Настройка системы обнаружения атак (окно Обнаружение Атак)

Настройки производятся в окне Обнаружение Атак (Рисунок 21).

В этом окне можно осуществить настройки для системы обнаружения атак (intruder detection system, IDS). Эта система служит для обнаружения и предотвращения таких действий со стороны злоумышленника ("хакера" либо "взломщика"), которые могут привести к проникновению внутрь Вашей операционной системы (ОС), либо совершению по отношению к ней каких-либо злоупотреблений.

Рисунок 21

Система обнаружения атак работает на сетевом уровне, благодаря чему имеет ряд достоинств:

· Возможность обнаруживать и блокировать сетевые пакеты до обработки их стеком TCP/IP и этим защищать стек от атак на него самого (такие атаки, как WinNuke).

· Возможность блокировать на ранней стадии атаки, направленные на перезагрузку ОС, приводящие к отказу от обслуживания (например, jolt2 (CAN-2000-0305)).

· В случае установки IDS на шлюз, возможность контроля сразу всех компьютеров, находящихся за этим шлюзом.

Кроме того, IDS способна обнаруживать исходящие атаки (как если бы злоумышленник находился за Вашим компьютером). Это полезно в том случае, если Ваша ОС каким-либо образом была скомпрометирована (например, с помощью программ – троянских коней) и после используется злоумышленником в качестве атаки на какую-либо третью ОС.

Настройки обнаружения атак осуществляются с помощью включения или выключения следующих опций в окне Обнаружение атак:

· Следить за сетевыми атаками во входящем потоке – по умолчанию опция включена, то есть программа проверяет на сетевые атаки весь входящий трафик через каждый сетевой интерфейс МЭ. Рекомендуем не выключать эту опцию, поскольку при ее выключении программа перестает следить за сетевыми атаками во входящем потоке и Ваши МЭ и сеть могут быть атакованы.

· Следить за сетевыми атаками в исходящем потоке – по умолчанию опция выключена. При ее включении программа будет проверять также весь исходящий трафик через каждый сетевой интерфейс МЭ.

В случае если программа обнаружит пакет, отвечающий условиям одной из типовых атак, он будет заблокирован. Чтобы убедиться, что параметры блокированного пакета соответствуют признакам известных сетевых атак, нужно отобразить для него Журнал регистрации IP-пакетов (п. 12.1.2, стр.62), где в поле Событие будет указана причина блокировки в виде номера события и названия возможной атаки. Описание обнаруживаемых атак находится в п.12.1.4.1 на стр.69. Для просмотра журнала регистрации IP-пакетов в окне Журнал IP-пакетов в списке Событие выберите События системы обнаружения атак и нажмите Поиск… (подробнее читайте п.12.1, стр.59).

Дата добавления: 2015-10-28