IDS под микроскопом

Докучаев Дмитрий aka Forb

Хакер, номер #073, стр. 073-048-6

2. Возможности

Система обнаружения атак отслеживает открытые порты, используя следующий механизм: сначала openports.pl обращается к ранее созданному логу, снимает с него контрольную сумму и сравнивает с эталоном. Это нужно для контроля целостности файла. Затем скрипт вызывает netstat и определяет номера портов. Затем сценарий отчитывается по недавно открытым сокетам и бережно заносит номера портов в логфайл.

3. Обход IDS

Обойти такую IDS можно банальным изменением исходного кода. Если администратор - пробитый ламер, то он не заметит изменений в системе. В противном случае можно подменить исходный код md5sum, заставив утилиту выдавать фиксированную последовательность. Если ты добьешься этого, то сможешь без лишнего геморроя добавлять/удалять данные в логе утилиты.

4. Советы администратору

Для повышения надежности рекомендуется скомпилировать скрипт программой perlcc. При этом сценарий превратится в бинарник, и взломщик уже не сможет так просто изменить его содержимое. Для пущей безопасности можно переопределить пути к логам IDS.

Что выбрать?

Я привел тебе общеизвестные примеры всех видов IDS. Какой из них использовать – дело твое. Но если довериться мнению бывалых администраторов, то лучшее решение – применять продвинутую сетевую IDS в сочетании с локальной. Ну и, конечно же, не пренебрегать файрволом. Однако помни, что все IDS ведут логи, которые надо периодически мониторить. Если не ежедневно, то хотя бы раз в неделю. Приучив себя к изучению системных журналов, ты сможешь добиться максимальной безопасности.

Ядерные IDS

Одним из подклассов локальных IDS являются ядерные системы защиты. Подобные проекты выполнены в виде патча к ядру и являются более устойчивыми решениями против хакеров. Чтобы установить такой проект, нужно активировать дополнение, а затем пересобрать ядро. Более подробно об использовании таких систем ты сможешь почитать в одном из ближайших номерах Х.

Полезные советы

Как ты, наверное, заметил, многие IDS не застрахованы от изменения исходного кода. Чтобы ограничить возможности хакера, можно применить следующий механизм: на файл, который необходимо защитить от изменения, накладывается атрибут +i. Это осуществляется командой chattr +i file. Грамотный хакер, конечно же, удалит атрибут, а начинающий не сможет изменить файл и плюнет на эту затею. Для дополнительной надежности можно перенести команды lsattr и chattr в неприметное место на диске.

Что касается e-mail-оповещения, то не надо писать скрипты отсылки, если IDS не предусматривает эту возможность. Просто запускай программу в кроне без перенаправления дескрипторов, и если в потоках STDOUT и STDERR будут данные, то они отправятся на e-mail root@localhost. Если же ты не хочешь отсылать результат проверки, перенаправь эти дескрипторы в /dev/null.

WWW

Ознакомиться с внушительным списком всех известных IDS ты сможешь на желтых страницах www.opennet.ru/prog/sml/85.shtml.

INFO

Прежде чем запускать IDS в автоматическом режиме, удостоверься, что проверка действительно работает. Для этого намеренно измени системный файл и проанализируй реакцию системы.