ระบบตรวจจับการบุกรุกขั้นพื้นฐาน

ดูคำพูดนี้ของ Admiral Grace Hopper

“ ชีวิตเรียบง่ายขึ้นก่อนสงครามโลกครั้งที่สอง หลังจากนั้นเราก็มีระบบ”

แล้วสิ่งนี้หมายความว่าอย่างไร? ด้วยการคิดค้นระบบ (ระบบคอมพิวเตอร์) ทำให้ความต้องการต่างๆของระบบเครือข่ายเพิ่มขึ้นและด้วยระบบเครือข่ายก็เกิดแนวคิดในการแบ่งปันข้อมูล ปัจจุบันในยุคโลกาภิวัตน์ที่มีการพัฒนาเทคโนโลยีสารสนเทศตลอดจนความสะดวกในการเข้าถึงและการพัฒนาเครื่องมือแฮ็กความจำเป็นในการรักษาความปลอดภัยของข้อมูลที่สำคัญ ไฟร์วอลล์อาจให้สิ่งนี้ แต่ไม่เคยแจ้งเตือนผู้ดูแลระบบถึงการโจมตีใด ๆ นั่นคือที่มาของความต้องการระบบที่แตกต่างนั่นคือระบบตรวจจับประเภทต่างๆ

ระบบตรวจจับการบุกรุกเป็นวิธีแก้ปัญหาที่จำเป็นสำหรับปัญหาข้างต้น คล้ายกับระบบสัญญาณกันขโมยในบ้านของคุณหรือองค์กรใด ๆ ที่ตรวจพบการแทรกแซงที่ไม่ต้องการและแจ้งเตือนผู้ดูแลระบบ

เป็นซอฟต์แวร์ประเภทหนึ่งที่ออกแบบมาเพื่อเตือนผู้ดูแลระบบโดยอัตโนมัติเมื่อมีผู้พยายามละเมิดระบบโดยใช้กิจกรรมที่เป็นอันตราย

ตอนนี้ก่อนที่จะทำความรู้จักกับไฟล์ ระบบตรวจจับการบุกรุก ให้เราจำสั้น ๆ เกี่ยวกับไฟร์วอลล์

ไฟร์วอลล์คือโปรแกรมซอฟต์แวร์หรืออุปกรณ์ฮาร์ดแวร์ที่สามารถใช้เพื่อป้องกันการโจมตีที่เป็นอันตรายในระบบหรือบนเครือข่าย โดยทั่วไปแล้วจะทำหน้าที่เป็นตัวกรองที่ปิดกั้นข้อมูลทุกประเภทที่อาจก่อให้เกิดภัยคุกคามต่อระบบหรือเครือข่าย พวกเขาสามารถตรวจสอบเนื้อหาบางส่วนของแพ็กเก็ตขาเข้าหรือตรวจสอบแพ็กเก็ตทั้งหมด

การจำแนกประเภทของระบบตรวจจับการบุกรุก:

ตามประเภทของระบบที่ IDS ปกป้อง:

• ระบบตรวจจับการบุกรุกเครือข่าย : ระบบนี้จะตรวจสอบการรับส่งข้อมูลในแต่ละเครือข่ายหรือเครือข่ายย่อยโดยการวิเคราะห์การรับส่งข้อมูลอย่างต่อเนื่องและเปรียบเทียบกับการโจมตีที่ทราบในไลบรารี หากตรวจพบการโจมตีระบบจะส่งการแจ้งเตือนไปยังผู้ดูแลระบบ โดยส่วนใหญ่จะวางไว้ที่จุดสำคัญในเครือข่ายเพื่อให้สามารถจับตาดูปริมาณการใช้งานที่เดินทางเข้าและออกจากอุปกรณ์ต่างๆบนเครือข่ายได้ IDS ถูกวางไว้ตามขอบเขตเครือข่ายหรือระหว่างเครือข่ายและเซิร์ฟเวอร์ ข้อดีของระบบนี้คือสามารถปรับใช้งานได้ง่ายและต้นทุนต่ำโดยไม่ต้องโหลดสำหรับแต่ละระบบ

ระบบตรวจจับการบุกรุกเครือข่าย

• ระบบตรวจจับการบุกรุกโฮสต์ : ระบบดังกล่าวทำงานบนระบบแต่ละระบบที่มีการตรวจสอบการเชื่อมต่อเครือข่ายกับระบบเช่นแพ็กเก็ตขาเข้าและขาออกจะได้รับการตรวจสอบอย่างต่อเนื่องและยังมีการตรวจสอบไฟล์ระบบและในกรณีที่มีความคลาดเคลื่อนใด ๆ ผู้ดูแลระบบจะได้รับการแจ้งเตือนเช่นเดียวกัน ระบบนี้จะตรวจสอบระบบปฏิบัติการของคอมพิวเตอร์ IDS ถูกติดตั้งบนคอมพิวเตอร์ ข้อดีของระบบนี้คือสามารถตรวจสอบทั้งระบบได้อย่างแม่นยำและไม่ต้องติดตั้งฮาร์ดแวร์อื่นใด

ระบบตรวจจับการบุกรุกโฮสต์

ขึ้นอยู่กับวิธีการทำงาน:

• ระบบตรวจจับการบุกรุกตามลายเซ็น : ระบบนี้ทำงานบนหลักการจับคู่ ข้อมูลจะถูกวิเคราะห์และเปรียบเทียบกับลายเซ็นของการโจมตีที่รู้จัก ในกรณีที่มีการจับคู่จะมีการแจ้งเตือน ข้อดีของระบบนี้คือมีความแม่นยำมากกว่าและสัญญาณเตือนมาตรฐานที่ผู้ใช้เข้าใจได้

ระบบตรวจจับการบุกรุกตามลายเซ็น

• ระบบตรวจจับการบุกรุกตามความผิดปกติ : ประกอบด้วยแบบจำลองทางสถิติของการรับส่งข้อมูลเครือข่ายปกติซึ่งประกอบด้วยแบนด์วิดท์ที่ใช้โปรโตคอลที่กำหนดไว้สำหรับการรับส่งข้อมูลพอร์ตและอุปกรณ์ที่เป็นส่วนหนึ่งของเครือข่าย ตรวจสอบการรับส่งข้อมูลเครือข่ายเป็นประจำและเปรียบเทียบกับแบบจำลองทางสถิติ ในกรณีที่มีความผิดปกติหรือความคลาดเคลื่อนผู้ดูแลระบบจะได้รับการแจ้งเตือน ข้อดีของระบบนี้คือสามารถตรวจจับการโจมตีใหม่ ๆ ที่ไม่เหมือนใคร

ระบบตรวจจับการบุกรุกตามความผิดปกติ

ขึ้นอยู่กับการทำงานของพวกเขา:

• ระบบตรวจจับการบุกรุกแบบพาสซีฟ : เพียงแค่ตรวจจับประเภทการทำงานของมัลแวร์และแจ้งเตือนไปยังผู้ดูแลระบบหรือเครือข่าย (สิ่งที่เราเห็นจนถึงตอนนี้!) ผู้ดูแลระบบจะดำเนินการตามที่กำหนด

ระบบตรวจจับการบุกรุกแบบพาสซีฟ

• ระบบตรวจจับการบุกรุกแบบตอบสนอง : ไม่เพียงตรวจจับภัยคุกคาม แต่ยังดำเนินการบางอย่างโดยการรีเซ็ตการเชื่อมต่อที่น่าสงสัยหรือบล็อกการรับส่งข้อมูลเครือข่ายจากแหล่งที่น่าสงสัย เป็นที่รู้จักกันในชื่อ Intrusion Prevention System

คุณสมบัติทั่วไปของระบบตรวจจับการบุกรุก:

• ตรวจสอบและวิเคราะห์กิจกรรมของผู้ใช้และระบบ
• ดำเนินการตรวจสอบไฟล์ระบบและการกำหนดค่าอื่น ๆ และระบบปฏิบัติการ
• จะประเมินความสมบูรณ์ของระบบและไฟล์ข้อมูล
• ดำเนินการวิเคราะห์รูปแบบตามการโจมตีที่รู้จัก
• ตรวจพบข้อผิดพลาดในการกำหนดค่าระบบ
• ตรวจจับและเตือนหากระบบตกอยู่ในอันตราย

ซอฟต์แวร์ตรวจจับการบุกรุกฟรี

ระบบตรวจจับการบุกรุก Snort

หนึ่งในซอฟต์แวร์ตรวจจับการบุกรุกที่ใช้กันอย่างแพร่หลายคือซอฟต์แวร์ Snort เป็นการบุกรุกเครือข่าย ซอฟต์แวร์ตรวจจับ พัฒนาโดย Source file ทำการวิเคราะห์ทราฟฟิกแบบเรียลไทม์และวิเคราะห์โปรโตคอลจับคู่รูปแบบและตรวจจับการโจมตีประเภทต่างๆ

ระบบตรวจจับการบุกรุก Snort

ระบบตรวจจับการบุกรุกตาม Snort ประกอบด้วยส่วนประกอบต่อไปนี้:

ส่วนประกอบของ Snort IDS โดยระบบตรวจจับการบุกรุกพร้อม Snort

• ตัวถอดรหัสแพ็คเก็ต : ใช้แพ็กเก็ตจากเครือข่ายที่แตกต่างกันและเตรียมไว้สำหรับการประมวลผลล่วงหน้าหรือดำเนินการใด ๆ เพิ่มเติม โดยทั่วไปแล้วจะถอดรหัสแพ็กเก็ตเครือข่ายที่กำลังจะมาถึง
• ตัวประมวลผลล่วงหน้า : จัดเตรียมและปรับเปลี่ยนแพ็กเก็ตข้อมูลและดำเนินการจัดเรียงข้อมูลของแพ็กเก็ตข้อมูลถอดรหัสสตรีม TCP
• เครื่องมือตรวจจับ : ทำการตรวจจับแพ็คเก็ตตามกฎ Snort หากแพ็กเก็ตใดตรงกับกฎให้ดำเนินการตามความเหมาะสมมิฉะนั้นแพ็กเก็ตจะถูกทิ้ง
• ระบบบันทึกและแจ้งเตือน : แพ็กเก็ตที่ตรวจพบถูกบันทึกไว้ในไฟล์ระบบหรือในกรณีที่มีภัยคุกคามระบบจะแจ้งเตือน
• โมดูลเอาต์พุต : ควบคุมประเภทของเอาต์พุตจากระบบบันทึกและแจ้งเตือน

ข้อดีของระบบตรวจจับการบุกรุก

• เครือข่ายหรือคอมพิวเตอร์ถูกตรวจสอบตลอดเวลาสำหรับการบุกรุกหรือการโจมตีใด ๆ
• ระบบสามารถแก้ไขและเปลี่ยนแปลงได้ตามความต้องการของลูกค้าเฉพาะและสามารถช่วยเหลือภายนอกและภัยคุกคามภายในระบบและเครือข่าย
• ป้องกันความเสียหายใด ๆ กับเครือข่ายได้อย่างมีประสิทธิภาพ
• มีอินเทอร์เฟซที่ใช้งานง่ายซึ่งช่วยให้ระบบจัดการความปลอดภัยง่าย
• การเปลี่ยนแปลงใด ๆ กับไฟล์และไดเร็กทอรีบนระบบสามารถตรวจพบและรายงานได้อย่างง่ายดาย

ข้อเสียอย่างเดียวของระบบตรวจจับการบุกรุกคือไม่สามารถตรวจจับแหล่งที่มาของการโจมตีได้และไม่ว่าในกรณีใด ๆ ของการโจมตีระบบจะล็อกเครือข่ายทั้งหมด หากมีข้อสงสัยเพิ่มเติมเกี่ยวกับแนวคิดนี้หรือเกี่ยวกับโครงการไฟฟ้าและอิเล็กทรอนิกส์โปรดแสดงความคิดเห็นด้านล่าง