15-06-2010, 10:16 PM
Maturski, seminarski i diplomski radovi iz informatike.
U posljednje tri godine, revolucija računarskih mreža je napokon postala punoljetna. Više nego ikad, vidimo da internet mijenja računarstvo. Mogućnosti i prilike su bezgranične; nažalost, i rizik i šanse za zlonamjerne upade u sisteme. Veoma je važno da su mehanizmi za sigurnost sistema projektvani tako da spriječavaju neautorizovani pristup sistemskim resursima i podacima. Međutim, kompletno spriječavanje ugrožavanja sigurnosti čini se trenutno nerealno.
Sistem za detekciju upada ( Intrusion detection system – IDS) se koristi za detekciju nekoliko vrsta zlonamjernih radnji koje mogu ugroziti sigurnost i pouzdanost kompjuterskog sistema. To uključuje mrežne napade na ranjive servise, podatkovne napade na aplikacije, korisnički bazirane napade kao što su eskalacija privilegije, neautorizovano logiranje i pristup zaštićenim podacima, i malware ( virusi, trojanski konji i crvi).
U zadnjih 10 godina i više upotreba switch-eva umjesto hub-ova znatno je povećana. To je uglavnom zbog povećanja veličine mreža, i potrebom za znatno bržim i efikasnijim mrežama. U većini mreža podaci moraju biti pouzdani i blagovremeni. Ova promjena sa hub-ova na switch-eve je stvorila konflikte između već postojećih sistema za detekciju upada baziranih na mreži (network-based intrusion detection systems - NIDS).
Sistem za detekciju upada je sastavljen od nekoliko komponenti: senzora koji generišu sigurnosne događaje, konzole za monitoring događaja i upozoravaju i kontrolišu senzore, i centralnog motor koji čuva događaje generisane od senzora u bazi podataka i koristi skup pravila da generise upozorenje od primljenih sigurnosnih događaja. Postoji više načina za kategorizaciju IDS-a u zavisnosti od tipa i lokacije senzora i načina na koji centralni motor generiše upozorenja. U mnogim jednostavnijim IDS implementacijama sve tri komponente su kombinovane u jedan uređaj.
Potreba za Sistemima za detekciju upada
Kompjuterski sistem treba da obezbijedi pouzdanost, integritet i sigurnost od pokušaja napada. Međutim, zbog povećane konektivnosti ( posebno na internet) i velikih mogućnosti zarade koji se stalno pojavljuju, sve više i više sistema su meta napada.
Ovakvi pokušaji napada pokušavaju da eksploatiraju male programe u operativni sistem kao i u aplikacije i mogu rezultirati velikim incidentima kao što je Internet Worm incident iz 1988. godine.
Postoje dva načina za manipulaciju pokušajima napada. Jedan način je da se spriječi sam napad pravljenjem kompletnog sigurnosnog sistema. Može se, na primjer, zahtijevati od svih korisnia da se identificiraju i autoriziraju; mogu se zaštititi podaci različitim kriptografskim metodama i veoma strogim pristupima kontroli mehanizma. Međutim to u stvarnosti nije izvodljivo zato:
1. U praksi, nije moguće da se napravi kompletan sigurnosi sistem. Smatra se da je nemoguće napraviti softver bez bug-ova, a pored toga takođe se smatra da niko ni ne pokušava napraviti takav softver. Dizajn i implementacija totalno zaštićenog sistema je veoma težak zadatak.
2. Velika udaljenost između sistema garantira da će bilo kojoj tranziciji u zaštićeni sistem (ako je ikad napravljen) trebati dugo vremena da dođe.
3. Kriptografske metode imaju svoj problem. Šifre se mogu otkriti, korisnici mogu izgubiti svoje šifre, i cijeli kripto-sistem će biti otkriven.
4. Čak i stvarni sigurnosni sistem je ranjiv na zloupotrebu unutrašnjih korisnika koji mogu zloupotrijebiti svoju privilegiju.
5. Vidi se da je veza između nivoa kontrole pristupa i korisničke efikasnosti je inverzna, što znači da što je strožija kontrola pristupa, manja je efikasnost kod korisnika.
Iz ovoga se može vidjet da smo zaglavili sa ranjivim sistemima još dugo vremena. Ako postoje napadi na sistem, želimo što prije (po mogućnosti u realnom vremenu) to detektujemo i da poduzmemo određene akcije. To je osnovno što sistemi za detekciju upada (IDS) rade. IDS obično ne preduzimaju nikakve mjere kada otkriju napad. Oni igraju ulogu informatora radije nego policajca.
Najpopularniji način za detekciju upada je bio korištenjem kontrole podataka generisane od operativnog sistema. Kontrolna staza je snimak aktivnosti na sistemu koje su sačuvane u fajli sortirane hronološki. Nakon što skoro sve aktivnosti su sačuvane na sistem, moguće je da ručno pregledavanje tih fajli će omogućiti da se otkrije napad. Međutim, zbog veličine tih fajlova (reda veličine 100MB po danu) čine ručnu analizu nemoguću. IDS automatizira taj dosadan i mukotrpan rad. Kontrolna staza je veoma korisna zato što se može ustanoviti zločin napadača, i oni su često jedini način da se detektuje neautorizovana ali prevratnička korisnička aktivnost.
Mnogo puta, čak i nakon što se desio napad, važno je analizirati kontrolne podatke da bi se procijenila veličina štete, praćenje napadača je olakšano, i da se provedu koraci koji će
Uvod 3
Potreba za Sistemima za detekciju upada 4
Klasifikacija sistema za detekciju upada 6
Sistemi za detekciju anomalije 8
Sistemi za detekciju zloupotrebe 9
Tipovi sistema za detekciju upada 13
Detekcija upada bazirana na mreži 13
Sistemi za detekciju upada bazirani na protokolu 14
Sistemi za detekciju upada bazirani na aplikacionom protokolu 15
Sistemi za detekciju upada bazirani na hostu 15
Sistemi za detekciju upada bazirani na znanju i ponašanju 17
Šta je detekcija upada bazirana na znanju? 19
Šta je detekcija upada bazirana na ponašanju? 20
Pasivni sistem protiv reaktivnog sistema 21
Detekcija upada na bežičnoj mreži 21
Zaključak 24
U posljednje tri godine, revolucija računarskih mreža je napokon postala punoljetna. Više nego ikad, vidimo da internet mijenja računarstvo. Mogućnosti i prilike su bezgranične; nažalost, i rizik i šanse za zlonamjerne upade u sisteme. Veoma je važno da su mehanizmi za sigurnost sistema projektvani tako da spriječavaju neautorizovani pristup sistemskim resursima i podacima. Međutim, kompletno spriječavanje ugrožavanja sigurnosti čini se trenutno nerealno.
Sistem za detekciju upada ( Intrusion detection system – IDS) se koristi za detekciju nekoliko vrsta zlonamjernih radnji koje mogu ugroziti sigurnost i pouzdanost kompjuterskog sistema. To uključuje mrežne napade na ranjive servise, podatkovne napade na aplikacije, korisnički bazirane napade kao što su eskalacija privilegije, neautorizovano logiranje i pristup zaštićenim podacima, i malware ( virusi, trojanski konji i crvi).
U zadnjih 10 godina i više upotreba switch-eva umjesto hub-ova znatno je povećana. To je uglavnom zbog povećanja veličine mreža, i potrebom za znatno bržim i efikasnijim mrežama. U većini mreža podaci moraju biti pouzdani i blagovremeni. Ova promjena sa hub-ova na switch-eve je stvorila konflikte između već postojećih sistema za detekciju upada baziranih na mreži (network-based intrusion detection systems - NIDS).
Sistem za detekciju upada je sastavljen od nekoliko komponenti: senzora koji generišu sigurnosne događaje, konzole za monitoring događaja i upozoravaju i kontrolišu senzore, i centralnog motor koji čuva događaje generisane od senzora u bazi podataka i koristi skup pravila da generise upozorenje od primljenih sigurnosnih događaja. Postoji više načina za kategorizaciju IDS-a u zavisnosti od tipa i lokacije senzora i načina na koji centralni motor generiše upozorenja. U mnogim jednostavnijim IDS implementacijama sve tri komponente su kombinovane u jedan uređaj.
Potreba za Sistemima za detekciju upada
Kompjuterski sistem treba da obezbijedi pouzdanost, integritet i sigurnost od pokušaja napada. Međutim, zbog povećane konektivnosti ( posebno na internet) i velikih mogućnosti zarade koji se stalno pojavljuju, sve više i više sistema su meta napada.
Ovakvi pokušaji napada pokušavaju da eksploatiraju male programe u operativni sistem kao i u aplikacije i mogu rezultirati velikim incidentima kao što je Internet Worm incident iz 1988. godine.
Postoje dva načina za manipulaciju pokušajima napada. Jedan način je da se spriječi sam napad pravljenjem kompletnog sigurnosnog sistema. Može se, na primjer, zahtijevati od svih korisnia da se identificiraju i autoriziraju; mogu se zaštititi podaci različitim kriptografskim metodama i veoma strogim pristupima kontroli mehanizma. Međutim to u stvarnosti nije izvodljivo zato:
1. U praksi, nije moguće da se napravi kompletan sigurnosi sistem. Smatra se da je nemoguće napraviti softver bez bug-ova, a pored toga takođe se smatra da niko ni ne pokušava napraviti takav softver. Dizajn i implementacija totalno zaštićenog sistema je veoma težak zadatak.
2. Velika udaljenost između sistema garantira da će bilo kojoj tranziciji u zaštićeni sistem (ako je ikad napravljen) trebati dugo vremena da dođe.
3. Kriptografske metode imaju svoj problem. Šifre se mogu otkriti, korisnici mogu izgubiti svoje šifre, i cijeli kripto-sistem će biti otkriven.
4. Čak i stvarni sigurnosni sistem je ranjiv na zloupotrebu unutrašnjih korisnika koji mogu zloupotrijebiti svoju privilegiju.
5. Vidi se da je veza između nivoa kontrole pristupa i korisničke efikasnosti je inverzna, što znači da što je strožija kontrola pristupa, manja je efikasnost kod korisnika.
Iz ovoga se može vidjet da smo zaglavili sa ranjivim sistemima još dugo vremena. Ako postoje napadi na sistem, želimo što prije (po mogućnosti u realnom vremenu) to detektujemo i da poduzmemo određene akcije. To je osnovno što sistemi za detekciju upada (IDS) rade. IDS obično ne preduzimaju nikakve mjere kada otkriju napad. Oni igraju ulogu informatora radije nego policajca.
Najpopularniji način za detekciju upada je bio korištenjem kontrole podataka generisane od operativnog sistema. Kontrolna staza je snimak aktivnosti na sistemu koje su sačuvane u fajli sortirane hronološki. Nakon što skoro sve aktivnosti su sačuvane na sistem, moguće je da ručno pregledavanje tih fajli će omogućiti da se otkrije napad. Međutim, zbog veličine tih fajlova (reda veličine 100MB po danu) čine ručnu analizu nemoguću. IDS automatizira taj dosadan i mukotrpan rad. Kontrolna staza je veoma korisna zato što se može ustanoviti zločin napadača, i oni su često jedini način da se detektuje neautorizovana ali prevratnička korisnička aktivnost.
Mnogo puta, čak i nakon što se desio napad, važno je analizirati kontrolne podatke da bi se procijenila veličina štete, praćenje napadača je olakšano, i da se provedu koraci koji će
Uvod 3
Potreba za Sistemima za detekciju upada 4
Klasifikacija sistema za detekciju upada 6
Sistemi za detekciju anomalije 8
Sistemi za detekciju zloupotrebe 9
Tipovi sistema za detekciju upada 13
Detekcija upada bazirana na mreži 13
Sistemi za detekciju upada bazirani na protokolu 14
Sistemi za detekciju upada bazirani na aplikacionom protokolu 15
Sistemi za detekciju upada bazirani na hostu 15
Sistemi za detekciju upada bazirani na znanju i ponašanju 17
Šta je detekcija upada bazirana na znanju? 19
Šta je detekcija upada bazirana na ponašanju? 20
Pasivni sistem protiv reaktivnog sistema 21
Detekcija upada na bežičnoj mreži 21
Zaključak 24