Профилактика получает одобрение. Смогут ли системы предотвращения несанкционированных проникновений в корпоративные сети справится со своей задачей Этим вопросом озабочены не только заказчики IPS, уже существующие и потенциальные, но и производители систем обнаружения проникновений, пытающиеся понять, каким образом справится с технологией, которая угрожает основам их бизнеса. Превосходство IPS по сравнению с IDS выделяется особенно ярко на фоне растущих требований клиентов к созданию более эффективных средств предотвращения несанкционированных вторжений в их сети. Но поскольку технологии становятся все сложнее, корпоративные клиенты чаще испытывают трудности при выявлении различий между истинными IPS и их упрощенными версиями, а также при интеграции IPS с различными элементами сетевых инфраструктур. Роль работающих систем предотвращения вторжений трудно переоценить многие специалисты по ИТ сегодня продолжают сегодня вынашивать систему профилактики атак, которые способны нанести компаниям очень серьезный ущерб.
Эксперты в области безопасности предсказывают, что по мере совершенствования технологий IPS произойдет слияние систем IDS и межсетевых экранов, число механизмов IPS заметно увеличится, а производители средств анализа трафика и коммутирующего оборудования в частности, Cisco Systems, F5 Networks и Nortel Networks поведут борьбу за обладание короной IPS. Некоторые аналитики, в том числе и специалисты компании Gartner, советуют своим клиентам воздержаться пока от крупных инвестиций в IDS и внимательно изучить все преимущества технологии IPS. Организациям, уже вложившим в IDS серьезные средства и получившим якобы позитивные результаты, рекомендуем обратить внимание на производителей средств управление системами безопасности, в частности на компании ArcSight и NetForensics отметил вице-президент Gartner Джон Пескаторе.
Мы полагаем, что концепция IDS себя исчерпала.
Она не представляет сегодня практически никакой ценности для корпоративных пользователей.
Чтобы выжить, надо действовать быстрее, буквально со скорость прохождения информации по кабелю, и необходимо решать вопросы ложных срабатываний. Ложные срабатывания один из самых серьезных недостатков IDS представляет собой весьма обременительную ношу при нехватке опыта обеспечения внутренней безопасности, а постоянно сокращающиеся бюджеты заставляют вновь и вновь поднимать вопросы, связанные с приоритетами обработки соответствующих событий.
Технологии IPS позволяют избежать получения фальсифицированных позитивных результатов благодаря различным механизмам. Среди них, в частности, анализ сигнатур, изменяющихся в ходе проверки сессии, идентификация сетевых протоколов и пакетов с целью проверки на предмет обнаружения в них внезапных изменений шаблонов трафика как это происходит в атаке, рассчитанной на отказ в обслуживании или таких изменений, которые не предусмотрены установленными правилами.
Иногда люди пытаются бороться с каждым отдельно взятым уязвимым местом, хотя это вовсе не является необходимостью, особенно сегодня, когда штат организаций заметно сократился отмечает старший сетевой инженер компании Tower Records П. Дж. Кастро. Мы должны сконцентрироваться на том, что может нанести реальный ущерб.
Усилия производителей средств безопасности, целью которых является успешное внедрение IPS, сводятся на нет наличием многочисленных брешей в системах безопасности и зачастую необходимостью проведения дорогостоящих процедур по устранению ущерба от вирусов. Широкое распространение вирусов последние год-полтора стало последней каплей, переполнившей чашу терпения многих клиентов. Глобальные эпидемии Nimba, Klez, Code Red и т.д. привели руководителей компаний к мысли о том, что создание эффективной системы ИТ-самообороны станет одним из важнейших факторов обеспечения нормального функционирования организаций в будущем.
Все эти вирусы нанесли нам немалый урон заметил директор информационной службы университета штата Флорида Том Данфорд. В отдельных случаях наше учебное заведение фактически оказывалось на грани выживания. Удару подверглись не отдельные компьютеры, а целые классы, и нам пришлось потратить немало денежных средств НАТО, чтобы очистить машины от вирусов и ликвидировать нанесенный ущерб.
Безусловно, все это отняло много времени и отрицательно сказалось на производительности труда и учебном процессе. В конечном итоге, мы пришли к выводу, что добиться требуемого уровня безопасности можно лишь при условии проведения необходимых профилактических мероприятий. Сегодня, к сети учебного заведения как внутри студенческого городка, так и за его пределами подключено более 10 тыс. пользователей, и Данфорду хотелось бы, чтобы система IPS обеспечивала выявление подозрительных действий в сети, их блокировку и последующее изучение с внутренней стороны межсетевого экрана.
В декабре прошлого года в университете была установлена сетевая консоль UnityOne-200 компании TippingPoint Technologies, позволяющая осуществлять поиск потенциальных источников угроз. Результаты оказались обнадеживающими. Несмотря на наличие в сети множества серверов с Microsoft SQL Server, червь Slammer не смог проникнуть ни в одну из университетских систем.
Аппаратные консоли и IPS-системы TippingPoint UnityOne содержат механизм безопасной обработки сетевого трафика, в основу которого положены средства очень быстрого анализа заголовков сетевых пакетов. Для успешного отражения атак путем блокирования подозрительных пакетов сразу после обнаружения угрозы, решения IPS просто необходимо сделать частью сетевой инфраструктуры подчеркивает технический директор TippingPoint Марк Виллебек-Лемер. Задержка их срабатывания не должна превышать нескольких микросекунд.
Поскольку в названиях IPS и IDS имеются две общие буквы, мы всегда вели разговор о следующем поколении семейства продуктов, хотя и имели в виду действительно разные вещи. Атаки обрушиваются на нас не только по всему внешнему периметру, но и с внутренней стороны. Система IPS будет эффективной только в том случае, если, интегрировав ее сетевую структуру, вы сможете отражать удары, наносимые с любого направления. IPS нельзя более считать лишь точкой доступа к глобальной сети.