انظمه كشف الاختراق _ IDS Flashcards
كيف ظهرت الحاجه لانظمه كشف الاختراق؟
نسبة لزيادة احتمالية الاختراق أصبحت الشركات تحرص على حماية معلوماتهم بشتى الطرق والوسائل فظهرت الحاجة لأنظمة كشف الإختراق …
ماهو الإختراق ؟
هو الدخول إلى جهاز معين من غير تصريح ولا ترحيب ( أي محاولة الاخلال بإحدى اهداف الامن الأساسية )
ماهو كشف الاختراق ؟
هو معرفة واكتشاف هجمة ما والاستجابة لها ..
عرف أنظمة كشف الإختراق ؟
عرفت بأنها أنظمة تعمل بعكس أنظمة رصد الاختراق التي سبقتها إذ لديها القدرة على منع الاختراقات لأنظمة المعلومات وتعمل بطبيعتها على قراءة أو كشف حزم البيانات المرسلة والمستقبلة من خلال قنوات الاتصال المختلفة
ما هي آلية عمل أنظمة كشف الإختراق ؟
تقوم هذه الأنظمة على تعقب المتطفلين أو محاولة إيجاد أية إشارة تدل على وجود نشاط غير مألوف أو اعتيادي فعملها شبيه بما تقوم به برامج الحماية من الفيروسات.
ما هي الأهداف الأساسية لأنظمة كشف الإختراق ؟
الخصوصية
–
تكمن في إطلاع من يجب إطلاعهم على معلومات أو بيانات محددة من غير سواهم
–
تكمن في ضمان سلامة محتوى المعلومات أو بيانات محددة من عدم تغيرها من قبل جهة غير مسؤولة عن البيانات
–
تكمن في ضمان وصول المخولين للبيانات والمعلومات المسئولين عنها وعدم حرمانهم ذلك من أي شخص غير مخول لذلك
–
ما هي الادوار الرئيسية التي يؤديها كشف الإختراق ؟
الحماية الخارجية Prevention
الكشف/المراقبة Detection
الاستجابة/أخذ قرار Response
هناك نوعين رئيسيين للـ IDS هما
أنظمة كشف التطفل المعتمدة على الشبكات (NIDS)
أنظمة كشف التطفل المعتمدة على المضيف (HIDS)
كيف تعمل أنظمة كشف الإختراق المعتمدة على الشبكات (NIDS)
تقوم بمراقبة جميع العمليات على الشبكة الصادرة والواردة إليها وأية نشاط مريب يقوم النظام بتنبيه المسئول عن الشبكة …
وتوضع في نقاط مدروسة في الشبكة التي يراد حمايتها أو قد تكون في عدة نقاط موزعة بالشبكة ...
ما هي محاسن أنظمة كشف الإختراق المعتمدة على الشبكات (NIDS)
تمكن من الحصول على المعلومات بسرعة بدون أيّ إعادة تعريف او توجيه للأجهزة .
لا تؤثّر على مصادر البيانات أو الشبكة ..
لا تتسبب في عمل حمل زائد على النظام ..
ما هي مساوئ ال NIDS
مساوئها :
لا تستطيع فحص البرتوكولات إذا كانت البيانات مشفّرة
=
يمكن أن تستنتج من مرور الشبكة ما الذي يحدث على المضيّف لكن لا تستطيع إخباره بالنتيجة
=
صعوبة تطبيقها على الشبكات المحولة (SW) بالكامل ..
=
تحتوي على صعوبات عند العمل مع الشبكات ذات النطاق العريض
كيف تعمل أنظمة كشف التطفل المعتمدة على المضيف (HIDS)
النظام يراقب النشاطات في الجهاز نفسه وما يدخل ويخرج إليه من رزم في حال وجود أية ملاحظات يقوم بتنبيه المستخدم
ماهي محاسن ال HIDS
محاسنها :
يمكن أن تخطّط نشاطات مستخدم معين
يمكن أن تتعقب تغير في سلوك معين
يمكن أن تعمل في البيئة المشفّرة
يمكن أن تعمل في الشبكات ذات المحولات
ما هي مساوئ ال HIDS
مساوئها :
لا تستطيع رؤية كلّ نشاطات الشبكة ..
تضيف آليات التدقيق الجارية حمل زائد إلى النظام قد يؤثر في الأداء ..
التدقيق يمكن أن يأخذ الكثير من مساحة التخزين ..
لكن ما هو الفرق بين (NIDS) و (HIDS) ؟؟
جوهر الاختلاف هو مكان وجود نظام كشف الإختراق
ففي الــ HIDS يكون مكان الــ(IDS) مباشرة على جهاز كمبيوتر المضيف أما في NIDS يكون الــIDS في مكان يستطيع أن يراقب الاتصال الخارجي للشبكة أو الاختراقات القادمة …
الطرق التقنية هي 4 اذكرها ؟
Signature-based IDS :
Policy based :
Anomaly based :
4. Honey pots based :
Signature-based IDS ؟
يعتمد على قاعدة بيانات لتقنيات الهجمات وهو مشابه فى تصميم signature-based virus scanner … حيث أن الـ IDS يبحث عن السلوك الذى يشير إلى نوع معين من الهجوم المعروف
…
ولسوء الحظ فإن الـ signature-based IDS لا يستطيع اكتشاف الهجمات التى لم تدرج في قاعدة البيانات Database . (database of attack)
؟ Policy based :
هي سياسة يضعها مدير الشبكة الــــــــ LAN لكي يحكم المستخدمين للشبكة …
Anomaly based ؟
وهي قواعد يضعها مدير الشبكة ليتحكم فى الحزم الواردة من شبكة اخرى.
- Honey pots based ؟
جرة العسل (Honey pot ) هى “ سيرفر لجذب اهتمام المهاجمين “ sacrificial Server يوضع بأسلوب مناسب ليجذب اهتمام المهاجمين …
جرة العسل honey pot ليس له أى قيمة فى مجال العمل ما عدا أنه ينذر المنظمة بوقوع هجوم ...
يمكن لجرة العسل (honey pot ) أن يستعمل مع اي من NIDS أو HIDS؟
نعم ام لا؟
نعم
لماذا احتاج للــIDS اذا كنت املك Firewall ؟؟
بكل بساطة لأن الـــ IDS لاتوقف المرور كماتفعل الــ Firewall …
ولان الـــ IDS تضيف مقياس امن اضافي وليست احلال للـــــ Firewall ... ====================== وان الـــ IDS ذات درجة امن عالية ...
أين اضع نظام كشف الإختراق ..؟
بين الشبكة الدخلية وشبكة المعلومات المساعدة …
بين جدار الحماية والجهاز الخادم لمعرفة الهجوم عليه ..
بين جدار الحماية والشبكة الداخلية …
في بيئة الوصول ( التحكم ) عن بعد …
ما هي عيوب أنظمة كشف الإختراق الحالية …؟
يعطي تنبية لمدير النظام بدون معالجة
اذا كانت الحزمة المرسلة تحتوي على توقيعات غير مشابهة للبصمة الموجودة في الsensor فانه يقوم بارسالها للهدف .
