Intrusion Prevention System ( IPS) je softwarový nebo hardwarový síťový a počítačový bezpečnostní systém, který detekuje narušení nebo narušení bezpečnosti a automaticky proti nim chrání.
Systémy IPS lze považovat za rozšíření systémů detekce narušení (IDS), protože úkol sledování útoků zůstává stejný. Liší se však tím, že IPS musí sledovat aktivitu v reálném čase a rychle zasáhnout, aby útokům zabránil.
Historie vývoje moderních IPS zahrnuje historii vývoje několika nezávislých řešení, metod proaktivní ochrany, které byly vyvinuty v různých dobách pro různé typy hrozeb. Proaktivní metody ochrany, které dnes trh nabízí, zahrnují následující:
Červ Morris , který infikoval unixové počítače v síti v listopadu 1988, je obvykle uváděn jako první hrozba proti vniknutí do protiopatření .
Podle jiné teorie se akce skupiny hackerů spolu s tajnými službami SSSR a NDR staly podnětem k vytvoření nového opevnění. V letech 1986 až 1989 skupina, jejímž ideologickým vůdcem byl Markus Hess, předávala svým národním zpravodajským agenturám informace, které získaly vniknutím do počítačů. Všechno to začalo neznámým účtem pouhých 75 centů v Národní laboratoři. E. Lawrence v Berkeley. [1] Analýza jeho původu nakonec vedla k Hessovi, který pracoval jako programátor pro malou západoněmeckou společnost a patřil také do extremistické skupiny Chaos Computer Club se sídlem v Hamburku. Jím organizovaná invaze začala telefonátem z domova přes jednoduchý modem, který mu zajistil spojení s evropskou sítí Datex-P a následně pronikl do počítače knihovny Brémské univerzity, kde hacker získal potřebná privilegia a již s dostali se do Národní laboratoře. E. Lawrence v Berkeley. [1] První protokol byl zaregistrován 27. července 1987 a ze 400 dostupných počítačů se mu podařilo dostat se do cca 30 a poté v tichosti narušitel na uzavřené síti Milnet , a to zejména pomocí pasti v podobě soubor s názvem Strategic Defense Initiative Network Project (zajímal se o vše, co se týkalo strategické obranné iniciativy prezidenta Reagana ) [1] . Bezprostřední reakcí na vznik vnějších síťových hrozeb bylo vytvoření firewallů , jako prvních systémů pro detekci a filtrování hrozeb.
S příchodem nových typů hrozeb se pamatovalo na blokátory chování.
První generace behaviorálních blokátorů se objevila již v polovině 90. let. Princip jejich práce – při zjištění potenciálně nebezpečné akce byl uživatel dotázán, zda akci povolit nebo zamítnout. Teoreticky je blokátor schopen zabránit šíření jakéhokoli - známého i neznámého - viru . Hlavní nevýhodou prvních blokátorů chování byl nadměrný počet požadavků na uživatele. Důvodem je neschopnost blokátoru chování posoudit škodlivost akce. V programech napsaných ve VBA je však možné s velmi vysokou pravděpodobností rozlišit mezi škodlivými a prospěšnými akcemi.
Druhá generace behaviorálních blokátorů se liší v tom, že neanalyzují jednotlivé akce, ale sled akcí a na základě toho vyvozují závěr o škodlivosti konkrétního softwaru.
V roce 2003 společnost Current Analysis, vedená Mikem Frattem, pozvala k testování produktů HIP následující dodavatele: Argus Systems Group, Armored Server, Computer Associates (CA), Entercept Security Technologies, Harris, Network-1, Okena, Tiny Software, Tivoli ( součást IBM ) a WatchGuard. Výsledkem bylo, že v laboratoři RealWorld Lab Syracuse University byly testovány pouze následující produkty : Argus' PitBull LX a PitBull Protector, CA's eTrust Access Control, Entercept's Web Server Edition, Harris' STAT Neutralizer, Okena's StormWatch a StormFront, Okena's ServerLock a AppLock /Strážce webových hodinek.
Pro účastníky byly formulovány následující požadavky:
Po měsíci a půl testování zvítězil produkt StormWatch společnosti Okena (později koupený společností Cisco Systems , produkt byl pojmenován Cisco Security Agent). [2]
V roce 2003 byla zveřejněna zpráva Gartner , která prokázala neefektivnost tehdejší generace IDS a předpověděla jejich nevyhnutelné vybavení IPS. Poté začali vývojáři IDS často kombinovat své produkty s IPS.
Metody jsou implementovány po zjištění informačního útoku. To znamená, že i když je úspěšně zabráněno útoku, chráněný systém může být poškozen.
Blokování připojeníPokud je pro útok použito TCP spojení , pak je ukončeno zasláním TCP paketu každému nebo jednomu z účastníků s nastaveným příznakem RST. Výsledkem je, že útočník není schopen pokračovat v útoku pomocí tohoto síťového připojení. Tato metoda je nejčastěji implementována pomocí stávajících síťových senzorů.
Metoda má dvě hlavní nevýhody:
Pokud bylo v důsledku útoku ohroženo několik uživatelských účtů nebo se ukázalo, že jsou jejich zdrojem, jsou blokovány hostitelskými senzory systému. Pro zablokování musí být senzory spuštěny pod účtem s administrátorskými právy.
K blokování může také dojít po určitou dobu, která je určena nastavením Systému prevence narušení.
Blokování hostitele počítačové sítěPokud byl detekován útok z jednoho z hostitelů , může být zablokován hostitelskými senzory nebo mohou být blokována síťová rozhraní buď na něm nebo na routeru nebo přepínači, se kterým je hostitel připojen k síti. K odblokování může dojít po uplynutí stanovené doby nebo aktivací bezpečnostního správce. Zámek není zrušen kvůli restartu nebo odpojení od sítě hostitele. Pro neutralizaci útoku můžete také zablokovat cíl, hostitele počítačové sítě.
Blokování útoku pomocí firewalluIPS generuje a odesílá nové konfigurace firewallu , pomocí kterých bude obrazovka filtrovat provoz od narušitele. Taková rekonfigurace může probíhat automaticky pomocí standardů OPSEC (např . SAMP , CPMI ). [3] [4]
U firewallů, které nepodporují protokoly OPSEC, lze k interakci se systémem prevence narušení použít modul adaptéru:
Pro protokol SNMP IPS analyzuje a upravuje nastavení z databáze MIB (jako jsou směrovací tabulky , nastavení portů ) pomocí agenta zařízení k blokování útoku. Lze také použít protokoly TFTP , Telnet atd .
Aktivní potlačení zdrojeMetodu lze teoreticky použít, pokud jsou jiné metody k ničemu. IPS detekuje a blokuje pakety vetřelce a útočí na jeho uzel za předpokladu, že jeho adresa je jednoznačně určena a v důsledku takových akcí nebudou poškozeny ostatní legitimní uzly.
Tato metoda je implementována v několika nekomerčních softwarech:
Vzhledem k tomu, že nelze garantovat splnění všech podmínek, není zatím možné široké uplatnění metody v praxi.
Metody implementují opatření, která zabrání detekovaným útokům dříve, než dosáhnou cíle.
Použití síťových senzorůSíťové senzory jsou instalovány v mezeře komunikačního kanálu tak, aby analyzovaly všechny procházející pakety. K tomu jsou vybaveny dvěma síťovými adaptéry pracujícími ve „smíšeném režimu“, pro příjem a pro vysílání, zapisování všech procházejících paketů do vyrovnávací paměti, odkud je čte modul detekce útoků IPS. Pokud je detekován útok, mohou být tyto balíčky odstraněny. [5]
Analýza paketů je založena na podpisových nebo behaviorálních metodách.
Použití hostitelských senzorů