روی خط خبر

موضوع: تکنولوژی و فناوری اطلاعات منبع: شبکه
امتیاز: 5 5

مطلب با عنوان سامانه‌های تشخیص نفوذ یا سامانه‌های پیشگیری از نفوذ، کدام‌یک بهتر هستند؟ از وب سایت شبکه shabakeh با درج لینک اصلی خبر نمایش داده شده است.

سامانه‌های تشخیص نفوذ یا سامانه‌های پیشگیری از نفوذ، کدام‌یک بهتر هستند؟

سامانه تشخیص نفوذیک سامانه تشخیص نفوذ، ابزاری (نرم افزاری یا سخت افزاری) است که برای شناسایی تهدیدات امنیتی که یک سامانه میزبان یا شبکه را نشانه رفته اند، استفاده می شود. برای درک بهتر عملکرد سامانه های تشخیص نفوذ به شکل 1 دقت کنید. شکل 1 به وضوح نشان می دهد، یک سامانه تشخیص نفوذ برای اجتناب از به وجود آوردن زمان انتظار یا تاخیر در ترافیک شبکه به صورت خطی به شبکه متصل نشده، بلکه به یکی از پورت های سوییچ متصل شده تا یک کپی از ترافیک شبکه را برای تجزیه وتحلیل دریافت کند. علاوه بر این، اگر سامانه تشخیص نفوذ غیرفعال شده یا ارتباطش با شبکه قطع شود، روی عملکرد شبکه تاثیر منفی نخواهد گذاشت. بااین حال، از آنجا که تنها یک کپی از ترافیک را دریافت می کند و مدل استقرار و پیاده سازی آن خطی نیست (یعنی، ترافیک شبکه از طریق سامانه تشخیص نفوذ عبور نمی کند)، تنها پس از آن که تهدیدی شناسایی شد، سامانه تشخیص نفوذ هشداری صادر می کند و به همین دلیل نمی تواند از بروز یک حمله به شبکه ممانعت به عمل آورد. همین مسئله لزوم به کارگیری یک ابزار واکنش گرا را به تهدیداتی همچون سامانه پیشگیری از نفوذ دوچندان می کند. سامانه پیشگیری از نفوذیک سامانه پیشگیری از نفوذ IPS، دستگاهی است که برای تشخیص و مسدودسازی تهدیدات امنیتی روی یک سامانه میزبان یا شبکه نصب می شود. همان گونه که شکل 2 نشان می دهد یک سامانه پیشگیری از نفوذ بر مبنای توپولوژی ای که شبکه بر مبنای آن طراحی شده است به صورت خطی در یک شبکه قرار می گیرد. استقرار مستقیم در شبکه باعث می شود تا همه ترافیک شبکه از طریق دستگاه IPS عبور کرده و هرگونه کد مخرب یا حمله بالقوه ای که ممکن است شبکه را با خطر جدی روبه رو کند توسط سامانه پیشگیری از نفوذ شناسایی شود. اگر سامانه تشخیص نفوذ یک تهدید احتمالی را شناسایی کند، حسگرهای سامانه هشداری تولید کرده و مانع از آن می شوند تا ترافیک مخرب/ بار داده به شبکه وارد شده یا از آن خارج شوند. نکته بسیار مهمی که باید به آن توجه داشته باشید این است که یک سامانه پیشگیری از نفوذ باید در پشت دیوارآتش و نه در مقابل دیوارآتش و روبه روی مدخل ورود اینترنت به شبکه قرار گیرد. اگر یک سامانه پیشگیری از نفوذ در مقابل اینترنت که به آن منطقه غیرقابل اعتماد گفته می شود قرار گیرد، ممكن است هشدارهای متعددی را تولید کند. برخی از این هشدارها ممکن است مثبت کاذب یا حتی ترافیک ناخواسته باشند. همان گونه که در توپولوژی شکل 2 مشاهده می کنید، سامانه پیشگیری از نفوذ به صورت خطی و به منظور نظارت و جلوگیری از حملات بالقوه قرار می گیرد. البته این کار هزینه هایی به همراه دارد که از آن جمله می توان به تأخیر یا زمان انتظار، کاهش عملکرد شبکه، مسدود شدن ترافیک در اثر از کار افتادن سامانه پیشگیری از نفوذ اشاره کرد.انواع سامانه های تشخیص نفوذ و پیشگیری از نفوذسامانه های فوق به دو شکل میزبان محور و شبکه محور استفاده می شوند. یک سامانه تشخیص نفوذ میزبان محور HIDS (سرنام Host-based Intrusion Detection System) یا سامانه پیشگیری از نفوذ میزبان محور HIPS (سرنام Host-based Intrusion Prevention system) به طور مستقیم روی یک دستگاه کلاینت همچون یک کامپیوتر مجهز به ویندوز 10 نصب می شوند. بااین حال، اگر هر یک از این دو سامانه روی یک ماشین محلی نصب شوند، HIDS/HIPS تنها قادر به نمایش ترافیک ورودی یا خروجی به/از ماشین محلی هستند. در چنین حالتی اگر تهدیدی به شبکه وارد شود،HIDS/HIPS نمی تواند ترافیک مخرب را شناسایی و فیلتر کند، مگر این که ترافیک به ماشین محلی وارد شود. در یک سامانه تشخیص نفوذ مبتنی بر شبکه یا سامانه پیشگیری از نفوذ مبتنی بر شبکه، نرم افزار روی بخشی از شبکه نصب می شود. مزیت استفاده از چنین سامانه ای این است که می تواند ترافیک عبوری را نشان دهد و این پتانسیل را دارد تا تهدیدات را در سراسر شبکه شناسایی و متوقف کند.تشخیص ترافیک مخرباکنون که تا حدودی با نحوه کار سامانه های تشخیص و پیشگیری از نفوذ آشنا شدیم، وقت آن رسیده تا چگونگی عملکرد این دو سامانه را در شناسایی ترافیک مخرب، از ترافیک سالم بررسی کنیم. سامانه های IDS/IPS از راهکارهای زیر برای شناسایی ترافیک مخرب از ترافیک سالم استفاده می کنند. راهکار مبتنی بر امضا: از یک الگوی ویژه برای مقایسه ترافیک شبکه با پارامترهای خاص استفاده می کند تا اطمینان حاصل کند ترافیک شبکه مخرب نیست. در روش فوق از برنامه ضدویروسی که روی یک سامانه برای مقابله با ویروس ها و سایر بدافزارها نصب شده، استفاده می شود. البته توجه داشته باشید، اگر روی سامانه ای ویروسی در حال اجرا باشد و برنامه ضدویروس امضا آن ویروس را درون بانک اطلاعاتی خود نداشته باشد، سامانه های مبتنی بر این روش موفق به تشخیص تهدید نشده و هیچ گونه هشداری را تولید نخواهند کرد. درست است که شناسایی مبتنی بر امضا پیاده سازی ساده ای دارد، اما در مقابل قادر نیست هرگونه تهدید خارج از امضای موجود را در بانک اطلاعاتی IDS/IPS تشخیص دهد. بنابراین، تشخیص مبتنی بر امضا در حفاظت از سامانه ها در برابر تهدیدات جدید کارآمد نیست.در راهکار مبتنی بر خط مشی: سامانه های IDS/IPS به گونه ای پیکربندی شده اند تا تهدیدات را بر اساس خط مشی های امنیتی فناوری اطلاعات سازمان شناسایی کنند. به عنوان مثال، خط مشی یک سازمان به این صورت تعریف شده که ترافیک Telnet باید محدود شود. از آنجا که Telnet از پورت 23 و پروتکل TCP استفاده می کند، قاعده تعریف شده باید مطابق با نوع ترافیک تعریف شود تا سامانه هشدار درستی صادر کرده و ترافیک مطابقت داده شده به درستی مسدود شود. در راهکار مبتنی بر رفتار غیر عادی: سامانه IDS/IPS برای ترافیکی که قرار است از یک سیستم یا شبکه عبور کند، خط پایه ای را ترسیم می کند. در ادامه سامانه از این خط اولیه برای ارزیابی شرایط مطلوب با شرایطی که ترافیک مشکوکی به شبکه وارد شده یا در حال خروج از شبکه است، استفاده می کند. در چنین شرایطی یک ناهنجاری بیانگر یک نفوذ به شبکه است. برای مثال، فرض کنید 100 بسته TCP-SYN از اینترنت در حال ورود به شبکه هستند و قرار است این بسته ها به یکی از سرورها تحویل داده شوند، اما در این میان مشکلی وجود دارد. فرستنده بسته های TCP-SYN باید با یک بسته TCP-ACK پاسخی را ارسال کند، اما این کار را انجام نمی دهد، بنابراین احتمال وقوع یک حمله سیل آسای SYN زیاد است. در چنین شرایطی سامانه پیشگیری از نفوذ مانع از آن می شود تا بسته ها به درون شبکه وارد شوند. لازم به توضیح است، برای ایجاد یک خط پایه که وضعیت عادی و ترافیک منظم شبکه را نشان می دهد، از روش هایی همچون شبکه های عصبی و الگوریتم های یادگیری ماشین استفاده می شود، زیرا قرار است برای رفتارهای عادی در یک شبکه الگوها و قواعد خاصی را پیدا و تعریف کرد و رفتارهایی که منطبق بر این الگوها هستند، رفتارهای عادی در نظر گرفته شده و رفتارهایی که خارج از عرف هستند و انحراف معیار آن ها فراتر از مقدار آمار پیش بینی شده است، به عنوان یک رفتار غیر عادی فرض شوند. به عنوان مثال، فرض کنید برای یک کارمند پیش بینی شده دو یا چهار بار در طول روز به شبکه وارد شده یا از آن خارج شود، حال این کارمند بیست مرتبه در طول روز چنین کاری انجام می دهد، چنین کاری به عنوان یک رفتار غیرمتعارف در نظر گرفته می شود. در مجموع باید به این حقیقت اذعان داشته باشیم که شناسایی رفتارهای عادی از رفتارهای غیر عادی کار چندان ساده ای نیست و سامانه هایی که از چنین روشی استفاده می کنند، هشدارهای مثبت کاذب با نرخ خطای بالایی را تولید می کنند که باعث می شود متخصصان شبکه به شکل کاملا محدودشده از چنین رویکردی استفاده کنند. رویکرد مبتنی بر اعتماد: در رویکرد شناسایی مبتنی بر اعتماد، سامانه IPS نتایج به دست آمده از تهدیدات را با منابع معتبری همچون Cisco Talos مرتبط می کند. تعامل سامانه های تشخیص نفوذ (IDS) و سامانه های پیشگیری از نفوذ (IPS) سامانه های تشخیص نفوذ (IDS) و سامانه های پیشگیری از نفوذ (IPS) هر دو از ملزومات مهم و زیربنایی شبکه ها هستند. IDS و IPS بسته های اطلاعاتی یک شبکه را با پایگاه داده خود که شامل امضای حملات سایبری است، مقایسه کرده و هر بسته ای را که مشخصاتش با اطلاعات پایگاه داده مطابقت داشته باشد را به عنوان یک تهدید در نظر می گیرند. اصلی ترین تفاوت دو سامانه فوق در این است که IDS یک سامانه نظارتی است، درحالی که IPS یک سامانه کنترلی است. سامانه های تشخیص نفوذ برای ابزارهای نظارت و تشخیصی هستند و قرار نیست بر مبنای رویکرد خود کاری را انجام دهند، درحالی که IPS بر مبنای محتویات یک بسته اطلاعاتی مانع از آن می شود تا ترافیک مخرب به درون یک شبکه انتقال پیدا کند. در این زمینه عملکرد IPS شباهت خیلی زیادی به چگونگی عملکرد یک دیوار آتش دارد که بر مبنای یک آدرس آی پی مانع از ورود ترافیک به شبکه می شود. سامانه های تشخیص نفوذ به منظور پیدا کردن علائمی که نشان می دهند، هکرها در حال استفاده از یک تهدید سایبری شناخته شده برای به سرقت بردن اطلاعات یا نفوذ به شبکه هستند، ترافیک شبکه را زیر نظر گرفته و آن را تجزیه وتحلیل می کنند. سامانه های تشخیص نفوذ فعالیت فعلی شبکه را با اطلاعات مرتبط با تهدیدات که درون بانک اطلاعاتی خود قرار دارند، مقایسه می کنند تا رفتارهای مخاطره آمیزی همچون نقض قوانین امنیتی، وجود نرم افزارهای مخرب یا پویشگرهای پورت ها را پیدا کنند. اما سامانه های پیشگیری از نفوذ درست در میان یک دیوارآتش و جهان خارج از شبکه های ارتباطی سازمان قرار می گیرند تا بتوانند در زمان تشخیص یک تهدید امنیتی هشداری را تولید کنند. بیشتر فروشندگان محصولات IDS/IPS توانسته اند سامانه های پیشرفته تر پیشگیری از نفوذ را که همراه با دیوار های آتش بوده و در قالب فناوری مدیریت یکپارچه (UTM) می توانند عملکرد هر دو سامانه را ارائه کنند، به بازار عرضه کنند. برخی از سامانه ها عملکرد هر دو فناوری IDS و IPS را در قالب یک مجموعه واحد ارائه می دهند.تفاوت های میان IDS و IPSهر دو فناوری سامانه پیشگیری از نفوذ و سامانه تشخیص نفوذ بسته های شبکه را خوانده و محتوای بسته ها را با تهدیدات شناخته شده ثبت شده درون بانک های اطلاعاتی مقایسه می کنند. اما همان گونه که اشاره شد، IDS تنها یک ابزار تشخیص و نظارت بوده و خودش عملی را انجام نمی دهد، اما IPS یک سامانه کنترلی است که بسته ها را بر مبنای قواعد قبول یا رد می کند. IDS به یک سامانه مکمل یا متخصصی نیاز دارد تا نتایج به دست آمده را بررسی کرده و اقدامات بعدی را انجام دهد. اما هدف از به کارگیری سامانه پیشگیری از نفوذ به دام انداختن بسته های خطرناک است تا موفق نشوند به هدف مشخص شده برسند. سامانه پیشگیری از نفوذ تا حد زیادی منفعل تر از یک سامانه تشخیص نفوذ است و ضروری است که بانک اطلاعاتی سامانه فوق با اطلاعات تهدیدات جدید به روز شود. کلام پایانیتیم های امنیتی با تهدیدات روبه رشدی همچون نقض داده ها و ورود بدافزارها به زیرساخت های ارتباطی یک سازمان روبه رو هستند، درحالی که بودجه سازمان ها برای مقابله با تهدیدات سایبری محدود است. در چنین شرایطی سامانه های IDS / IPS به یاری سازمان ها و تیم ها آماده و با خودکارسازی برخی از فرآیندهای مرتبط با شناسایی و دفع تهدیدات امنیتی، حفاظت از اطلاعات حساسی که ممکن است خواسته یا ناخواسته از شبکه یک سازمان خارج شوند، حصول اطمینان از پیاده سازی درست خط مشی های سازمان و مقابله با تهدیدات آتی بر مبنای تهدیداتی که به تازگی دفع شده اند، به میزان قابل توجهی امنیت یک شبکه را بهبود می بخشند

مطلب با عنوان سامانه‌های تشخیص نفوذ یا سامانه‌های پیشگیری از نفوذ، کدام‌یک بهتر هستند؟ از وب سایت شبکه shabakeh با درج لینک اصلی خبر نمایش داده شده است و آپین در قبال محتوای اخبار هیچ مسئولیتی ندارد.

مطلب با عنوان سامانه‌های تشخیص نفوذ یا سامانه‌های پیشگیری از نفوذ، کدام‌یک بهتر هستند؟ از وب سایت شبکه با درج لینک اصلی خبر نمایش داده شده است. جهت مشاهده جزئیات بیشتر به شبکه shabakeh مراجعه نمائید.

اخبار گوناگون