مبانی نظری و پیشینه تحقیق سیستم های تشخیص نفوذ

۱-۱-                   مروری بر سیستم­های تشخیص نفوذ

تشخیص نفوذ عبارت است از تحلیل بی درنگ داده­های شبکه به منظور تشخیص و ثبت و اخطار به هنگام بروز حملات و یا اقدامات مخرب امنیتی. در عمل انواع مختلفی از روش­های تشخیص حمله وجود دارد که با توجه با انواع مختلف اقدامات درون شبکه قادر هستند اقدامات مخرب و نفوذی را کشف کنند. در عین این سیستم­ها از بخش­های مختلفی تشکیل شده­اند و به طرق مختلفی این اجزا می­توانند در کنار هم قرار گیرند و عملکرد خاصی را­ایجاد کنند.

در این بخش به ارائه چارچوب کلی در مورد امنیت شبکه و سیستم­های کامپیوتری می­پردازیم. ابتدا انواع حملات و تهدیدهای موجود در شبکه­های کامپیوتری را طبقه بندی می­کنیم. سپس به طبقه بندی سیستم­های تشخیص نفوذ از حیث ساختار می­پردازیم. در نهایت هم در مورد تکنولوژی­های تشخیص نفوذ و کارکردهای مختلف این ابزارها در مدیریت و حفظ امنیت و نظارت بر شبکه­های کامپیوتری بحث می­کنیم.

۱-۱-۱-      انواع حملات شبکه

انواع حملات با توجه به حمله کننده به این شرح است:

۱-۱-۱-۱-   انواع حملات شبکه­ای با توجه به طریقه حمله

یک نفوذ به شبکه معمولا یک حمله قلمداد می­شود. حملات شبکه­ای را می­توان بسته به چگونگی انجام آن به دو گروه اصلی تقسیم کرد. یک حمله شبکه­ای را می­توان با هدف نفوذگر از حمله توصیف و مشخص کرد. این اهداف معمولا از کار انداختن سرویس ( DoS) یا دسترسی غیر مجاز به منابع شبکه است.

·         حملات از کار انداختن سرویس: در این نوع حملات مهاجم استفاده از سرویس ارائه شده توسط ارائه کننده خدمات برای کاربرانش را مختل می­کند. در این حملات حجم بالایی از درخواست ارائه خدمات به سرور فرستاده می­شود تا امکان خدمات رسانی را از آن بگیرد. در واقع سرور به پاسخگویی به درخواست­های بی شمار مهاجم مشغول می­شود و از پاسخگویی به کاربران واقعی باز می­ماند.

·         حملات دسترسی به شبکه: در این نوع از حملات نفوذگر امکان دسترسی غیر مجاز به منابع شبکه را پیدا می­کند و از این امکان برای انجام فعالیت­های غیر مجاز و حتی غیر قانونی استفاده می­کند. برای مثال از شبکه به عنوان مبدا حملات DoS  خود استفاده می­کند تا در صورت شناسایی مبدا، خود گرفتار نشود. دسترسی به شبکه را می­توان به دو گروه تقسیم کرد.

o       دسترسی به داده: در این نوع دسترسی، نفوذگر به داده موجود بر روی اجزا شبکه دسترسی غیر مجاز پیدا می­کند. حمله کننده می­تواند یک کاربر داخلی یا یک فرد خارج از مجموعه باشد. داده­های ممتاز و مهم معمولا تنها در اختیار بعضی کاربران شبکه قرار می­گیرد و سایرین حق دسترسی به آنها را ندارند. در واقع سایرین امتیاز کافی را جهت دسترسی به اطلاعات محرمانه را ندارند، اما می­توان با افزایش امتیاز به شکل غیر مجاز به اطلاعات محرمانه دسترسی پیدا کرد. این روش به تعدیل امتیاز[۱] مشهور است.

o       دسترسی به سیستم: این نوع حمله خطرناک­تر و بدتر است و طی آن حمله کننده به منابع سیستم و دستگاه­ها دسترسی پیدا می­کند. این دسترسی می­تواند شامل اجرای برنامه­ها بر روی سیستم و به کارگیری منابع آن در جهت اجرای دستورات حمله کننده باشد. همچنین حمله کننده می­تواند به تجهیزات شبکه مانند دوربین­ها، پرینترها و وسایل ذخیره سازی دسترسی پیدا کند. حملات اسب ترواها، حمله تست همه حالات ممکن[۲] و یا استفاده از ابزارهایی جهت تشخیص نقاط ضعف یک نرم­افزار نصب شده بر روی سیستم از جمله نمونه­های قابل ذکر از این نوع حملات هستند.

فعالیت مهمی که معمولا پیش از حملات DoS و دسترسی به شبکه انجام می­شود، شناسایی[۳] است. یک حمله کننده از این فاز جهت یافتن حفره­های امنیتی و نقاط ضعف شبکه استفاده می­کند. این کار می­تواند به کمک بعضی ابزارهای آماده انجام پذیرد که به بررسی درگاه­های باز  و در حال کار رایانه­های موجود بر روی شبکه می­پردازند و آمادگی آنها را جهت انجام حملات مختلف بر روی آنها بررسی می­کنند.

۱-۱-۱-۲-   انواع حملات شبکه­ای با توجه به حمله کننده

حملات شبکه­ای را می­توان با توجه به حمله کننده به چهار گروه تقسیم کرد:

·         حملات انجام شده توسط کاربر مورد اعتماد ( داخلی ): این حمله یکی از مهمترین و خطرناک­ترین نوع حملات است، چون از یک طرف کاربر به منابع مختلف شبکه دسترسی دارد و از طرف دیگر سیاست­های امنیتی معمولا محدودیت­های کافی درباره این کاربران اعمال نمی­کنند.

·         حملات انجام شده توسط افراد غیر معتمد ( خارجی): این معمولترین نوع حمله است که یک کاربر خارجی که مورد اعتماد نیست شبکه را مورد حمله قرار می­دهد. این افراد معمولا سخت­ترین راه را پیش رو دارند زیرا بیشتر سیاست­های امنیتی درباره این افراد تنظیم شده­اند.

·         حملات انجام شده توسط مهاجم­های بی تجربه: بسیاری از ابزارهای حمله و نفوذ بر روی اینترنت وجود دارند. درواقع بسیاری از افراد می­توانند بدون تجربه خاصی و تنها با استفاده از ابزارهای آماده برای شبکه­ایجاد مشکل کنند.

·          حملات انجام شده توسط کاربران مجرب: مهاجم­های با تجربه و حرفه­ای در نوشتن انواع کدهای خطرناک متبحرند. آنها از شبکه و پروتکل­های آن و همچنین از انواع سیستم­های عامل آگاهی کامل دارند. معمولا این افراد ابزارهایی تولید می­کنند که توسط گروه اول به کار گرفته می­شوند. آنها معمولا پیش از هر مرحله، آگاهی کافی درباره هدف خود و آسیب پذیری­های آن کسب می­کنند.

۱-۱-۲-      مکمل­های سیستم­های تشخیص نفوذ در برقراری امنیت

 همانطور که گفته شد، سیستم­های تشخیص نفوذ به عنوان یکی از راه کارهای برقراری امنیت در شبکه­های کامپیوتری مورد استفاده قرار می­گیرند. به عبارت دیگر این سیستم­ها یکی از فناوری­های مورد استفاده برای برقراری امنیت هستند و از گذشته سیستم­های دیگری به صورت مکمل در کنار این سیستم­ها برای برقراری امنیت استفاده می­شدند که هر کدام جایگاه خاصی در برقراری امنیت دارند. در اینجا به معرفی دیواره آتش، سازوکارهای رمزنگاری و تایید هویت و نیز لیست­های کنترل دسترسی می­پردازیم. [۲۷]

۱-۱-۲-۱-   دیواره آتش[۴]

دیواره آتش به عنوان یکی از قدمی­ترین و شناخته­شده ترین راه حل­های مقابله با نفوذ در شبکه­های کامپیوتری مورد استفاده قرار گرفته است. دیواره آتش می­تواند بر اساس تنظیمات مدیر سیستم، انواع سیاست­های امنیتی را اعمال کند. از جمله تعیین جریان­های مجاز، تعیین امکان برقراری ارتباطات از بیرون شبکه و نیز تعیین سرویس­های مجاز برای کاربران خارج از شبکه. در حالت کلی دو نوع سیاست عمده در دیواره­های آتش مورد استفاده قرار می­گیرد:

·         امکان عبور به ارتباطاتی که به طور صریح منع نشده­اند.

·         جلوگیری از تمام ارتباطات و جریان­ها مگر آن­هایی که به طور صریح برای آنها مجوز وجود دارد.

نوع دوم بیشتر مورد استفاده است ولی با وجود استفاده از چنین سیاستی حمله کننده می­تواند از همین روزنه­های تعریف شده به سیستم آسیب برساند. برای مثال دیواره آتشی که اجازه عبور  ترافیک وب را بر روی درگاه ۸۰ می­دهد، این امکان را فراهم می­کند تا حمله کننده در پوشش ترافیک وب با­ایجاد ارتباطات زیاد میانگیر[۵] سرور را پر کند و یا با مشغول کردن منابع آن امکان سرویس دهی آن را از بین ببرد، چیزی که به عنوان حملات جلوگیری از سرویس­دهی شناخته می­شود.

یکی از تفاوت­های دیگری که بین سیستم­های تشخیص نفوذ و دیواره­های آتش وجود دارد این است که دیواره آتش معمولا در نقطه دسترسی شبکه قرار می­گیرد و جریان­های وارد شونده و یا خارج شونده از شبکه در صورت امکان از آن عبور می­کنند. این در حالی است که سیستم­های تشخیص نفوذ به عنوان اجزایی منفعل در شبکه عمل می­کنند و مسئولیت پاسخ­دهی مربوط به سیستم­های پاسخ در برابر حمله است ( این پاسخ بر اساس معیارهای مختلف به منظور بهینه سازی پارامتر­های در دسترس بودن سیستم برای کاربران در مقابل حفظ امنیت آن، پاسخ مورد نظر در مقابل اقدامات مشکوک را تعیین می­کنند). سیستم­های تشخیص نفوذ با حسگرهای خود ترافیک شبکه را پویش می­کنند و انواع محدودی از آن وجود دارند که برای کاربری در نقاط دسترسی شبکه مثل مسیریاب­ها [۶]مورد استفاده قرار می­گیرند.

یکی از روش­هایی که سیستم­های تشخیص نفوذ به همراه دیواره آتش مورد استفاده قرار می­گیرند این است که حسگر در نقاط خارج از شبکه قبل از دیواره آتش، در ناحیه به اصطلاح « غیر نظامی » قرار گیرند و تمام ارتباطات وارد شونده به شبکه را پویش کنند. همچنین سیستم تشخیص نفوذ می­تواند ارتباطات درون شبکه را پویش کند و بر اساس رخدادهای  در جریان سیاست امنیتی دیواره آتش را تعیین کند.

۱-۱-۲-۲-   ساز و کارهای رمزنگاری و تایید هویت

رمزنگاری یکی از معمول­ترین و موثرترین راه کارهای حفظ امنیت اطلاعات می­باشد. این مکانیزم قادر است انتقال نقطه به نقطه مطمئن را برای اطلاعات فراهم کند. این انتقال می­تواند بین مشتری­ها و یا سرورها و مسیریاب­ها نیز باشد. با این حال رمزنگاری نمی­تواند به تنها راه حفظ امنیت بدل شود.

فرض کنید یک سرور وب با استفاده از رمزنگاری قصد حفظ امنیت را داشته باشد (با استفاده از پروتکل لایه انتقال  SSL). این رمزنگاری برای کاربرانی که فقط قصد مرور صفحات را دارند کاری بی فایده خواهد بود. از طرفی خطرات دیگری این سرور را تهدید می­کند. با پیدا شدن یک شکاف امنیتی در شبکه اطلاعات موجود در دیسک می­توانند در معرض تهدید حمله کننده واقع شوند. همچنین درمورد حملات DoS سیستم بی دفاع است. درمورد مکانیزم­های تصدیق هویت هم باید گفت استفاده از رمز عبور نمی­تواند در مورد کاربرانی که رمز عبور ضعیف دارند خیلی کارساز باشد.

۱-۱-۲-۳-   لیست­های کنترل دسترسی

لیست­های کنترل دسترسی مجموعه قوانینی هستند که دیواره­های آتش و مسیریاب برای محدود کردن عبور ترافیک و دسترسی­های خاص مورد استفاده قرار می­دهند. این لیست­ها به تنهایی قابلیت مقابله با حملات را ندارند، بلکه بر اساس سیاست امنیتی می­توان این لیست­ها را به دیواره آتش و مسیریاب­ها اعمال کرد و بر اساس آن می­توان جلو دسترسی محدوده خاصی از آدرس­های IP را به سرویس­های خاص گرفت. همچنین دیواره­های آتش و مسیریاب­ها می­توانند از طرف مدیر سیستم به نحوی پیکربندی شوند که نسخه­های گزارشی مربوط به فعالیت­های انجام شده، ارتباطات بلوکه شده و دیگر هشدارهای صادره را ارائه کنند.