IDS

1. IDS Antti Junttila

2. IDS = Intrusion Detection System • Suomeksi TunkeutumisenTunnistusJärjestelmä (TTJ) • Tarkoitettu valvomaan verkkoa ja paljastamaan kaikenlainen ei-toivottu liikenne ja tunnistamaan verkkoon suuntautuvat hyökkäysyritykset

3. Erilaisia ratkaisuja • Tunkelija voidaan havaita joko konekohtaisella (host IDS) tai verkkopohjaisella (network IDS)-tyyppisellä ratkaisulla. • Konekohtaisessa IDS-ohjelmistossa voi olla esim. lokeja tarkkaileva tai tiedostojärjestelmän muutoksia tutkiva ohjelma. • Verkkokohtaisessa ratkaisussa verkkoon sijoitetaan liikennettä kerääviä sensoreita • Yleensä verkkopohjaista ratkaisua hallitaan jonkinlaisella konsolilla

4. Miten se toimii? • Datavirrasta etsitään joitakin tiettyjä kuvioita joiden perusteella voidaan olettaa jonkun yrittävän tunkeutua järjestelmään. • Jotkut verkkopohjaiset järjestelmät osaavat katkaista hyökkääjän yhteydet, jolloin puhutaan myös IPS:stä (Intrusion Prevention System).

5. Metodit • Voidaan etsiä tunkeutumisen merkkejä joko valmiista säännöistä (á la virustutka, luetaan merkkijono, ja jos on viruskannassa samanlainen pätkä, aletaan epäillä). Tästä käytetään engl. nimeä Misuse Detection. • Toisaalta voidaan käyttää heuristista menetelmää (löydetään poikkeuksia). Käytetään nimitystä Anomaly Detection. • Sääntöpohjainen ratkaisu tutkii valmiita ennalta määritettyjä sääntöjä ja koettaa löytää niiden avulla mahdolliset tunkeutumiset, heuristinen menetelmä vertaa otosta normaalista verkkoliikenteestä nykyiseen.

6. Hyviä ja huonoja puolia • Yleensä sääntöpohjainen ratkaisu tehoaa vain tunnettuihin hyökkäyksiin. Se on yhtä tehokas kuin sen tietokanta tunnetuista hyökkäyksistä. • AD-järjestelmä on yleensä itseoppiva (ensin tarkkaillaan pätkä normaalia liikennettä ja havahdutaan jos aletaan poikkeamaan normaalista).

7. Isäntäpohjainen vs. verkkopohjainen • Yleensä isäntäpohjainen malli on on ohjelmistopohjainen, tarkkailee tapahtumia isäntäkoneessa. Toimii siten, että tarkkailee isäntää ja analysoi järjestelmän kutsuja, sovelluslokeja, salasanatiedostojen muutoksia jne. • Verkkopohjainen malli on yleensä sijoitettu pullonkaulaan (engl. choke point). Mahdollisesti DMZ:llä. Yleensä kytketään verkkoon hubilla, kytkimellä, porttireplikaattorilla tai hanalla.

8. Passiivinen ja reaktiivinen järjestelmä • Passiivinen järjestelmä havaitsee jotain poikkeavaa, tallettaa tiedon ja raportoi asiaankuuluvalle elimelle. • Reaktiivinen järjestelmä toimii siten, että se em. lisäksi sulkee verkkoliikenteen tai kirjaa ulos käyttäjän. tms.