IDS: Системы обнаружения атак

Xakep, номер #038, стр. 038-050-2

Snort

Инсталляция обычная: ./configure; make. Snort - это достаточно простой анализатор пакетов. Отлично подходит в качестве несложного IDS'а. Базу уязвимостей можно посмотреть в файле backdoor-lib и web-lib, есть возможность добавить свои баги. Порт этой проги есть и под Windows, кстати. Т.ч. можешь и там покопаться :).

TCPLOGD

TCPLOGD создавалась для выявления скрытого сканирования способами типа Syn Probe, StealthFIN, Null Probe и т.д. Все эти способы реализуют утилиты типа nmap, queso...

Установка:./configure; make; make check; make install. Конфиг находится в /usr/local/etc/tcplogd.cf. Здесь можно установить различные опции для логов, вставить игнорируемые порты, установить лимит на флуд. Проверить новоиспеченный конфиг можно командой confcheck. Для запуска надо ввести #./tcplodg. Об удачном старте tcplogd оповещает строка в /var/log/messages:

tcplogd: tcplogd 0.1.3 [1301] started

LIDS

Переводится как Linux Intrusion Detective System. Это очень мощная, но довольно сложная в плане конфигурации и поддержки IDS. Достаточно посмотреть на вывод команды ./lidsadm :).

Задумка этой проги неплоха - ограничить права рута и создать свой аккаунт с правами рута. Следовательно, взломщик, получив права рута, не сможет ничего сделать :).

LIDS состыковывается со многим софтом и различными аппаратными продуктами. Есть возможность усиления криптования паролей, да и множество всего остального. Но работу по копанию в настройках я оставлю тебе, меня этот процесс не по-детски утомил :).

WINDOWS IDS

BlackICE Defender

Очень неплохой IDS производства Network ICE. Список уязвимостей, определяемых базой, и кучу других полезных сведений можно найти на http://www.networkice.com/. При обнаружении атаки система все пишет в лог и/или играет звуковой файл (нужно поставить свой: Beavis&Butthead - We gonna die.mp3 :))

Также при вторжении в окне событий отображается IP/HOSTNAME нарушителя, а если он с твоей локалки, то и MAC адрес. Есть функция доверенных/не доверенных хостов, лог пакетов/траффика, несколько уровней защиты, можно оттрейсить нападающего(DNS lookup и NetBIOS nodestatus). Построены хорошие динамические диаграммы по атакам и сетевому траффику. В проге есть довольно интересная фишка - при засечении атаки можно получить о ней подробную информацию и узнать, как же тебя постоянно ломали

эти хакеры :).

И все???

Ты, наверное, скажешь: «Почему так мало IDS под Винды?». Потому что "реальные IDS" под Win предоставляются только за $$$, а BlackICE - это чисто домашний IDS, доступный в сети и на различных хакерских дисках. Понятное дело, что здесь описаны не все IDS. Существует еще множество версий и реализаций, например, многие, думаю, слышали о таких продуктах, как RealSecure, SessionWall и т.д. Их немерено, и все они в основном коммерческого производства, со всякими интеллектуальными системами и т.д. Да и кто будет писать профессиональную IDS просто так?