczesne wykrywanie i rozpoznawanie działań intruzów poprzez stosowanie techniki "honeypot". IDP w trakcie skanowania, penetracji lub próby włamania do chronionego systemu przedstawia intruzom fikcyjne informacje nt. usług dostępnych na serwerach.
