Soluții - PC Magazine Romania, Decembrie 2003
"Momeala"
Florin Iliescu
Dacă aveți de gând să instalați sau folosiți deja un sistem de detectare a
intruziunilor în rețeaua dumneavoastră conectată la Internet, probabil ca vă
confruntați cu un număr mare de mesaje de avertizare despre posibile atacuri.
Cum se face totuși că, deși numărul de atacuri este așa mare, nu a fost semnalat
nici un incident de securitate? Se pune deci întrebarea, câte din incidentele
de securitate raportate de sistemele de detectare a intruziunilor sunt de fapt
amenințări reale. Această problemă este cunoscută drept răspuns pozitiv fals,
când un sistem de detectare a intruziunilor raportează un ca incident de securitate
o acțiune legitimă. Desigur că scenariul opus, al unui răspuns negativ fals,
când o acțiune ilicită nu este raportată, este mult mai periculos, dar o neînțelegere
corectă a expunerii unui sistem poate duce la costuri suplimentare nejustificate
pentru a implementarea unor controale care nu aduc nici un beneficiu. De asemenea,
răspunsurile pozitive false, pot distrage atenția de la adevăratele vulnerabilități
ale sistemului.
O metodă eficientă pentru a detecta posibila activitate ilicită, reducând foarte
mult, și chiar eliminând răspunsurile pozitive false este folosirea unei momeli.
Momeala, referită în literatura de specialitate ca "honeypot" este
o resursă a unui sistem informatic a cărei valoare este dată de utilizarea ilicită
sau neautorizată. Resursa nu are nici o valoare pentru organizație și nu este
autorizată nici o activitate pentru ea orice interacțiune cu aceasta fiind foarte
probabil să fie rău intenționată.
Conceptul, de parte de a fi nou, poate avea diverse implementări în tehnologia
informației, având avantajul flexibilității și simplicității. Momeala poate
avea diverse forme, un fișier, o înregistrare într-o bază de date, un e-mail,
acest lucru fiind limitat doar de imaginație. Deși nu rezolvă probleme specifice,
ea poate identifica foarte eficient autorul. De exemplu, un document pe rețea,
care pare a conține informații confidențiale, la care accesul ar trebui foarte
bine controlat, este citit sau copiat de un angajat, ce nu este îndreptățit
să facă acest lucru. Monitorizarea accesului la acest fișier, va indica imediat
o posibilă problemă de securitate și autorul.
Implementarea conceptului de momeală în securitatea informației poate avea
o formă slab interactivă sau puternic interactivă, în funcție de numărul de
acțiuni pe care o persoana neautorizată le poate exercita asupra unui sistem
momeală.
Sistemele slab interactive emulează servicii si sisteme de operare, sunt în
general ușor de implementat și prezintă un risc minim, dar și informația pe
care o colectează este limitată. Sistemele puternic interactive constau în sisteme
de operare și servicii reale, fără nici un fel de emulare, implementarea lor
este mai complexa si prezintă un risc mai ridicat, dar si informația colectata
este mult mai detaliata.
Dacă nu doriți încă să investiți într-o astfel de momeală informatică, dar
vă pasionează tema cu pricina, puteți jongla cu soluții gratuite precum:
Symantec Decoy Server creează o rețea fictiva cât de poate
de reală, care este utilizată drept ținta pentru atacuri, protejând astfel zonele
critice ale rețelei. Tehnologia utilizata pentru întinderea capcanelor permite
detectarea timpurie și devierea atacurilor. enterprisesecurity.symantec.com
KFSensor este un sistem de detectare a intruziunilor de tip
gazdă, care se comportă ca o momeala care atrage si detectează accesele neautorizate
prin simularea unor servicii vulnerabile si a cailor troieni. Sistemul este
foarte configurabil, oferind un jurnal detaliat, analiza atacurilor si alarme.
Această abordare completează celelalte forme de asigurare a securității. www.keyfocus.net/kfsensor
NetBait incorporează tehnologiile sistemelor de detectare
a intruziunilor, firewall si de tip momeala, rezultatul fiind o rețea sau mai
multe rețele virtuale care comunica cu serverul principal pentru detectarea
atacurilor si redirectarea traficului după un set de reguli configurabile. NetBait
derutează atacatorii creând o arhitectura dinamica cu rute de comunicație nedefinite.
www.netbaitinc.com
Specter momește atacatorii cu servicii Internet precum SMTP,
FTP, POP3, HTTP si TELNET. Specter rulează pe un calculator dedicat conectat
într-o zona a rețelei unde sunt așteptate atacuri, cum ar fi in zona demilitarizata
accesibila din Internet. Specter poate instalat si in rețeaua interna pentru
a determina activitățile suspecte din interiorul organizației. www.specter.com
Florin Iliescu este Senior Consultant la Ernst & Young și poate fi
contactat la adresa [email protected]
|
