Система обнаружения вторжений для windows

Список и сравнение ЛУЧШИХ систем обнаружения вторжений (IDS). Узнайте, что такое IDS? Выберите лучшие функции на основе программного обеспечения IDS, Плюсы и минусы.

Вы Ищете Лучшую Систему Обнаружения Вторжений? Прочитайте этот подробный обзор идентификаторов, доступных на современном рынке. В практике безопасности приложений обнаружение вторжений используется для минимизации кибератак и блокирования новых угроз, а система или программное обеспечение, которое используется для этого, является Системой обнаружения вторжений.

Это программное обеспечение безопасности, которое отслеживает сетевую среду на предмет подозрительной или необычной активности и предупреждает администратора, если что-то произойдет.

Важность Системы обнаружения вторжений не может быть подчеркнута в достаточной степени. ИТ-отделы организаций развертывают систему, чтобы получить представление о потенциально вредоносных действиях, происходящих в их технологических средах.

Кроме того, это позволяет передавать информацию между подразделениями и организациями все более безопасным и надежным способом. Во многих отношениях это обновление других технологий кибербезопасности, таких как брандмауэры, антивирусы, шифрование сообщений и т.д.

Когда дело доходит до защиты вашего кибер-присутствия, вы не можете позволить себе быть небрежным в этом вопросе. По данным журнала Cyber Defense, средняя стоимость атаки вредоносного ПО в 2017 году составила 2,4 миллиона долларов. Это потеря, которую не смог бы выдержать ни один малый или даже средний бизнес.

К сожалению, журнал Cyber Defense сообщает, что более 40% кибератак нацелены на малый бизнес. Кроме того, следующая статистика о кибербезопасности, предоставленная компанией Varonis, занимающейся безопасностью и аналитикой данных, заставляет нас еще больше беспокоиться о безопасности и целостности сетей.

Приведенная выше инфографика предполагает, что вам нужно быть настороже 24/7, чтобы предотвратить скомпрометацию вашей сети и/или систем. Мы все знаем, что практически невозможно круглосуточно отслеживать вашу сетевую среду на предмет вредоносных или необычных действий, если, конечно, у вас нет системы, которая могла бы сделать это за вас.

Именно здесь в игру вступают такие инструменты кибербезопасности, как брандмауэры, антивирус, шифрование сообщений, IP-адреса и система обнаружения вторжений (ID). Здесь мы обсудим идентификаторы, включая часто задаваемые вопросы об этом, а также размер и другие ключевые статистические данные, связанные с рынком идентификаторов, и сравнение лучшей системы обнаружения вторжений.

Часто Задаваемые Вопросы

Вопрос № 1) Что такое Система обнаружения вторжений?

Ответ: Это самый часто задаваемый вопрос о Системе обнаружения вторжений. Программное приложение или устройство, система обнаружения вторжений, отслеживает трафик сети на предмет обычной/подозрительной активности или нарушений политики.

Система немедленно предупреждает администратора об обнаружении аномалии. Это основная функция идентификаторов. Однако существуют некоторые идентификаторы, которые также могут реагировать на вредоносную активность. Например, идентификаторы могут блокировать трафик, поступающий с обнаруженных подозрительных IP-адресов.

Вопрос № 2) Каковы различные типы систем обнаружения вторжений?

Ответ: Существует два основных типа систем обнаружения вторжений.

К ним относятся:

1. Система обнаружения сетевых вторжений (NIDS)
2. Система обнаружения вторжений хоста (HIDS)

Система, которая анализирует трафик всей подсети, NIDS отслеживает как входящий, так и исходящий трафик на все сетевые устройства и со всех устройств.

Система с прямым доступом как к внутренней сети предприятия, так и к Интернету, HIDS захватывает «изображение» набора файлов всей системы, а затем сравнивает его с предыдущим изображением. Если система обнаруживает серьезные несоответствия, такие как отсутствующие файлы и т.д., Она немедленно предупреждает об этом администратора. В дополнение к двум основным типам идентификаторов существуют также два основных подмножества этих типов идентификаторов.

Подмножества идентификаторов включают:

1. Система обнаружения вторжений на основе сигнатур (SBIDS)
2. Система обнаружения вторжений на основе аномалий (ABIDS)

Идентификатор, который работает как антивирусное программное обеспечение, SBIDS отслеживает все пакеты, проходящие по сети, а затем сравнивает их с базой данных, содержащей атрибуты или сигнатуры знакомых вредоносных угроз.

Наконец, ABIDS отслеживает трафик сети, а затем сравнивает его с установленным показателем, и это позволяет системе определить, что является нормальным для сети с точки зрения портов, протоколов, пропускной способности и других устройств. ABIDS может быстро предупреждать администраторов о любых необычных или потенциально вредоносных действиях в сети.

Вопрос № 3) Каковы возможности систем обнаружения вторжений?

Ответ: Основная функция IDS-мониторинг сетевого трафика для обнаружения любых попыток вторжения, предпринимаемых неавторизованными лицами. Однако существуют и некоторые другие функции/возможности IDS.

Они включают в себя:

• Мониторинг работы файлов, маршрутизаторов, серверов управления ключами и брандмауэров, которые требуются для других средств контроля безопасности, и это элементы управления, которые помогают идентифицировать, предотвращать и восстанавливаться после кибератак.
• Позволяет нетехническому персоналу управлять безопасностью системы, предоставляя удобный интерфейс.
• Позволяет администраторам настраивать, упорядочивать и понимать ключевые журналы аудита и другие журналы операционных систем, которые, как правило, трудно анализировать и отслеживать.
• Блокирование злоумышленников или сервера для реагирования на попытку вторжения.
• Уведомление администратора о нарушении сетевой безопасности.
• Обнаружение измененных файлов данных и сообщение о них.
• Предоставление обширной базы данных сигнатур атак, с которой может быть сопоставлена информация из системы.

Вопрос № 4) В чем преимущества идентификаторов?

Ответ: Существует несколько преимуществ программного обеспечения для обнаружения вторжений. Во-первых, программное обеспечение IDS предоставляет вам возможность обнаруживать необычную или потенциально вредоносную активность в сети.

Еще одной причиной наличия идентификаторов в вашей организации является предоставление соответствующим сотрудникам возможности анализировать не только количество попыток кибератак, происходящих в вашей сети, но и их типы. Это предоставит вашей организации необходимую информацию для улучшения контроля или изменения существующих систем безопасности.

Некоторые другие преимущества программного обеспечения IDS заключаются в следующем:

• Обнаружение проблем или ошибок в конфигурациях сетевых устройств. Это поможет лучше оценить будущие риски.
• Достижение соответствия нормативным требованиям. С помощью идентификаторов легче соблюдать правила безопасности, поскольку это обеспечивает вашей организации большую видимость в сетях.
• Улучшение мер безопасности. Датчики IDS позволяют оценивать данные в сетевых пакетах, поскольку они предназначены для идентификации сетевых узлов и устройств. Кроме того, они могут определять операционные системы используемых служб.

Вопрос № 5) В чем разница между идентификаторами, IP-адресами и брандмауэром?

Ответ: Это еще один часто задаваемый вопрос об идентификаторах. Три основных сетевых компонента, а именно идентификаторы, IP-адреса и брандмауэр, помогают обеспечить безопасность сети. Однако существуют различия в том, как эти компоненты функционируют и защищают сеть.

Самая большая разница между брандмауэром и IPS/IDS заключается в их основной функции; в то время как брандмауэр блокирует и фильтрует сетевой трафик, IDS/IPS пытается идентифицировать вредоносную активность и предупреждать администратора о предотвращении кибератак.

Брандмауэр, основанный на правилах, анализирует источник трафика, адрес назначения, порт назначения, адрес источника и тип протокола, чтобы определить, разрешать или блокировать поступающий трафик.

Активное устройство, IP-адреса расположены между брандмауэром и остальной частью сети, и система отслеживает входящие пакеты и то, для чего они используются, прежде чем принимать решение о блокировке или разрешении пакетов в сеть.

Пассивное устройство IDS отслеживает пакеты данных, проходящие по сети, а затем сравнивает их с шаблонами в базе данных сигнатур, чтобы решить, следует ли предупреждать администратора. Если программное обеспечение для обнаружения вторжений обнаруживает необычный шаблон или шаблон, который отличается от обычного, а затем сообщает об этом администратору.

Проверка фактов: Согласно недавно опубликованному отчету Global Market Insights Inc., ожидается, что рынок систем обнаружения и предотвращения вторжений вырастет с 3 миллиардов долларов США в 2018 году до 8 миллиардов долларов США к 2025 году. Ключевыми факторами, определяющими рост рынка систем обнаружения/предотвращения вторжений, являются неэтичные действия, которые происходят как внутри, так и снаружи, а также массовый рост кибератак.

В дополнение к вышесказанному, отчет GMI также показывает, что сетевые идентификаторы составляют более 20% доли на глобальном рынке систем обнаружения/предотвращения вторжений. Кроме того, в исследовании рынка систем обнаружения вторжений, проведенном Future Market Insights (FMI), говорится, что глобальный рынок идентификаторов сегментирован в зависимости от типа, услуг и модели развертывания.

HID и NID-это два типа, которые основаны на том, как сегментирован рынок.

Услуги, на которые можно разделить рынок IDS, — это Управляемые услуги, услуги по проектированию и интеграции, Консультационные услуги, а также Обучение и образование. Наконец, две модели развертывания, которые можно использовать для сегментации рынка IDS,-это локальное развертывание и облачное развертывание.

Ниже приведена блок-схема Global Market Insights (GMI), которая показывает глобальный рынок идентификаторов/IP-адресов в зависимости от типа, компонента, Модели развертывания, приложения и региона.

Профессиональный совет: Существует множество систем обнаружения вторжений на выбор. Поэтому может быть трудно найти лучшее программное обеспечение для системы обнаружения вторжений для ваших уникальных потребностей.

Тем не менее, мы рекомендуем вам выбрать программное обеспечение IDS, которое:

• Отвечает вашим уникальным потребностям.
• Это может быть поддержано вашей сетью.
• Соответствует вашему бюджету.
• Он совместим как с проводными, так и с беспроводными системами.
• Его можно масштабировать.
• Обеспечивает повышенную совместимость.
• Включает обновления подписей.

Список Лучших Программ Для Обнаружения Вторжений

Ниже перечислены лучшие системы обнаружения вторжений, доступные в современном мире.

Сравнение 5 Лучших Систем Обнаружения Вторжений

Название инструмента	Платформа	Тип идентификаторов	Наши Рейтинги *****	Характеристики
SolarWind	Windows	НИДС	5/5	Определите количество и тип атак, уменьшите ручное обнаружение, продемонстрируйте соответствие требованиям и т.д.
Bro	Unix, Linux, Mac-OS	НИДС	4/5	Ведение журнала и анализ трафика, обеспечивает видимость пакетов, механизм событий, сценарии политики, Возможность мониторинга трафика SNMP, Возможность отслеживания активности FTP, DNS и HTTP.
ОССЕК	Unix, Linux, Windows, Mac-OS	HIDS	4/5	Бесплатная защита HIDS с открытым исходным кодом, Возможность обнаруживать любые изменения в реестре Windows, Возможность отслеживать любые попытки доступа к учетной записи root на Mac-OS, охватываемые файлы журналов включают данные почты, FTP и веб-сервера.
Snort	Unix, Linux, Windows	НИДС	5/5	Анализатор пакетов, регистратор пакетов, Анализ угроз, блокировка подписей, обновления сигнатур безопасности в режиме реального времени, Подробные отчеты, Возможность обнаружения различных событий, включая снятие отпечатков пальцев ОС, SMB-зонды, атаки CGI, атаки переполнения буфера и скрытое сканирование портов.
Suricata	Unix, Linux, Windows, Mac-OS	НИДС	4/5	Собирает данные на уровне приложений, возможность отслеживать протокола деятельность более низкого уровня, такие как TCP, IP, протокол UDP, ICMP, а протокол TLS, отслеживание в реальном времени для сетевых приложений, таких как SMB, HTTP и FTP, интеграции со сторонними инструментами, такими как Anaval, Squil, базы, Snorby, встроенный скриптовый модуль, использует обе подписи и аномалий на основе методов, умная обработка архитектуры.
Security Onion	Linux, Mac-OS	HIDS, NIDS	4/5	Полный дистрибутив Linux с акцентом на управление журналами, мониторинг корпоративной безопасности и обнаружение вторжений, работает на Ubuntu, объединяет элементы нескольких аналитических и интерфейсных инструментов, включая NetworkMiner, Snorby, Xplico, Sguil, ELSA и Kibana, Также включает функции HIDS, анализатор пакетов выполняет анализ сети, включает красивые графики и диаграммы.

Давайте Двигаться Дальше!!

Менеджер событий безопасности SolarWinds

Лучше Всего Подходит Для крупного бизнеса. Цены на SolarWinds Security Event Manager: от 4585 долларов США

Менеджер событий SolarWinds, работающий под управлением Windows, может регистрировать сообщения, создаваемые не только ПК с Windows, но и компьютерами Mac-OS, Linux и Unix. Поскольку это связано с управлением файлами в системе, мы можем классифицировать SolarWinds Event Manager как HIDS. Однако его также можно рассматривать как NIDS, поскольку он управляет данными, собранными Snort.

В SolarWinds данные о трафике проверяются с помощью обнаружения сетевых вторжений по мере их прохождения по сети. Здесь инструментом для захвата пакетов является Snort, в то время как SolarWinds используется для анализа. Кроме того, эти идентификаторы могут получать сетевые данные в режиме реального времени от Snort, который является активностью NIDS.

Система настроена на более чем 700 правил для корреляции событий. Это позволяет ему не только обнаруживать подозрительные действия, но и автоматически выполнять действия по исправлению. В целом, менеджер событий SolarWinds — это комплексный инструмент сетевой безопасности.

Характеристики:

Работает в Windows, может регистрировать сообщения, создаваемые ПК с Windows и компьютерами Mac-OS, Linux и Unix, управляет данными, собранными snort, данные о трафике проверяются с помощью обнаружения сетевых вторжений, и может получать сетевые данные в режиме реального времени от Snort. Он настроен с более чем 700 правилами для корреляции событий

Минусы:

• Устрашающая настройка отчетов.
• Низкая частота обновлений версий.

Наш обзор: Комплексный инструмент сетевой безопасности SolarWinds Event Manager может помочь вам мгновенно отключить вредоносную активность в вашей сети. Это отличный вариант, если вы можете позволить себе потратить на него не менее 4585 долларов.

---

Bro (Братан 🙂

Цены: Бесплатно. Лучше всего подходит для всех предприятий, которые полагаются на сеть.

Бесплатная система обнаружения сетевых вторжений, Братан, может сделать больше, чем просто обнаружить вторжение. Он также может выполнять анализ сигнатур. Другими словами, в Bro существует два этапа обнаружения вторжений: регистрация и анализ трафика.

В дополнение к вышесказанному, программное обеспечение Bro IDS использует для работы два элемента: механизм событий и сценарии политики. Цель механизма событий-отслеживать запуск событий, таких как HTTP-запрос или новое TCP-соединение. С другой стороны, сценарии политики используются для сбора данных о событиях. Вы можете установить это программное обеспечение системы обнаружения вторжений в Unix, Linux и Mac-OS.

Характеристики:

Ведение журнала и анализ трафика, обеспечивает видимость пакетов, механизм событий, сценарии политики, возможность мониторинга трафика SNMP, возможность отслеживания активности FTP, DNS и HTTP.

Минусы:

• Сложная кривая обучения для неаналитика.
• Мало внимания уделяется простоте установки, удобству использования и графическим интерфейсам.

Наш обзор: Братан показывает хорошую степень готовности, т. е. это отличный инструмент для тех, кто ищет ID для обеспечения долгосрочного успеха.

---

#3) ОССЕК

Цены: Бесплатно. Лучше всего подходит для среднего и крупного бизнеса.

Сокращенно от безопасности с открытым исходным кодом, OSSEC, возможно, является ведущим инструментом HIDS с открытым исходным кодом, доступным сегодня. Он включает в себя архитектуру ведения журнала и управления на основе клиента/сервера и работает во всех основных операционных системах.

Инструмент OSSEC эффективно создает контрольные списки важных файлов и время от времени проверяет их. Это позволяет инструменту немедленно предупреждать администратора сети о появлении чего-либо подозрительного.

Программное обеспечение IDS может отслеживать несанкционированные изменения реестра в Windows и любые попытки в Mac-OS получить доступ к учетной записи root. Чтобы упростить управление обнаружением вторжений, OSSEC объединяет информацию со всех сетевых компьютеров в одной консоли. Когда IDS что-то обнаруживает, на этой консоли отображается предупреждение.

Характеристики:

Бесплатная защита HIDS с открытым исходным кодом, возможность обнаруживать любые изменения в реестре Windows, возможность отслеживать любые попытки доступа к учетной записи root на Mac-OS, охватываемые файлы журналов включают данные почты, FTP и веб-сервера.

Аферы:

• Проблематичный предварительный обмен ключами.
• Поддержка Windows только в режиме агента сервера.
• Для настройки системы и управления ею требовалось значительное техническое мастерство.

Наш обзор: OSSEC-отличный инструмент для любой организации, которая ищет ID, способный обнаруживать руткиты и контролировать целостность файлов, предоставляя оповещения в режиме реального времени.

---

Snort

Цены: Бесплатно. Лучше всего подходит для малого и среднего бизнеса.

Ведущий инструмент NIDS, Snort, является бесплатным в использовании и является одной из немногих систем обнаружения вторжений, которые могут быть установлены в Windows. Snort-это не только детектор вторжений, но также регистратор пакетов и анализатор пакетов. Однако наиболее важной особенностью этого инструмента является обнаружение вторжений.

Как и брандмауэр, Snort имеет конфигурацию, основанную на правилах. Вы можете загрузить базовые правила с веб-сайта snort, а затем настроить их в соответствии с вашими конкретными потребностями. Snort выполняет обнаружение вторжений с использованием методов, основанных как на аномалиях, так и на сигнатурах.

Кроме того, основные правила Snort могут использоваться для обнаружения широкого спектра событий, включая снятие отпечатков пальцев ОС, SMB-зонды, CGI-атаки, атаки переполнения буфера и скрытое сканирование портов.

Характеристики:

Анализатор пакетов, регистратор пакетов, анализ угроз, блокировка подписей, обновления сигнатур безопасности в режиме реального времени, подробные отчеты, возможность обнаружения различных событий, включая снятие отпечатков пальцев ОС, SMB-зонды, атаки CGI, атаки переполнения буфера и скрытое сканирование портов.

Минусы:

• Обновления часто бывают опасными.
• Нестабильна из-за ошибок Cisco.

Наш обзор: Snort-хороший инструмент для тех, кто ищет ID с удобным интерфейсом. Он также полезен для глубокого анализа собираемых им данных.

---

Suricata

Цены: Бесплатно
Лучше всего подходит для среднего и крупного бизнеса.

Надежный механизм обнаружения сетевых угроз Suricata является одной из основных альтернатив Snort. Однако что делает этот инструмент лучше, чем snort, так это то, что он выполняет сбор данных на прикладном уровне. Кроме того, этот идентификатор может выполнять обнаружение вторжений, мониторинг сетевой безопасности и встроенное предотвращение вторжений в режиме реального времени.

Инструмент Suricata понимает протоколы более высокого уровня, такие как SMB, FTP и HTTP, и может отслеживать протоколы более низкого уровня, такие как UDP, TLS, TCP и ICMP. Наконец, этот идентификатор предоставляет сетевым администраторам возможность извлечения файлов, позволяющую им самостоятельно проверять подозрительные файлы.

Характеристики:

Собирает данные на уровне приложений, возможность мониторинга активности протоколов на более низких уровнях, таких как TCP, IP, UDP, ICMP и TLS, отслеживание в реальном времени сетевых приложений, таких как SMB, HTTP и FTP, интеграция со сторонними инструментами, такими как Anaval, Squil, BASE и Snorby, встроенный модуль сценариев, использует методы, основанные как на подписи, так и на аномалиях, продуманная архитектура обработки.

Минусы:

• Сложный процесс установки.
• Меньшее сообщество, чем Снорт.

Наш обзор: Suricata-отличный инструмент, если вы ищете альтернативу Snort, которая полагается на подписи и может работать в корпоративной сети.

---

Security Onion

Цены: Бесплатно
Лучше всего подходит для среднего и крупного бизнеса.

Идентификатор, который может сэкономить вам много времени, Лук безопасности полезен не только для обнаружения вторжений. Он также полезен для дистрибутива Linux с акцентом на управление журналами, мониторинг безопасности предприятия и обнаружение вторжений.

Написанный для работы в Ubuntu, Security Onion объединяет элементы инструментов анализа и интерфейсных систем. К ним относятся NetworkMiner, Снорби, Xplico, Сгуил, Эльза и Кибана. Хотя он классифицируется как NIDS, Security Onion также включает в себя множество функций HIDS.

Характеристики:

Полный дистрибутив Linux с акцентом на управление журналами, мониторинг корпоративной безопасности и обнаружение вторжений, работает на Ubuntu, объединяет элементы нескольких интерфейсных инструментов анализа, включая NetworkMiner, Snorby, Xplico, Sguil, ELSA и Kibana. Он также включает в себя функции HIDS, анализатор пакетов выполняет анализ сети, включая красивые графики и диаграммы.

Минусы:

• Высокие накладные расходы на знания.
• Сложный подход к мониторингу сети.
• Администраторы должны научиться использовать этот инструмент, чтобы получить полную выгоду.

Наш обзор: идеально подходит для любой организации, которая ищет ID, позволяющий за считанные минуты создать несколько распределенных датчиков для предприятия.

---

WIPS-NG

Цены: Бесплатно. Лучше всего подходит для малого и среднего бизнеса.

Идентификатор, предназначенный специально для беспроводных сетей, открывает WIPS-NG в инструменте с открытым исходным кодом, состоящем из трех основных компонентов, т. е. датчика, сервера и компонента интерфейса. Каждая установка WIPS-NG может включать только один датчик, и это анализатор пакетов, который может управлять беспроводной передачей в середине потока.

Шаблоны вторжений обнаруживаются набором серверных программ, который содержит механизм для анализа. Интерфейсный модуль системы представляет собой панель мониторинга, демонстрирующую оповещения и события администратору системы.

Характеристики:

Предназначенный специально для беспроводных сетей, этот инструмент с открытым исходным кодом, состоящий из датчика, сервера и компонента интерфейса, захватывает беспроводной трафик и направляет его на сервер для анализа, графический интерфейс для отображения информации и управления сервером

Минусы:

• NIDS имеет некоторые ограничения.
• Каждая установка содержит только один датчик.

Наш обзор: Это хороший выбор, если вы ищете ID, который может работать как в качестве детектора вторжений, так и в качестве анализатора пакетов Wi-Fi.

---

Саган

Цены: Бесплатно. Лучше Всего Подходит Для всех предприятий.

Sagan является бесплатным в использовании HIDS и является одной из лучших альтернатив OSSEC. Самое замечательное в этом идентификаторе заключается в том, что он совместим с данными, собранными NIDS, такими как Snort. Хотя у него есть несколько функций, похожих на идентификаторы, Sagan больше похожа на систему анализа журналов, чем на IDS.

Совместимость Sagan не ограничивается Snort; вместо этого она распространяется на все инструменты, которые могут быть интегрированы с Snort, включая Anaval, Squil, BASE и Snorby. Кроме того, вы можете установить инструмент в Linux, Unix и Mac-OS. Кроме того, вы можете загрузить его с помощью журналов событий Windows.

И последнее, но не менее важное: он может реализовывать запреты IP-адресов, работая с брандмауэрами при обнаружении подозрительной активности из определенного источника.

Характеристики:

Совместимый с данными, собранными с помощью Snort, совместимый с данными таких инструментов, как Anaval, Squil, BASE и Snorby, он может быть установлен в Linux, Unix и Mac-OS. Он может быть загружен журналами событий Windows и включает в себя средство анализа журналов, локатор IP-адресов, а также может реализовывать запреты IP-адресов, работая с таблицами брандмауэра.

Минусы:

• Не настоящее удостоверение личности.
• Сложный процесс установки.

Наш обзор: Sagan-хороший выбор для тех, кто ищет инструмент HIDS с элементом для NIDS.

---

Платформа сетевой безопасности McAfee

Цены: От 10 995 долларов США
Лучше Всего Подходит Для крупного бизнеса.

Платформа сетевой безопасности McAfee позволяет интегрировать сетевую защиту. С помощью этого идентификатора вы можете блокировать больше вторжений, чем когда-либо прежде, унифицировать облачную и локальную безопасность и получить доступ к гибким вариантам развертывания.

Идентификаторы McAfee работают, блокируя любую загрузку, которая может подвергнуть сеть воздействию вредоносного или вредоносного программного обеспечения. Он также может блокировать доступ пользователей к сайту, который вреден для компьютера в сети. Делая это, платформа сетевой безопасности McAfee защищает ваши конфиденциальные данные и информацию от злоумышленников.

Характеристики:

Защита от загрузки, предотвращение DDoS-атак, шифрование компьютерных данных, блокировка доступа к вредоносным сайтам и т.д.

Минусы:

• Может заблокировать сайт, который не является вредоносным или вредным.
• Это может замедлить скорость Интернета/сети.

Наш обзор: Если вы ищете ID, который может легко интегрироваться с другими службами McAfee, то платформа сетевой безопасности McAfee — хороший выбор. Это также хороший выбор для любой организации, которая готова пойти на компромисс со скоростью системы для повышения сетевой безопасности.

---

Palo Alto Networks

Цены: От 9 509,50 долларов США
Лучше Всего Подходит Для крупного бизнеса.

Одна из лучших особенностей сетей Пало-Альто заключается в том, что в них действуют политики активных угроз для защиты от вредоносных программ и вредоносных сайтов. Кроме того, разработчики системы постоянно стремятся улучшить ее возможности защиты от угроз.

Характеристики:

Механизм угроз, который постоянно обновляет информацию о важных угрозах, активные политики защиты от угроз, дополненные Wildfire для защиты от угроз и т.д.

Минусы:

• Отсутствие возможности настройки.
• Нет видимости подписей.

Наш обзор: Отлично подходит для предотвращения угроз до определенного уровня в сети крупных предприятий, которые готовы заплатить более 9500 долларов за этот идентификатор.

---

Вывод

Все системы обнаружения вторжений, которые мы перечислили выше, имеют свою долю плюсов и минусов. Поэтому лучшая система обнаружения вторжений для вас будет варьироваться в зависимости от ваших потребностей и обстоятельств.

Например, Братан-хороший выбор по своей готовности. OSSEC-отличный инструмент для любой организации, которая ищет ID, способный обнаруживать руткиты и отслеживать целостность файлов, предоставляя оповещения в режиме реального времени. Snort-хороший инструмент для тех, кто ищет ID с удобным интерфейсом.

Он также полезен для глубокого анализа собираемых им данных. Suricata-отличный инструмент, если вы ищете альтернативу Snort, которая полагается на подписи и может работать в корпоративной сети.

Лук безопасности идеально подходит для любой организации, которая ищет ID, позволяющий за считанные минуты создать несколько распределенных датчиков для предприятия. Sagan-хороший выбор для тех, кто ищет инструмент HIDS с элементом для NIDS. Open WIPS-NG-хороший выбор, если вы ищете ID, который может работать как в качестве детектора вторжений, так и в качестве анализатора пакетов Wi-Fi.

Sagan-хороший выбор для тех, кто ищет инструмент HIDS с элементом для NIDS. Комплексный инструмент сетевой безопасности SolarWinds Event Manager может помочь вам мгновенно отключить вредоносную активность в вашей сети. Это отличный вариант, если вы можете позволить себе потратить на него не менее 4585 долларов.

Если вы ищете ID, который может легко интегрироваться с другими службами McAfee, то платформа сетевой безопасности McAfee — хороший выбор. Однако, как и SolarWinds, он имеет высокую стартовую цену.

И последнее, но не менее важное: Palo Alto Networks отлично подходит для предотвращения угроз до определенного уровня в сети крупных предприятий, которые готовы заплатить более 9500 долларов за эти идентификаторы.

Наш Процесс Рассмотрения

Наши авторы потратили более 7 часов на изучение самых популярных Систем обнаружения вторжений с самыми высокими оценками на сайтах отзывов клиентов. Чтобы составить окончательный список лучших систем обнаружения вторжений, они рассмотрели и проверили 20 различных идентификаторов и прочитали более 20 отзывов клиентов. Этот процесс исследования, в свою очередь, делает наши рекомендации заслуживающими доверия.

Просмотров: 3 505

 Не возникало ли у вас ощущения, что защита вашего сайта была виртуозно
пройдена, и вы об этом не знаете? Несомненно, вы можете своевременно
устанавливать заплаты, правильно настраивать ACL, однако всем известно, что
каждую неделю выпускаются десятки новых эксплоитов, причем многие из них
никогда не будут обнародованы. Так как вы же убедиться, что вы защищены? Иногда
кажется, что с работой программ что-то не в порядке из-за того, что вы были
атакованы. И хотя большинство атакующих оставляют следы, по которым можно
просто обнаружить вторжение, но некоторые самые опытные хакеры профессионалы
проникают незаметно и не оставляют никаких улик, что вдвойне опасно.

В этой статье будут предложены методы, которые вы можете использовать для
обнаружения вторжения. Существует множество сторонних продуктов, которые
помогают в обнаружении вторжения, но мы можем использовать встроенные
инструментальные средства Windows 2000 для раскрытия вторжения. Но самое
главное, анализируя поведение атакующего, мы можем определить наиболее
эффективные методы, которые могли бы помочь в определении таких нападений.

Представим себя на месте злоумышленника, который хочет проникнуть в вашу сеть.
С чего бы он начал? Скорее всего, сначала он бы попытался собрать как можно
больше информации о структуре вашей сети. Предположительно, что он бы
использовал инструменты типа whois, dig, nslookup, tracert, а также доступные
источники информации в Интернет. Предположим, что он сумел найти маленькую
часть вашей сети, которая не была защищена межсетевой защитой. К примеру, он
проводил сканирование портов и заметил, что у некоторых компьютеров открыты
135, 139, 389 и 445 порты – самая опасная лазейка в Windows 2000. Он мог также
заметить, к примеру, что у одного из компьютеров открыты 80 и 443 порты,
которые, скорее всего, относятся к Web серверу IIS 5.0.

Как мы можем обнаружить злоумышленника при этих действиях? Прежде всего, легко
заметить сканирование портов. Также можно заметить внезапное увеличение
сетевого трафика. Обычно для этого можно использовать специальные инструменты,
но в Windows 2000 вы можете просто добавить предупреждение в мониторе
производительности (performance monitor), когда превышен определенный предел.
Хорошими индикаторами сетевого трафика являются счетчики TCP-Segments/Sec. или
Network Interface-Packets/Sec. Сканирование портов обычно проявляется как
устойчивое увеличение трафика в течение нескольких минут, в зависимости от
количества просмотренных портов. Другой простой индикатор сетевого трафика на
вашем компьютере – это значок на панели задач, который показывает деятельность
вашего сетевого адаптера. Для включения индикатора, зайдите в панель задач, и
отметьте опцию «Show icon in taskbar when connected». И, наконец, есть
встроенный инструмент командной строки netstat. Если вы подозреваете просмотр
ваших портов, вы можете использовать команду:

Netstat -p tcp -n

Если ваши порты в настоящее время действительно сканируют, то в зависимости от
используемого инструмента, вы получите результаты, аналогичные этим:

Active Connections

Proto Local Address Foreign Address State

TCP 127.13.18.201:2572 127.199.34.42:135 TIME_WAIT
TCP 127.13.18.201:2984 127.199.34.42:1027 TIME_WAIT
TCP 127.13.18.201:3106 127.199.34.42:1444 SYN_SENT
TCP 127.13.18.201:3107 127.199.34.42:1445 SYN_SENT
TCP 127.13.18.201:3108 127.199.34.42:1446 SYN_SENT
TCP 127.13.18.201:3109 127.199.34.42:1447 SYN_SENT
TCP 127.13.18.201:3110 127.199.34.42:1448 SYN_SENT
TCP 127.13.18.201:3111 127.199.34.42:1449 SYN_SENT
TCP 127.13.18.201:3112 127.199.34.42:1450 SYN_SENT
TCP 127.13.18.201:3113 127.199.34.42:1451 SYN_SENT
TCP 127.13.18.201:3114 127.199.34.42:1452 SYN_SENT
Заметьте последовательность портов, связанных с местным и внешним адресом.
Также заметьте большое количество SYN_SENT входов. Некоторые средства просмотра
могут отображаться как ESTABLISHED или TIME_WAIT. Ключевой индикатор —
последовательность портов и большое количество подключений с одного хоста.

Но вернемся к нашему сценарию. Далее, на месте атакующего, стоило бы попытаться
найти слабые сетевые пароли Windows или эксплуатировать уязвимости в
обнаруженном web-сервере. Так как сетевой вход в систему дал бы хакеру больше
прав, скорее всего, он бы пытался сперва пойти по первому варианту. Он
загружает имена учетных записей, и выбирает ту, которая реже всего используется
(возможно, учетная запись гостя). Далее делается несколько попыток войти в
систему с этой учетной записью, пока она не будет заблокирована, чтобы точно
определить установленную политику блокировки. Далее используется сценарий,
который пробует множество входов в систему для каждой учетной записи (но с
условием, чтобы не вызвать блокировки). Конечно, так как учетная запись
Администратора не блокируется, составляется список обычных паролей, и
предпринимаются попытки войди в систему под ними. Параллельно, через публичный
прокси сервер хакер может пытаться эксплуатировать известные уязвимости IIS.

Тем временем, вы должны были получить уже несколько предупреждений от некоторых
ключевых счетчиков производительности. Первый из них – Web Service-Connection
Attempts/sec. Этот счетчик сообщит вам, когда ваш Web-трафик внезапно
увеличился. Другой очень важный счетчик — Web Service-Not Found Errors/sec. Так
как любой Web-сканер проверяет, существуют ли определенные URL, счетчик покажет
резкое увеличение 404 ошибки. Вы можете заранее установить предупреждения,
которые указали бы, что против вас используется cgi сканер. Параллельно, другие
счетчики должны поднять тревогу, что против компьютеров вашей сети начато
нападение грубой силы. Здесь вам помогут два счетчика — Server-Logon/sec и
Server-Errors Logon.

Установка предупреждения при более чем двух входах в систему в секунду и больше
чем пяти ошибках входа быстро сообщит вам о предпринятой попытке нападения
грубым перебором. Быстрая проверка Security Event Log подтвердит предположение
о большом количестве неудачных входов в систему, сделанных с одного компьютера.

Теперь допустим, что пока мы пытались обнаружить вторжение, хакеру повезло, и
он сумел подобрать пароль. Пусть это был пустой пароль администратора для
системы, которая была только что установлена и не полностью защищена. Хакер
использует этот пароль, чтобы соединиться с этой машиной, и первое, что должен
бы сделать – установить несколько утилит для организации дальнейшего взлома.
Первое, что приходит на ум – это lsadump2.exe, nc.exe, tlist.exe, и несколько
собственных средств сканирования. Некоторые другие небходимые программы, типа
nbtstat.exe, уже присутствуют в вашей системе. Хакер запускает службу
планировщика и выбирает nc.exe, что бы он запустился через 1 минуту и
переадресовывал cmd.exe к порту типа 1234. Он ждет 1 минуту и использует
локальный nc.exe для связи с удаленной командной строкой. Затем запускается
tlist.exe, для просмотра списка процессов (хакер замечает, что включена
экранная заставка), и затем выполняется lsadump2.exe, для получения сохраненных
паролей и затем просматривается жесткий диск на наличие интересного материала.

Если вы в это время находитесь в этой системе, вы можете заметить в Task
Manager процесс cmd.exe с высоким ID процесса. Вы также замечаете, что
выполняется служба планировщика. Посмотрев в C:\Winnt\SchedLgU.txt можно
заметить недавнюю запись для процесса nc.exe, который также присутствует в
менеджере задач. Поискав файлы, которые были недавно созданы, вы найдете
несколько исполняемых файлов в system32, включая nc.exe. Т.е вы обнаружили
вторжение и теперь вам нужно собрать как можно больше информации об
злоумышленнике. Перезагрузка компьютера предупредит его, что он возможно был
обнаружен. Просмотр журнала событий покажет вам несколько неуспешных входов в
систему и в конце один успешный вход. Однако запись в журнале регистрации не
покажет IP адрес компьютера на другом конце, а только имя компьютера. Для
определения IP адреса злоумышленника введите следующую команду:

netstat -a –n

И ищите подключения к 139 и 445 TCP портам и 137 и 445 UDP портам.

Запомните этот IP адрес, и затем выполните поиск всех подключений с ним:

nbtstat -A

В результатах вы заметите Netcat сеанс с 1234 портом. Также вы заметите
несколько подключений по 137 и 138 порту с другими компьютерами в вашей сети.

Тем временем хакер просмотрел другие компьютеры в вашей сети, используя
удаленный Netcat сеанс. Он обнаружил ресурс по имени PUBLIC на компьютере с
именем FILESERVER и начинает изучать все вокруг. Из-за NetBIOS подключений к
другим компьютерам в вашей сети, вы подозреваете, что этот компьютер может
использоваться для взлома вашей внутренней сети. Поэтому вы вводите команду:

net view

Вы замечаете подключение к диску на внутреннем файл сервере, и решаете, что у
вас достаточно доказательств посягательства на вашу внутреннюю сеть. Вы
выполняете команды снова и записываете результаты в файл.

После изучения ваших ресурсов, взломщик снова выполняет tlist.exe, и замечает,
что экранная заставка больше не выполняется и что приглашение к вводу
команды(command prompt) является открытым. Не уверенный, что вы его обнаружили,
он делает новую запись в реестре, чтобы снова выполнить netcat при запуске и
разъединяется. Затем он ждет приблизительно 10 минут и при просмотре компьютера
получает ответ Request timed out. Очевидно он понял, что был обнаружен, и пора
сматывать удочки.

Конечно, этот пример вымышленный и немного упрощенный, но в нем описаны многие
элементы сетевого нападения и методы их обнаружения. Почти все сетевые
нападения могут быть обнаружены, если вы прослеживаете следующую информацию:

1. Уровень сетевого трафика и сетевые подключения
2. Уровень Web трафика и число “pages not found”
3. Попытки успешных и проваленных входов в систему
4. Изменения файловой системы
5. Запущенные приложения и сервисы
6. Приложения, которые были запланированы или запущены при старте

Отслеживая состояние этих компонентов, вы сможете помешать множеству попыток
взлома, без использования каких либо сторонних продуктов обнаружения вторжения.
Конечно, другие приложения могут помочь, но вы должны всегда знать эти шесть
элементов, описанных выше. В описанном сценарии, произошло единичное нападение.
В реальной жизни может происходить множество нападений, встречающихся 24 часа в
день. Некоторые могут заканчиваться обычным сканированием портов, а другие
могут компрометировать всю сеть. Не реально постоянно наблюдать регистрируемые
данные целый день. Но использование методов, изученных в нашем примере, вы
можете построить систему, которая будет на вас работать. Вы можете настроить
систему таким образом, чтобы предупреждения посылались вам по электронной почте
или по пейджеру. Вы также можете использовать службу планировщика, чтобы
регулярно регистрировать все процессы или сетевые подключения, выполняющиеся в
настоящее время. Создавая небольшой сценарий и используя несколько бесплатных
инструментов, вы можете построить систему обнаружения вторжения, которая может
выиграть у любой коммерческой IDS системы. Для определения вторжения не
обязательно иметь более мощное программное обеспечение, чем стандартные
средства Windows.

Contents

• 1 Что такое система обнаружения вторжений (IDS)?
• 2 Типы систем обнаружения вторжений
• 3 Системы обнаружения вторжений (HIDS)
• 4 Сетевые системы обнаружения вторжений (NIDS)
• 5 HIDS или NIDS?
• 6 Методы обнаружения: IDS на основе сигнатур или аномалий
  • 6.1 IDS на основе подписи
  • 6.2 IDS на основе аномалий
  • 6.3 Выбор метода IDS
• 7 Защити сеть с помощью IPS
• 8 Системы обнаружения вторжений по типу и операционной системе
• 9 Лучшие инструменты обнаружения вторжений & Програмное обеспечение
• 10 Системы обнаружения вторжений для Unix
• 11 Системы обнаружения вторжений для Linux
• 12 Системы обнаружения вторжений для Windows
• 13 Системы обнаружения вторжений для Mac OS
• 14 Лучшие системы и инструменты обнаружения вторжений
  • 14.1 1. Менеджер событий SolarWinds Security (бесплатная пробная версия)
  • 14.2 ВЫБОР РЕДАКТОРА
  • 14.3 2. фыркать
  • 14.4 3. OSSEC
  • 14.5 4. ManageEngine EventLog Analyzer
  • 14.6 5. Суриката
  • 14.7 6. Братан
  • 14.8 7. Саган
  • 14.9 8. Лук безопасности
  • 14.10 9. Помощник
  • 14.11 10. Откройте WIPS-NG
  • 14.12 11. Самайн
  • 14.13 12. Fail2Ban
• 15 Как выбрать IDS
• 16 Дальнейшее чтение
  • 16.1 Сетевые руководства Comparitech
  • 16.2 Другая информация о мониторинге сети

Система обнаружения вторжений (IDS) отслеживает сетевой трафик на наличие необычных или подозрительных действий и отправляет уведомление администратору..

Обнаружение аномальной активности и сообщение о ней сетевому администратору является основной функцией, однако некоторые средства IDS могут предпринимать действия на основе правил при обнаружении вредоносной активности, например, блокируя определенный трафик..

Мы подробно рассмотрим каждый из приведенных ниже инструментов, но в случае нехватки времени вот краткий список 12 лучших систем и средств обнаружения вторжений:

1. Менеджер событий SolarWinds Security (бесплатная пробная версия) Сочетает в себе функции HIDS и NIDS, чтобы предоставить вам полную систему управления информацией и событиями безопасности (SIEM).
   
2. фырканье Предоставляется Cisco Systems и является бесплатным в использовании, ведущей сетевой системой обнаружения вторжений.
3. OSSEC Отличная хост-система обнаружения вторжений, которую можно использовать бесплатно.
4. ManageEngine EventLog Analyzer Анализатор файла журнала, который ищет доказательства вторжения.
5. Suricata Сетевая система обнаружения вторжений, которая работает на уровне приложений для большей наглядности.
6. Bro Сетевой монитор и сетевая система предотвращения вторжений.
7. Саган Инструмент анализа журналов, который может интегрировать отчеты, сгенерированные на данных о фырканье, так что это HIDS с небольшим количеством NIDS.
8. Лук безопасности Инструмент мониторинга и безопасности сети, созданный из элементов, извлеченных из других бесплатных инструментов.
9. ПАМЯТНАЯ Усовершенствованная среда обнаружения вторжений – это HIDS для Unix, Linux и Mac OS
10. OpenWIPS-NG Беспроводная NIDS и система предотвращения вторжений от производителей Aircrack-NG.
11. Самайн Простая хост-система обнаружения вторжений для Unix, Linux и Mac OS.
12. fail2ban Облегченная хост-система обнаружения вторжений для Unix, Linux и Mac OS.

Типы систем обнаружения вторжений

Существует два основных типа систем обнаружения вторжений (оба они более подробно описаны ниже в этом руководстве):

1. Основанное на хосте обнаружение вторжения (HIDS) – эта система будет проверять события на компьютере в вашей сети, а не трафик, который проходит вокруг системы.
2. Сетевое обнаружение вторжений (NIDS) – эта система будет проверять трафик в вашей сети.

Средства и системы обнаружения сетевых вторжений теперь необходимы для обеспечения безопасности сети. к счастью, Эти системы очень просты в использовании, и большинство лучших IDS на рынке можно использовать бесплатно.. В этом обзоре вы прочтете о десяти лучших системах обнаружения вторжений, которые вы можете установить сейчас, чтобы начать защищать сеть от атак. Мы рассмотрим инструменты для Windows, Linux и Mac.

Системы обнаружения вторжений (HIDS)

Хост-обнаружение вторжений, также известен как хост системы обнаружения вторжений или хост-IDS, изучать события на компьютере в вашей сети, а не трафик, который проходит вокруг системы. Этот тип системы обнаружения вторжений сокращен до HIDS и он в основном работает, просматривая данные в файлах администратора на компьютере, который он защищает. Эти файлы включают в себя файлы журнала и файлы конфигурации.

HIDS создаст резервную копию ваших файлов конфигурации, чтобы вы могли восстановить настройки, если злонамеренный вирус ослабит безопасность вашей системы, изменив настройки компьютера. Другим ключевым элементом, от которого вы хотите защититься, является root-доступ на Unix-подобных платформах или изменения реестра в системах Windows.. HIDS не сможет заблокировать эти изменения, но он должен быть в состоянии предупредить вас, если любой такой доступ происходит.

На каждом хосте мониторов HIDS должно быть установлено какое-то программное обеспечение. Вы можете просто заставить HIDS контролировать один компьютер. тем не мение, более типично установить HIDS на каждом устройстве в вашей сети. Это потому, что вы не хотите игнорировать изменения конфигурации на любом оборудовании. Естественно, если в вашей сети более одного хоста HIDS, вам не нужно входить в каждый из них, чтобы получить обратную связь. Так, распределенная система HIDS должна включать централизованный модуль управления. Ищите систему, которая шифрует связь между агентами хоста и центральным монитором.

Сетевые системы обнаружения вторжений (NIDS)

Сетевое обнаружение вторжений, также известное как система обнаружения сетевых вторжений или IDS сети, проверяет трафик в вашей сети. Как таковой, типичный НДИ должен включать анализатор пакетов для сбора сетевого трафика для анализа.

Механизм анализа NIDS обычно основан на правилах и может быть изменен путем добавления ваших собственных правил. Со многими NIDS провайдер системы или сообщество пользователей предоставят вам доступные правила, и вы сможете просто импортировать их в свою реализацию. Когда вы ознакомитесь с синтаксисом правил выбранного вами NIDS, вы сможете создавать свои собственные правила..

Цепочка обратно к сбору трафика, Вы не хотите копировать весь свой трафик в файлы или запускать весь массив через панель инструментов потому что вы просто не сможете проанализировать все эти данные. Таким образом, правила, которые управляют анализом в NIDS, также создают выборочный сбор данных. Например, если у вас есть правило для типа вызывающего беспокойство HTTP-трафика, ваш NIDS должен собирать и хранить только те HTTP-пакеты, которые отображают эти характеристики..

Как правило, NIDS устанавливается на выделенном оборудовании. Высокопроизводительные платные корпоративные решения представляют собой часть сетевого комплекта с предварительно загруженным программным обеспечением. тем не мение, вам не нужно платить большие деньги за специализированное оборудование. Для NIDS требуется сенсорный модуль для захвата трафика, поэтому вы можете загрузить его на анализатор локальной сети или выбрать компьютер для выполнения задачи. Тем не менее, убедитесь, что часть оборудования, которое вы выбрали для этой задачи, имеет достаточную тактовую частоту, чтобы не замедлять работу вашей сети..

HIDS или NIDS?

Краткий ответ – оба. NIDS даст вам гораздо больше возможностей для мониторинга, чем HIDS. Вы можете перехватывать атаки, как они происходят с NIDS, тогда как HIDS замечает, что что-то не так, только если файл или настройка на устройстве уже изменились. Однако тот факт, что HIDS не имеют такой активности, как NIDS, не означает, что они менее важны..

Тот факт, что NIDS обычно устанавливается на отдельном оборудовании, означает, что он не перетаскивает процессоры ваших серверов. тем не мение, активность HIDS не так агрессивна, как у NIDS. Функция HIDS может быть выполнена легким демоном на компьютере и не должна перегружать процессор. Ни одна из систем не генерирует дополнительный сетевой трафик.

Методы обнаружения: IDS на основе сигнатур или аномалий

Независимо от того, ищете ли вы систему обнаружения вторжений хоста или систему обнаружения вторжений в сеть, все IDS используют два режима работы – некоторые могут использовать только один или другой, но большинство используют оба.

• IDS на основе подписи
• IDS на основе аномалий

IDS на основе подписи

сигнатурный метод смотрит на контрольные суммы и аутентификацию сообщений. Методы обнаружения на основе сигнатур может применяться как NIDS, так и HIDS. HIDS будет проверять журналы и файлы конфигурации на наличие непредвиденных изменений, тогда как NIDS будет проверять контрольные суммы в пакетах и ​​целостность аутентификации сообщений в таких системах, как SHA1..

NIDS может включать базу данных подписей, которые несут пакеты, известные как источники вредоносных действий. К счастью, хакеры не сидят за своими компьютерами, набирая ярость, чтобы взломать пароль или получить доступ к пользователю root. Вместо этого они используют автоматизированные процедуры, предоставляемые известными хакерскими инструментами. Эти инструменты имеют тенденцию генерировать одни и те же подписи трафика каждый раз, потому что компьютерные программы повторяют одни и те же инструкции снова и снова, а не вводят случайные изменения.

IDS на основе аномалий

Обнаружение аномалий ищет неожиданные или необычные модели деятельности. Эта категория также может быть реализована как хост-системами, так и сетевыми системами обнаружения вторжений.. В случае HIDS аномалия может повторяться при неудачных попытках входа, или необычная активность на портах устройства, которые означают сканирование портов.

В случае NIDS аномальный подход требует установления базовой линии поведения, чтобы создать стандартную ситуацию, с которой можно сравнить текущие модели трафика. Диапазон шаблонов трафика считается приемлемым, и когда текущий трафик в реальном времени выходит за пределы этого диапазона, выдается предупреждение об аномалии.

Выбор метода IDS

Сложные NIDS могут создавать записи стандартного поведения и корректировать свои границы по мере увеличения срока их службы. В целом, анализ сигнатур и аномалий намного проще в работе и его проще настроить с помощью программного обеспечения HIDS, чем с NIDS.

Методы, основанные на сигнатурах, намного быстрее, чем обнаружение на основе аномалий.. Полностью комплексный движок аномалий затрагивает методологии ИИ и может стоить много денег на разработку. Однако методы на основе сигнатур сводятся к сравнению значений. Конечно, в случае HIDS сопоставление шаблонов с версиями файлов может быть очень простой задачей, которую каждый может выполнить самостоятельно, используя утилиты командной строки с регулярными выражениями. Таким образом, их разработка не требует больших затрат и, скорее всего, будет внедрена в бесплатные системы обнаружения вторжений..

Комплексная система обнаружения вторжений требует как методов на основе сигнатур, так и процедур на основе аномалий.

Защити сеть с помощью IPS

Теперь нам нужно рассмотреть системы предотвращения вторжений (IPS). Программное обеспечение IPS и IDS являются ветвями одной и той же технологии, потому что вы не сможете получить профилактику без обнаружения. Другой способ выразить разницу между этими двумя ветвями инструментов вторжения – назвать их пассивными или активными. Простую систему мониторинга и оповещения о вторжении иногда называют «Пассивные» удостоверения личности. Система, которая не только обнаруживает вторжение, но и предпринимает действия по устранению любого ущерба и блокированию дальнейшей активности вторжения из обнаруженного источника, также известна как «Реактивные» IDS.

Реактивные IDS, или IPS, как правило, не реализуют решения напрямую. Вместо этого они взаимодействуют с брандмауэрами и приложениями, изменяя настройки. Реактивная HIDS может взаимодействовать с рядом сетевых помощников для восстановления настроек на устройстве, таких как SNMP или установленный менеджер конфигурации. Атаки на пользователя root или администратора в Windows обычно не обрабатываются автоматически, поскольку блокировка пользователя admin или изменение системного пароля приведет к блокировке системного администратора из сети и серверов..

Многие пользователи IDS сообщают о потоке ложные срабатывания когда они впервые устанавливают свои системы защиты. Так как IPS автоматически реализуют стратегию защиты при обнаружении состояния тревоги. Неправильно откалиброванные IPS могут привести к хаосу и приостановить работу вашей законной сети..

Чтобы свести к минимуму нарушение работы сети, которое может быть вызвано ложными срабатываниями, вы должны поэтапно внедрить систему обнаружения и предотвращения вторжений. Триггеры могут быть адаптированы, и вы можете комбинировать условия предупреждения для создания пользовательских предупреждений. Заявление о действиях, которые необходимо выполнить для обнаружения угроз, называется политика. Взаимодействие процедур обнаружения и предотвращения вторжений с брандмауэрами должно быть особенно тщательно отрегулировано, чтобы подлинные пользователи вашего бизнеса не были заблокированы слишком жесткими политиками.

Системы обнаружения вторжений по типу и операционной системе

Производители программного обеспечения IDS ориентированы на Unix-подобные операционные системы. Некоторые производят свой код в соответствии со стандартом POSIX. Во всех этих случаях это означает, что Windows исключена. В качестве операционные системы Mac OS Mac OS X и macOS основаны на Unix, Эти операционные системы гораздо лучше обслуживаются в мире IDS, чем в других категориях программного обеспечения. В приведенной ниже таблице объясняется, какие IDS основаны на хосте, какие основаны на сети, и на какие операционные системы можно установить каждую..

Вы можете прочитать некоторые обзоры, в которых утверждается, что Security Onion можно запустить в Windows. Это возможно, если сначала установить виртуальную машину и запустить ее через нее. Однако для определений в этой таблице мы считаем программное обеспечение совместимым только с операционной системой, если оно может быть установлено напрямую..

Лучшие инструменты обнаружения вторжений & Програмное обеспечение

IDSHIDS / NIDSUnixLinuxWindowsMac OS

Менеджер событий SolarWinds Security (БЕСПЛАТНАЯ ПРОБНАЯ ВЕРСИЯ)	И то и другое	нет	нет	да	нет
фырканье	НДИ	да	да	да	нет
OSSEC	HIDS	да	да	да	да
ManageEngine EventLog Analyzer	HIDS	да	да	да	да
Suricata	НДИ	да	да	да	да
Bro	НДИ	да	да	нет	да
Саган	И то и другое	да	да	нет	да
Лук безопасности	И то и другое	нет	да	нет	нет
ПАМЯТНАЯ	HIDS	да	да	нет	да
Открыть WIPS-NG	НДИ	нет	да	нет	нет
Самайн	HIDS	да	да	нет	да
fail2ban	HIDS	да	да	нет	да

Системы обнаружения вторжений для Unix

Чтобы перевести информацию из таблицы выше в специфичный для Unix список, вот HIDS и NIDS, которые вы можете использовать на платформе Unix.

Хост системы обнаружения вторжений:

• OSSEC
• EventLog Analyzer
• Саган
• ПАМЯТНАЯ
• Самайн
• fail2ban

Системы обнаружения вторжений в сеть:

• фырканье
• Bro
• Suricata
• Саган

Системы обнаружения вторжений для Linux

Вот списки систем обнаружения вторжений на хост и сетевых систем, которые вы можете запустить на платформе Linux.

Хост системы обнаружения вторжений:

• OSSEC
• EventLog Analyzer
• Саган
• Лук безопасности
• ПАМЯТНАЯ
• Самайн
• fail2ban

Системы обнаружения вторжений в сеть:

• фырканье
• Bro
• Suricata
• Саган
• Лук безопасности
• Открыть WIPS-NG

Системы обнаружения вторжений для Windows

Несмотря на популярность Windows Server, разработчики систем обнаружения вторжений, похоже, не очень заинтересованы в производстве программного обеспечения для операционной системы Windows. Вот несколько IDS, которые работают в Windows.

Хост системы обнаружения вторжений:

• Менеджер событий SolarWinds Security
• OSSEC
• EventLog Analyzer

Системы обнаружения вторжений в сеть:

• Менеджер событий SolarWinds Security
• фырканье
• Suricata

Системы обнаружения вторжений для Mac OS

Владельцы Mac извлекают выгоду из того факта, что Mac OS X и macOS основаны на Unix, и поэтому у владельцев Mac гораздо больше опций системы обнаружения вторжений, чем у тех, у кого есть компьютеры с операционной системой Windows..

Хост системы обнаружения вторжений:

• OSSEC
• EventLog Analyzer
• Саган
• ПАМЯТНАЯ
• Самайн
• fail2ban

Системы обнаружения вторжений в сеть:

• Bro
• Suricata
• Саган

Лучшие системы и инструменты обнаружения вторжений

Теперь вы ознакомились с кратким описанием хост-систем обнаружения вторжений и сетевых систем обнаружения вторжений по операционным системам. В этом списке мы углубимся в детали каждой из лучших IDS..

1. Менеджер событий SolarWinds Security (бесплатная пробная версия)

Менеджер событий SolarWinds Security (SEM) работает на Windows Server, но он может регистрировать сообщения, сгенерированные Юникс, Linux, и Mac OS компьютеры, а также Windows ПК.

Как менеджер журналов, это система обнаружения вторжений на основе хоста, потому что она связана с управлением файлами в системе. Однако он также управляет данными, собранными Snort, что делает его частью сетевой системы обнаружения вторжений..

Snort – это широко используемый анализатор пакетов, созданный Cisco Systems (см. Ниже). Он имеет определенный формат данных, который другие производители инструментов IDS интегрируют в свои продукты. Это касается диспетчера событий безопасности SolarWinds.. Обнаружение вторжения в сеть системы проверяют данные о трафике по мере их распространения в сети. Чтобы развернуть возможности NIDS диспетчера событий безопасности, вам необходимо использовать Snort в качестве инструмента захвата пакетов и направляет собранные данные в Менеджер событий безопасности для анализа. Хотя LEM выступает в качестве инструмента HIDS, когда он имеет дело с созданием и целостностью файла журнала, он способен получать сетевые данные в режиме реального времени через Snort, что является действием NIDS.

Продукт SolarWinds может выступать в качестве системы предотвращения вторжений, поскольку он способен инициировать действия по обнаружению вторжения. Пакет поставляется с более чем 700 правилами корреляции событий, что позволяет ему обнаруживать подозрительные действия и автоматически реализовывать действия по исправлению. Эти действия называются Активные ответы.

Эти активные ответы включают в себя:

• Уведомления об инцидентах через SNMP, экранные сообщения или электронную почту
• Изоляция USB-устройства
• Приостановка или исключение пользователя
• Блокировка IP-адреса
• Процессы убийства
• Выключение или перезагрузка системы
• Отключение сервиса
• Запуск службы

Возможности обработки сообщений Snort диспетчера событий безопасности делают его очень всеобъемлющим сетевая безопасность инструмент. Злонамеренная деятельность можно отключить практически мгновенно благодаря способности инструмента объединять данные Snort с другими событиями в системе. Риск срыва службы из-за обнаружения ложные срабатывания значительно снижается благодаря тонко настроенным правилам корреляции событий. Вы можете получить доступ к этому сетевая безопасность система на 30-дневная бесплатная пробная версия.

ВЫБОР РЕДАКТОРА

Необходимый инструмент для повышения безопасности, реагирования на события и достижения соответствия.

Скачать: Скачать 30-дневную бесплатную пробную версию

Официальный сайт: https://www.solarwinds.com/security-event-manager

ОПЕРАЦИОННЫЕ СИСТЕМЫ: Windows

2. фыркать

Фыркать лидер отрасли в NIDS, но он все еще может свободно использовать. Это один из немногих IDS, который можно установить в Windows. Он был создан Cisco. Система может работать в трех различных режимах и может реализовывать стратегии защиты, поэтому она является системой предотвращения вторжений, а также системой обнаружения вторжений..

Три режима Snort:

• Режим сниффера
• Packet logger
• Обнаружения вторжений

Вы можете использовать snort как анализатор пакетов, не включая его возможности обнаружения вторжений.. В этом режиме вы получаете реальное считывание пакетов, проходящих по сети. В режиме регистрации пакетов эти данные пакета записываются в файл.

Когда вы получаете доступ к функциям обнаружения вторжений Snort, вы вызываете модуль анализа, который применяет набор правил к трафику при его прохождении. Эти правила называются «базовыми политиками», и если вы не знаете, какие правила вам нужны, вы можете загрузить их с веб-сайта Snort. Однако, как только вы станете уверены в методологиях Snort, вы сможете написать свой собственный. Существует большая база сообщества для этой IDS и они очень активны онлайн на страницах сообщества на сайте Snort. Вы можете получить советы и помощь от других пользователей, а также загрузить правила, разработанные опытными пользователями Snort..

Правила будут обнаруживать такие события, как скрытые сканирования портов, атаки переполнения буфера, CGI-атаки, проверки SMB и дактилоскопия ОС. Методы обнаружения зависят от конкретных используемых правил и включают в себя как методы на основе сигнатур и системы на основе аномалий.

Слава Snort привлекла последователей в индустрии разработчиков программного обеспечения. Ряд приложений, созданных другими разработчиками программного обеспечения, может выполнять более глубокий анализ данных, собранных Snort. Это включает Snorby, БАЗА, Squil, и Anaval. Эти сопутствующие приложения помогают вам компенсировать тот факт, что интерфейс Snort не очень удобен для пользователя..

3. OSSEC

OSSEC означает Open Source HIDS Security. это ведущие HIDS доступны, и это абсолютно бесплатно для использования. В качестве хост-системы обнаружения вторжений программа фокусируется на файлах журналов на компьютере, где вы ее устанавливаете. Он отслеживает подписи контрольной суммы всех ваших файлов журнала, чтобы обнаружить возможные помехи. В Windows он будет следить за любыми изменениями в реестре. В Unix-подобных системах он будет отслеживать любые попытки получить доступ к учетной записи root.. Хотя OSSEC является проектом с открытым исходным кодом, на самом деле он принадлежит Trend Micro, известному производителю программного обеспечения для обеспечения безопасности..

Основное приложение мониторинга может охватывать один компьютер или несколько хостов, объединяя данные в одной консоли. Хотя существует агент Windows, который позволяет отслеживать компьютеры Windows, основное приложение может быть установлено только в Unix-подобной системе, что означает Unix, Linux или Mac OS.. Для основной программы есть интерфейс для OSSEC, но он устанавливается отдельно и больше не поддерживается. Обычные пользователи OSSEC обнаружили другие приложения, которые хорошо работают в качестве внешнего интерфейса для инструмента сбора данных: Splunk, Kibana и Graylog.

Файлы журнала, охватываемые OSSEC, включают данные FTP, почты и веб-сервера. Он также отслеживает журналы событий операционной системы, журналы и таблицы брандмауэра и антивируса, а также журналы трафика.. Поведение OSSEC контролируется политиками, которые вы устанавливаете на него.. Их можно приобрести как дополнения от большого сообщества пользователей, которое активно работает с этим продуктом. Политика определяет условие оповещения. Эти оповещения могут отображаться на консоли или отправляться в виде уведомлений по электронной почте. Trend Micro предлагает поддержку OSSEC за плату.

4. ManageEngine EventLog Analyzer

ManageEngine является ведущим производителем решений для мониторинга и управления ИТ-инфраструктурой. EventLog Analyzer является частью продуктов безопасности компании. Это HIDS основное внимание уделяется управлению и анализу файлов журналов, генерируемых стандартными приложениями и операционными системами. Инструмент устанавливается на Windows Server или Linux. Он собирает данные из этих операционных систем, а также из Mac OS, IBM AIX, HP UX, и Solaris системы. Журналы из систем Windows включают в себя источники из Windows Server Windows Vista и выше, а также Windows DHCP Server.

Помимо операционных систем, сервис собирает и объединяет журналы Microsoft SQL Server и оракул базы данных. Он также может направлять оповещения от ряда антивирусных систем, включая Microsoft Antimalware, ESET, Sophos, Нортон, Kaspersky, FireEye, Malwarebytes, McAfee, и Symantec. Он будет собирать журналы с веб-серверов, брандмауэров, гипервизоров, маршрутизаторов, коммутаторов и сканеров уязвимостей..

EventLog Analyzer собирает сообщения журнала и работает как сервер файлов журнала, организуя сообщения в файлы и каталоги по источнику и дате сообщения. Срочные предупреждения также направляются на панель мониторинга EventLog Analyzer и могут быть переданы на Системы справочной службы как билеты, чтобы вызвать немедленное внимание со стороны техников. Решение о том, какие события представляют собой потенциальное нарушение безопасности, определяется модуль разведки угроз это встроено в пакет.

Сервис включает в себя автоматический поиск в журнале и корреляцию событий для составления регулярных отчетов по безопасности. Среди этих отчетов – формат для мониторинга и аудита привилегированных пользователей (PUMA) и различные форматы, необходимые для демонстрации соответствия PCI DSS, FISMA, ISO 27001, GLBA, HIPAA, SOX, и GDPR.

Анализатор событий ManageEngine доступен в трех редакциях. Первый из них Свободно. Тем не менее, бесплатная версия ограничена мониторингом сообщений журнала из пяти источников, что на самом деле недостаточно для любого современного бизнеса, за исключением очень небольших предприятий. Два платных издания премия и распределенный. Распределенный план значительно дороже, чем Премиум-план. Премиум-система должна быть достаточной для большинства предприятий с одним сайтом, в то время как распределенная версия будет охватывать несколько сайтов и неограниченное количество источников записей журнала. Вы можете опробовать систему с 30-дневной бесплатной пробной версией с ограничением 2000 источников сообщений журнала..

5. Суриката

Suricata, вероятно, является основной альтернативой Snort. Suricata имеет ключевое преимущество перед Snort, заключающееся в том, что он собирает данные на уровне приложений.. Это преодолевает слепоту, которую Snort должен иметь для подписей, разделенных на несколько пакетов TCP. Suricata ждет, пока все данные в пакетах не будут собраны, прежде чем переместит информацию в анализ.

Хотя система работает на прикладном уровне, она может отслеживать активность протокола на более низких уровнях, таких как IP, TLS, ICMP, TCP и UDP. Он проверяет трафик в реальном времени для различных сетевых приложений, включая FTP, HTTP и SMB. Монитор не просто смотрит на структуру пакета. Он может проверять сертификаты TLS и фокусироваться на HTTP-запросах и DNS-вызовах. Средство извлечения файлов позволяет исследовать и изолировать подозрительные файлы с характеристиками заражения вирусом..

Suricata совместим со Snort, и вы можете использовать те же правила VRT, написанные для этого лидера NIDS. Эти сторонние инструменты, такие как Snorby, БАЗА, Squil, и Anaval эта интеграция со Snort также может быть связана с Suricata. Таким образом, доступ к сообществу Snort за советами и бесплатными правилами может быть большим преимуществом для пользователей Suricata. Встроенный модуль сценариев позволяет комбинировать правила и получать более точный профиль обнаружения, чем может дать Snort. Suricata использует методы на основе сигнатур и аномалий.

Suricata обладает продуманной архитектурой обработки, которая обеспечивает аппаратное ускорение за счет использования множества различных процессоров для одновременной многопоточной работы. Он даже может работать частично на вашей видеокарте. Такое распределение задач позволяет избежать нагрузки на один хост. Это хорошо, потому что одна проблема с этим NIDS состоит в том, что он довольно тяжёл в обработке. Suricata имеет очень приятную на вид приборную панель, которая включает в себя графику, чтобы сделать анализ и распознавание проблем намного проще. Несмотря на этот дорогой на вид интерфейс, Suricata бесплатно.

6. Братан

Братан бесплатный NIDS это выходит за рамки обнаружения вторжений и может предоставить вам и другие функции мониторинга сети. Сообщество пользователей Bro включает в себя множество академических и научно-исследовательских учреждений..

Функция обнаружения вторжений Bro выполняется в два этапа: регистрация трафика и анализ. Как и в случае с Suricata, Bro имеет большое преимущество перед Snort в том, что его анализ работает на прикладном уровне. Это дает вам видимость между пакетами, чтобы получить более широкий анализ активности сетевого протокола.

Модуль анализа Bro имеет два элемента, которые работают над анализом сигнатур и обнаружением аномалий. Первым из этих инструментов анализа является Бро событийный движок. Это отслеживает для запуска событий, таких как новое соединение TCP или HTTP-запрос. Каждое событие регистрируется, поэтому эта часть системы не зависит от политики – она ​​просто предоставляет список событий, в которых анализ может выявить повторение действий или подозрительно разнородных действий, созданных одной и той же учетной записью пользователя..

Анализ данных этого события выполняется сценарии политики. Аварийное состояние спровоцирует действие, поэтому Bro – система предотвращения вторжений а также анализатор сетевого трафика. Сценарии политики могут быть настроены, но они, как правило, работают в стандартной среде, которая включает в себя сопоставление подписи, обнаружение аномалий и анализ соединений.

Вы можете отслеживать активность HTTP, DNS и FTP с Bro, а также отслеживать трафик SNMP, позволяет проверять изменения конфигурации устройства и условия ловушки SNMP. Каждая политика представляет собой набор правил, и вы не ограничены количеством активных политик или уровней стека протоколов, которые вы можете проверить. На более низких уровнях вы можете следить за DDoS-атаками и обнаруживать сканирование портов..

Bro можно установить на Unix, Linux и Mac OS.

7. Саган

Саган это хост-система обнаружения вторжений, так что это альтернатива OSSEC, а также бесплатно использовать. Несмотря на то, что программа HIDS, программа совместима с данными, собранными Snort, который является системой NIDS. Эта совместимость также распространяется на другие инструменты, которые могут использоваться вместе с Snort, такие как Snorby, БАЗА, Squil, и Anaval. Источники данных из Bro и Suricata также могут поступать в Sagan. Этот инструмент может быть установлен в Unix, Linux и Mac OS. Хотя вы не можете запустить Sagan в Windows, вы можете загружать в него журналы событий Windows..

Строго говоря, Sagan – это инструмент для анализа логов. Элементом, которого не хватает для того, чтобы сделать его автономным NIDS, является модуль анализатора пакетов. Однако, с другой стороны, это означает, что Sagan не требует выделенного оборудования и обладает гибкостью для анализа как журналов узлов, так и данных сетевого трафика. Этот инструмент должен быть дополнением к другим системам сбора данных, чтобы создать полную систему обнаружения вторжений.

Некоторые приятные особенности Sagan включают в себя локатор IP, который позволяет увидеть географическое расположение IP-адресов которые обнаружены как имеющие подозрительные действия. Это позволит вам объединять действия IP-адресов, которые работают согласованно, для формирования атаки. Sagan может распределять обработку по нескольким устройствам, снижая нагрузку на процессор вашего сервера ключей..

Эта система включает выполнение сценариев, что означает, что она будет генерировать предупреждения и выполнять действия по обнаружению сценариев вторжения.. Он может взаимодействовать с таблицами межсетевого экрана для реализации запретов IP в случае подозрительной активности из конкретного источника. Итак, это система предотвращения вторжений. Модуль анализа работает с методологиями обнаружения сигнатур и аномалий.

Саган не входит в список лучших IDS у всех, потому что он действительно не может рассматриваться как IDS, поскольку является анализатором файлов журнала. Тем не менее, его HIDS с всплеском концепции NIDS делает его интересным предложением в качестве компонента инструмента гибридного анализа IDS.

8. Лук безопасности

Для смеси решений IDS, вы можете попробовать бесплатная система Security Onion. Большинство инструментов IDS в этом списке являются проектами с открытым исходным кодом.. Это означает, что любой может загрузить исходный код и изменить его. Это именно то, что сделал разработчик Security Onion. Он взял элементы из исходного кода фырканье, Suricata, OSSEC, и Bro и сшил их вместе, чтобы сделать это бесплатный гибрид NIDS / HIDS на основе Linux. Security Onion предназначен для работы в Ubuntu, а также включает в себя элементы из интерфейсных систем и инструменты анализа, включая Snorby, Sguil, Squert, Kibana, ELSA, Xplico, и NetworkMiner.

Хотя Security Onion классифицируется как NIDS, он также включает функции HIDS. Он будет отслеживать ваш журнал и файлы конфигурации на наличие подозрительных действий и проверять контрольные суммы этих файлов на наличие неожиданных изменений.. Одним из недостатков комплексного подхода Security Onion к мониторингу сети является его сложность. Он имеет несколько различных операционных структур, и в Интернете или в комплекте недостаточно учебного материала, чтобы помочь сетевому администратору освоить все возможности инструмента..

Сетевой анализ проводится анализатор пакетов, который может отображать передаваемые данные на экране, а также записывать в файл. Механизм анализа Security Onion – это то, где все усложняется, потому что существует так много разных инструментов с разными операционными процедурами, что вы можете в конечном итоге игнорировать большинство из них. Интерфейс Kibana предоставляет панель мониторинга для Security Onion и он включает в себя несколько хороших графиков и диаграмм для облегчения распознавания статуса.

В эту систему включены правила оповещения как на основе сигнатур, так и на основе аномалий. Вы получаете информацию о состоянии устройства, а также о моделях трафика. Все это может действительно быть сделано с некоторой автоматизацией действий, которой не хватает Security Onion.

9. Помощник

«Среда расширенного обнаружения вторжений» еще очень много написана, поэтому разработчики этой IDS решили сократить его название до AIDE. Это бесплатный HIDS который фокусируется на обнаружении руткитов и сравнении сигнатур файлов для Unix и Unix-подобных операционных систем, поэтому он будет работать и на Mac OS и Linux.

Если вы рассматриваете Tripwire, вам лучше вместо этого взглянуть на AIDE, потому что это бесплатная замена этого удобного инструмента. У Tripwire есть бесплатная версия, но многие ключевые функции, которые нужны большинству людей из IDS, доступны только с платным Tripwire, поэтому вы получаете гораздо больше функциональности бесплатно с AIDE..

Система компилирует базу данных административных данных из конфигурационных файлов при первой установке. Тот создает базовую линию, а затем можно откатить любые изменения в конфигурации всякий раз, когда обнаруживаются изменения в системных настройках. Инструмент включает в себя как методы мониторинга подписи и аномалий. Системные проверки выдаются по требованию и не выполняются постоянно, что немного не хватает с этим HIDS. Поскольку это функция командной строки, вы можете запланировать ее периодический запуск с помощью метода работы, такого как cron. Если вы хотите получить данные в режиме реального времени, вы можете просто запланировать их запуск очень часто.

AIDE – это всего лишь инструмент сравнения данных, и он не включает в себя какой-либо язык сценариев, вам придется полагаться на свои навыки сценариев оболочки, чтобы получить функции поиска данных и реализации правил в этой HIDS. Возможно, AIDE следует рассматривать скорее как инструмент управления конфигурацией, а не как систему обнаружения вторжений.

10. Откройте WIPS-NG

Если вы слышали об Aircrack-NG, то можете быть осторожнее с этим сетевые IDS потому что он был разработан одним и тем же предпринимателем. Aircrack-NG – это анализатор пакетов и взломщик паролей в беспроводной сети, который стал частью инструментария каждого хакера.

В WIPS-NG мы видим случай, когда браконьер превратился в егеря. Это бесплатное программное обеспечение предназначено для защиты беспроводных сетей. Хотя Aircrack-NG может работать в различных операционных системах, Open WIPS-NG работает только в Linux. Название «WIPS» означает «беспроводная система предотвращения вторжений», поэтому этот NIDS обнаруживает и блокирует вторжение..

Система включает в себя три элемента:

• датчик
• сервер
• Интерфейс

Есть планы разрешить установку WIPS-NG для мониторинга нескольких датчиков. тем не мение, на данный момент каждая установка может включать только один датчик. Это не должно быть слишком большой проблемой, потому что вы можете решить несколько задач, используя только один датчик. Датчик представляет собой анализатор пакетов, который также может управлять беспроводными передачами в середине потока. Таким образом, датчик выступает в качестве приемопередатчика для системы.

Информация, собранная датчиком, передается на сервер, где происходит волшебство. Набор серверных программ содержит механизм анализа, который будет обнаруживать шаблоны вторжения. Политики вмешательства для блокировки обнаруженных вторжений также создаются на сервере. Действия, необходимые для защиты сети, отправляются на сенсор в виде инструкций.

Интерфейсный модуль системы является приборной панелью, которая отображает события и предупреждения для системного администратора. Это также где настройки могут быть изменены и защитные действия могут быть скорректированы или отменены.

11. Самайн

Samhain, производимая Samhain Design Labs в Германии, является основанная на хосте система обнаружения вторжений, которая может свободно использоваться. Его можно запускать на одном компьютере или на нескольких хостах, предлагая централизованный сбор данных о событиях, обнаруженных агентами, работающими на каждой машине..

Задачи, выполняемые каждым агентом, включают проверку целостности файлов, мониторинг файлов журналов и мониторинг портов.. Процессы ищут вирусы руткита, мошеннические SUID (права доступа пользователя) и скрытые процессы. Система применяет шифрование для связи между агентами и центральным контроллером в реализациях с несколькими хостами. Соединения для доставки данных файла журнала включают требования аутентификации, которые не позволяют злоумышленникам захватывать или заменять процесс мониторинга..

Данные, собранные Samhain, позволяют анализировать действия в сети и выделяют предупреждающие признаки вторжения. тем не мение, это не будет блокировать вторжение или убирать мошеннические процессы. Вам нужно будет сохранять резервные копии ваших файлов конфигурации и идентификаторов пользователей, чтобы решить проблемы, обнаруженные на мониторе Samhain..

Одна проблема с хакерским и вирусным вторжением состоит в том, что злоумышленник предпримет шаги, чтобы спрятаться. Это включает в себя уничтожение процессов мониторинга. Samhain использует стелс-технологию чтобы скрыть свои процессы, тем самым не позволяя злоумышленникам манипулировать или убивать IDS. Этот метод скрытности называется «стеганография».

Центральные файлы журналов и резервные копии конфигурации подписаны с помощью ключа PGP, чтобы предотвратить вмешательство злоумышленников.

Samhain – это система с открытым исходным кодом, которую можно скачать бесплатно. Он был разработан в соответствии с рекомендациями POSIX, чтобы сделать его совместимым с Unix, Linux и Mac OS. Центральный монитор будет собирать данные из разных операционных систем.

12. Fail2Ban

Fail2Ban является бесплатная хост-система обнаружения вторжений фокусируется на обнаружении тревожных событий, записанных в файлах журналов, таких как чрезмерные неудачные попытки входа в систему. Система устанавливает блоки на IP-адресах, которые отображают подозрительное поведение. Эти запреты обычно длятся всего несколько минут, но этого может быть достаточно, чтобы нарушить стандартный сценарий автоматического взлома паролей. Эта политика также может быть эффективной против DoS-атак. Фактическая длина запрета IP-адреса может быть скорректирована администратором.

Fail2Ban на самом деле Система предотвращения вторжений потому что он может предпринять действия при обнаружении подозрительной активности, а не просто записать и выделить возможное вторжение.

Поэтому системный администратор должен быть осторожен с политиками доступа при настройке программного обеспечения, потому что слишком жесткая стратегия предотвращения может легко заблокировать добросовестных пользователей. Проблема с Fail2Ban заключается в том, что он фокусируется на повторяющихся действиях с одного адреса. Это не дает ему возможности справляться с распределенными кампаниями по взлому паролей или DDoS-атаками..

Fail2Ban написан на Python и может записывать в системные таблицы, чтобы блокировать подозрительные адреса. Эти автоматические блокировки происходят в Netfilter, iptables, правилах межсетевого экрана PF и таблице hosts.deny TCP Wrapper.

Область мониторинга атак системы определяется серией фильтры которые инструктируют IPS о том, какие сервисы контролировать. К ним относятся Postfix, Apache, Почтовый сервер Courier, Lighttpd, sshd, vsftpd и qmail. Каждый фильтр объединяется с действием, выполняемым в случае обнаружения условия оповещения.. Комбинация фильтра и действия называется «тюрьмой».

Эта система написана в соответствии со стандартом POSIX, поэтому ее можно установить в операционных системах Unix, Linux и Mac OS..

Как выбрать IDS

Требования к оборудованию сетевых систем обнаружения вторжений могут оттолкнуть вас и подтолкнуть вас к системе на основе хоста, которую намного проще запустить и запустить. Однако не забывайте о том, что вам не нужно специализированное оборудование для этих систем, просто выделенный хост.

Действительно, вы должны смотреть на получение как HIDS, так и NIDS для вашей сети. Это потому, что вам нужно следить за изменениями конфигурации и корневым доступом на ваших компьютерах, а также за необычными действиями в потоках трафика в вашей сети..

Хорошей новостью является то, что все системы в нашем списке являются бесплатными или имеют бесплатные пробные версии, так что вы можете попробовать некоторые из них. Аспект сообщества пользователей этих систем может привлечь вас к одной, в частности, если у вас уже есть коллега, который имеет опыт работы с ним. Возможность получать советы от других сетевых администраторов является окончательным преимуществом этих систем. и делает их еще более привлекательными, чем платные решения с профессиональной поддержкой службы поддержки.

Если ваша компания находится в секторе, который требует соблюдения стандартов безопасности, таких как PCI, то вам действительно понадобится IDS. Также, если вы храните личную информацию о людях, ваши процедуры защиты данных должны быть на пустом месте предотвратить судебное преследование вашей компании за утечку данных.

Хотя, вероятно, вам понадобится весь ваш рабочий день, чтобы оставаться в верхней части панели администратора сети., не откладывайте решение об установке системы обнаружения вторжений. Надеюсь, это руководство дало вам толчок в правильном направлении. Если у вас есть какие-либо рекомендации по вашей любимой IDS, и если у вас есть опыт работы с любой из систем, упомянутых в этом руководстве, оставьте примечание в разделе комментариев ниже и поделитесь своими мыслями с сообществом..

Дальнейшее чтение

Сетевые руководства Comparitech

• Топ 10 инструментов мониторинга локальной сети на 2023 год
• Полное руководство по DHCP
• Полное руководство по SNMP
• Основное руководство по управлению мобильными устройствами (MDM) в 2023 году
• Окончательный путеводитель по BYOD в 2023 году
• Топ 10 управления сервером & инструменты мониторинга на 2023 год
• Лучшие бесплатные анализаторы и сборщики NetFlow для Windows
• 6 лучших бесплатных сканеров сетевых уязвимостей и способы их использования
• 8 лучших анализаторов пакетов и сетевых анализаторов на 2023 год
• Лучшее бесплатное программное обеспечение для мониторинга полосы пропускания и инструменты для анализа использования сетевого трафика

Другая информация о мониторинге сети

• Википедия: Система обнаружения вторжений
• Техническая цель: система обнаружения вторжений (IDS)
• ОГО: Что такое система обнаружения вторжений?
• Lifewire: Введение в системы обнаружения вторжений
• YouTube: системы обнаружения вторжений

Система обнаружения вторжений — что это

Системы обнаружения сетевых вторжений (NIDS) ищут закономерности в сетевой активности, чтобы идентифицировать вредоносные действия. Потребность в этой категории систем безопасности возникла из-за изменений в хакерских методах в ответ на ранее успешные стратегии блокировки вредоносных действий.

Традиционные системы сетевой безопасности не могут защитить от скомпрометированных учетных записей пользователей или обманутых сотрудников компаний в полной мере, пишет издание Comparitech.

Брандмауэры стали очень эффективно блокировать попытки входящих подключений. Антивирусное программное обеспечение успешно идентифицировало инфекции, передаваемые через USB-накопители, диски с данными и вложения электронной почты. Заблокировав традиционные вредоносные методы, хакеры обратились к стратегиям атак, таким как распределенные атаки типа «отказ в обслуживании» (DDoS). Пограничные службы теперь делают эти векторы атак менее опасными.

Сегодня Advanced Persistent Threat (APT) представляет собой самую большую проблему для сетевых администраторов. В сценарии APT группа хакеров получает доступ к корпоративной сети и использует ресурсы компании в своих целях, а также получает доступ к данным компании для продажи.

В этом руководстве основное внимание уделяется NIDS. Многие из ведущих NIDS можно использовать бесплатно, а другие популярные инструменты предлагают бесплатные пробные периоды.

Вот наш список из девяти лучших инструментов NIDS. Ниже подробно описывается каждый из этих инструментов.

SolarWinds Log Event Manager

Диспетчер журналов и событий SolarWinds в основном представляет собой пакет HIDS, но вы также можете использовать функции NIDS с этим инструментом. Инструмент можно использовать как аналитическую утилиту для обработки данных, собранных Snort. Вы можете прочитать больше о Snort ниже. Snort может собирать данные о трафике, которые вы можете просматривать через Log and Event Manager.

Сочетание NIDS и HIDS делает его действительно мощным инструментом безопасности. Раздел NIDS диспетчера журналов и событий включает базу правил, называемую правилами корреляции событий, которая выявляет аномалии активности, указывающие на вторжение. Инструмент можно настроить на автоматическую реализацию рабочих процессов при обнаружении предупреждения о вторжении. Эти действия называются активными ответами. Действия, которые вы можете автоматически запускать при обнаружении аномалии, включают: остановку или запуск процессов и служб, приостановку учетных записей пользователей, блокировку IP-адресов и отправку уведомлений по электронной почте, SNMP-сообщению или записи экрана. Активные ответы превращают SolarWinds Log and Event Manager в систему предотвращения вторжений.

Это топовая IDS, доступная сегодня на рынке, и она платная. Программное обеспечение будет работать только в операционной системе Windows Server, но оно может собирать данные из Linux, Unix и Mac OS, а также из Windows. Вы можете получить 30-дневную бесплатную пробную версию SolarWinds Log and Event Manager.

Snort

Snort, принадлежащий Cisco Systems, является проектом с открытым исходным кодом и может использоваться бесплатно. На сегодняшний день это ведущая NIDS, и многие другие инструменты сетевого анализа были написаны для использования ее результатов. Программное обеспечение может быть установлено на Windows, Linux и Unix.

На самом деле это система анализатора пакетов, которая будет собирать копии сетевого трафика для анализа. Однако у инструмента есть и другие режимы, и один из них — обнаружение вторжений. В режиме обнаружения вторжений Snort применяет «базовые политики», которые являются основой правил обнаружения.

Базовые политики делают Snort гибким, расширяемым и адаптируемым. Вам необходимо точно настроить политики в соответствии с типичными действиями вашей сети и уменьшить количество «ложных срабатываний». Вы можете написать свои собственные базовые политики, но это не обязательно, поскольку вы можете загрузить пакет с веб-сайта Snort. Существует очень большое сообщество пользователей Snort, и эти пользователи общаются через форум. Опытные пользователи делают свои собственные советы и уточнения доступными для других бесплатно. Вы также можете получить больше базовых политик от сообщества бесплатно. Поскольку Snort использует очень много людей, всегда есть новые идеи и новые базовые политики, которые вы можете найти на форумах.

Bro

Bro — это NIDS, как и Snort, однако у него есть большое преимущество перед системой Snort — этот инструмент работает на прикладном уровне. Этот бесплатный NIDS широко используется научными и академическими сообществами.

Это система, основанная на сигнатурах, а также использующая методы обнаружения аномалий. Он способен обнаруживать шаблоны на уровне битов, указывающие на вредоносную активность в пакетах.

Процесс обнаружения обрабатывается в два этапа. Первым из них управляет Bro Event Engine. Поскольку данные оцениваются на более высоком уровне, чем пакетный, анализ не может быть выполнен мгновенно. Должен быть уровень буферизации, чтобы достаточное количество пакетов можно было оценить вместе. Таким образом, Bro немного медленнее, чем типичная NIDS пакетного уровня, но все же идентифицирует вредоносную активность быстрее, чем HIDS. Собранные данные оцениваются сценариями политик, что является вторым этапом процесса обнаружения.

Можно настроить действия по исправлению, которые будут запускаться автоматически сценарием политики. Это делает Bro системой предотвращения вторжений. Программное обеспечение может быть установлено на Unix, Linux и Mac OS.

Suricata

Suricata — это NIDS, работающая на прикладном уровне, что обеспечивает видимость нескольких пакетов. Это бесплатный инструмент с возможностями, очень похожими на возможности Bro. Хотя эти системы обнаружения на основе сигнатур работают на уровне приложений, они по-прежнему имеют доступ к сведениям о пакетах, что позволяет программе обработки получать информацию на уровне протокола из заголовков пакетов. Это включает в себя шифрование данных, данные транспортного уровня и интернет-уровня.

Эта IDS также использует методы обнаружения аномалий. Помимо пакетных данных, Suricata может проверять сертификаты TLS, HTTP-запросы и транзакции DNS. Инструмент также может извлекать сегменты из файлов на уровне битов для обнаружения вирусов.

Suricata — один из многих инструментов, совместимых со структурой данных Snort. Он может реализовывать базовые политики Snort. Большим дополнительным преимуществом этой совместимости является то, что сообщество Snort также может дать вам советы по использованию трюков с Suricata. Другие Snort-совместимые инструменты также могут интегрироваться с Suricata. К ним относятся Snorby, Anaval, BASE и Squil.

IBM QRadar

Этот инструмент IBM SIEM платный, но вы можете получить 14-дневную бесплатную пробную версию. Это облачный сервис, поэтому к нему можно получить доступ из любого места. Система охватывает все аспекты обнаружения вторжений, включая действия HIDS, основанные на журналах, а также проверку данных о трафике в реальном времени, что также делает ее NIDS. Сетевая инфраструктура, которую QRadar может отслеживать, распространяется на облачные сервисы. Политики обнаружения, которые выделяют возможное вторжение, встроены в пакет.

Очень приятной особенностью этого инструмента является утилита моделирования атак, которая поможет вам проверить вашу систему на наличие уязвимостей. IBM QRadar использует ИИ для облегчения обнаружения вторжений на основе аномалий и имеет очень полную панель инструментов, которая объединяет данные и визуализацию событий. Если вы не хотите использовать службу в облаке, вы можете выбрать локальную версию, которая работает в Windows.

Security Onion

Если вы хотите, чтобы IDS работала в Linux, очень хорошим вариантом будет бесплатный пакет NIDS/HIDS Security Onion. Это проект с открытым исходным кодом и поддерживается сообществом. Программное обеспечение для этого инструмента работает на Ubuntu и было взято из других утилит сетевого анализа. Ряд других инструментов, перечисленных в этом руководстве, интегрирован в пакет Security Onion: Snort, Bro и Suricata. Функциональность HIDS обеспечивается OSSEC, а интерфейсом является система Kibana. Другие известные инструменты мониторинга сети, включенные в Security Onion, включают ELSA, NetworkMiner, Snorby, Squert, Squil и Xplico.

Утилита включает в себя широкий спектр инструментов анализа и использует методы, основанные как на сигнатурах, так и на основе аномалий. Хотя повторное использование существующих инструментов означает, что Security Onion выигрывает от устоявшейся репутации своих компонентов, обновление элементов в пакете может быть затруднено.

Open WIPS-NG

Open WIPS-NG — это проект с открытым исходным кодом, который помогает вам контролировать беспроводные сети. Инструмент можно использовать как простой анализатор пакетов Wi-Fi или как систему обнаружения вторжений. Утилита была разработана той же командой, которая создала Aircrack-NG — очень известный инструмент для взлома сети, используемый хакерами. Таким образом, пока вы используете Open WIPS-NG для защиты своей сети, хакеры, которых вы обнаружите, будут собирать ваши беспроводные сигналы с помощью родственного пакета.

Это бесплатный инструмент, который устанавливается в Linux. Программный комплекс включает в себя три компонента. Это датчик, сервер и интерфейс. Open WIPS-NG предлагает ряд инструментов исправления, поэтому датчик выступает в качестве вашего интерфейса с беспроводным приемопередатчиком как для сбора данных, так и для отправки команд.

Sagan

Sagan — это HIDS. Однако с добавлением потока данных от Snort он также может действовать как NIDS. Кроме того, вы можете использовать Bro или Suricata для сбора оперативных данных для Sagan. Этот бесплатный инструмент можно установить в Unix и Unix-подобных операционных системах, что означает, что он будет работать в Linux и Mac OS, но не в Windows. Однако он может обрабатывать сообщения журнала событий Windows. Инструмент также совместим с Anaval, BASE, Snorby и Squil.

Полезные дополнения, встроенные в Sagan, включают распределенную обработку и геолокатор IP-адресов. Это хорошая идея, потому что хакеры часто используют диапазон IP-адресов для атак вторжения, но упускают из виду тот факт, что общее расположение этих адресов говорит о многом. Саган может выполнять сценарии для автоматизации устранения атак, что включает в себя возможность взаимодействия с другими утилитами, такими как таблицы брандмауэра и службы каталогов. Эти возможности делают его системой предотвращения вторжений.

Splunk

Splunk — популярный анализатор сетевого трафика, который также имеет возможности NIDS и HIDS. Инструмент можно установить в Windows и Linux. Утилита доступна в трех редакциях. Это Splunk Free, Splunk Light, Splunk Enterprise и Splunk Cloud. Вы можете получить 15-дневную пробную версию облачной версии инструмента и 60-дневную бесплатную пробную версию Splunk Enterprise. Splunk Light доступен в 30-дневной бесплатной пробной версии. Все эти версии включают возможности сбора данных и обнаружения аномалий.

Функции безопасности Splunk можно улучшить с помощью надстройки под названием Splunk Enterprise Security. Доступна 7-дневная бесплатная пробная версия. Этот инструмент повышает точность обнаружения аномалий и снижает количество ложных срабатываний за счет использования ИИ. Степень оповещения можно настроить с помощью уровня серьезности предупреждения, чтобы ваша команда системных администраторов не была завалена чрезмерно усердным модулем отчетности.

Splunk интегрирует ссылку на файл журнала, чтобы вы могли получить историческую перспективу событий. Вы можете определить закономерности атак и вторжений, наблюдая за частотой злонамеренных действий с течением времени.

Автор: Stephen Cooper