ГОСТ Р ИСО/МЭК 18028-1— 2008
токолах для прогнозирования вторжений и для анализа контрольных записей известных моделей вредо
носного поведения или поведения, которое не является типичным при обычном использовании.
Следовательно, система обнаружения атак (СОА) является системой обнаружения вторжений в сеть.
Естьдва типа СОА:
- сетевая система обнаружения сетевых атак (ССОСА):
- система обнаружения атак на хосты (COAX).
ССОСА осуществляет текущий контроль пакетов в сети и пытается обнаружить злоумышленника
посредством сопоставления модели атаки с базой данных известных моделей атаки. Тиличным примером
является поиск большого количества запросов соединений протоколов TCP по многим различным портам
на целевой машине, таким образом обнаруживая, что кто-то пытается сканировать порт протокола TCP.
Система обнаружения вторжений сети наблюдает за сетевым трафиком посредством сплошного слежения
за всем сетевым трафиком.
COAX осуществляет текущий контроль деятельности на хостах (серверах). Она осуществляет это
путем мониторинга протоколов событий безопасности или проверки изменений всистеме, таких, как изме
нения в критических файлах системы или реестре систем. Существуетдва типа COAX:
- программы контроля целостности системы, которые осуществляют текущий контроль системных
файлов и реестра систем для выявления изменений, внесенных злоумышленниками;
- мониторинг протоколов (осуществление текущего контроля протоколов). Операционные системы
порождают события безопасности, связанные с критически важными вопросами безопасности, например,
пользователь получает привилегии на уровне администратора/корневого каталога.
В некоторых случаях реакции на обнаруженные вторжения могут быть автоматизированными в IDS.
Более подробная информация об обнаружении вторжений представлена в ИСО/МЭК 18043.
13.9 Защита от вредоносного кода
Пользователидолжны знать, что через сетевые соединения в их среду может быть введен вредонос
ный код (вирус). Вредоносный код может заставить компьютер выполнять несанкционированные функции
(например, бомбардировать данную цель сообщениями в данное число и время) или фактически уничто
жить важные ресурсы (например, стереть файлы), как только он был продублирован, чтобы попытаться
найти другие уязвимые хосты. Вредоносный код не может быть обнаружен до нанесения им ущерба, если
только не применять соответствующие меры безопасности. Вредоносный код может привести к компроме
тации мер безопасности (например, захвату и раскрытию паролей), непреднамеренному раскрытию
инфор мации. непреднамеренным ее изменениям, уничтожению информации и /или
несанкционированному ис пользованию ресурсов системы.
Некоторые формы вредоносного кода могут быть обнаружены и удалены специальным сканирую
щим ПО. Сетевые экраны, файловые серверы и рабочие станции имеют сканеры для некоторых типов
вредоносного кода. В дальнейшем для создания возможности обнаружения нового вредоносного кода
очень важно обеспечить постоянное соответствие сканирующего ПО уровню современных требований,
желательно посредством ежедневных обновлений. Однако пользователи и администраторы должны знать,
что на сканеры нельзя полагаться для обнаружения всех вредоносных кодов (даже если это
вредоносные коды определенного типа), так как постоянно появляются все новые формы вредоносного
кода. Обычно для усиления защиты, предоставляемой сканерами (где они имеются), требуются
другие формы без опасности.
Главной задачей ПО. предназначенного для борьбы с вредоносным кодом, стало сканирование ин
формации и программ для идентификации подозрительных моделей, связанных с вирусами, «червями» и
«троянскими конями» (которые иногда называют «вредоносное программное обеспечение»). Библиотека
сканируемых моделей, известная как сигнатуры, должна обновляться через определенные промежутки
времени или каждый раз. когда становятсядоступными новые сигнатуры для предупреждений о вредонос
ном ПО с высокой степенью риска. В контексте удаленногодоступа антивирусное ПО должно прогоняться на
удаленных системах, а также на серверах центральной системы, особенно на серверах Windows и
электронной почты.
Пользователи и администраторы систем с сетевыми соединениями должны знать, что существуют
большие, чем обычно, риски, связанные с вредоносным программным обеспечением при взаимодействии
со сторонними организациями по внешним каналам связи. Должны быть разработаны рекомендации для
пользователей и администраторов, определяющие процедуры и практические приемы для сведения к ми
нимуму возможности внедрения вредоносного кода.
46