Брандмауэр с IPS

1. Технология ASQ Неотъемлемым элементом хорошего UTM является эффективная система предотвращения вторжений...

Технология ASQ

Неотъемлемым элементом хорошего UTM является эффективная система предотвращения вторжений - короче IPS - система решений, защищающая компьютерную сеть от взлома. Другие производители устройств UTM добавляют IPS к существующей архитектуре брандмауэра, которая используется годами. Это решение имеет один очень большой недостаток, обусловленный тем, что пакет должен многократно сканироваться последовательными модулями, реализованными в устройстве. Результатом является значительное увеличение времени, необходимого для анализа каждой упаковки.

В устройствах STORMSHIELD мы решили эту проблему, переосмыслив концепцию безопасности сети , объединив брандмауэр с системой IPS на уровне ядра системы , что привело к появлению самого быстрого решения, доступного на рынке .

STORMSHIELD (тогда NETASQ) сделал это в первый год своей работы, запатентовав уникальную технологию проактивного обнаружения атак, называемую ASQ (Active Security Qualification).

• Он обеспечивает высокий уровень безопасности сети благодаря анализу пакетов, отправляемых на уровне ядра операционной системы NETASQ Secured BSD (NS-BSD).
• Он также отличается превосходной производительностью, выполняя почти три раза меньше операций при анализе пакета, чем конкурирующие системы IPS.

Анализ, в поисках угроз и атак, подвергается всему сетевому трафику от второго до седьмого уровня модели ISO / OSI. Как следствие, система ASQ, в противовес решениям других производителей систем IPS, достигает беспрецедентной скорости работы в других устройствах UTM.

Сравнение классической архитектуры IPS и технологии ASQ

Весь трафик на границе между локальной сетью и глобальной сетью сканируется с использованием трех методов анализа:

1. Эвристический анализ

Первый этап проверки трафика основан на статистике и многостороннем наблюдении за поведением входящих пакетов. На основании текущего трафика и предположений относительно возможных изменений в поведении пакета эвристический анализ определяет, является ли данный трафик желательным или представляет собой угрозу безопасности нашей сети.

Эвристический анализ включает в себя дефрагментация, объединение пакетов в потоки данных, проверка заголовков пакетов и проверка протоколов приложений. Благодаря этому он распознает и нейтрализует пакеты, которые могут дестабилизировать целевое приложение и позволяют взломать защищенную сеть.

2. Протокол анализа

На втором этапе проверки проверяется соответствие документации RFC (Запрос комментариев) для всего сетевого трафика, проходящего через устройство STORMSHIELD. Документы RFC описывают все стандарты передачи информации, используемые в сетях, от физического уровня до прикладного уровня. Только трафик, который соответствует стандартам, может быть передан. Проверяются не только отдельные пакеты, но также соединения и сеансы.

В рамках технологии ASQ для определенных типов сетевого трафика были разработаны специальные программные плагины (так называемые плагины) на уровне приложений, работающие в режиме ядра, то есть непосредственно в ядре операционной системы. После обнаружения определенного типа трафика (например, HTTP, FTP, SMTP) автоматически запускается соответствующий плагин, который специализируется на защите данного протокола. Тип применяемой защиты динамически адаптируется к типу трафика в устройствах STORMSHIELD.
3. Контекстный анализ

Третий этап проверки заключается в распознавании типичных строк данных, помещаемых в передаваемые пакеты, что позволяет использовать уязвимости или программные уязвимости. В этом случае контекст, в котором были обнаружены пакеты, специфичные для конкретной атаки, имеет решающее значение. Контекст здесь, например, тип соединения, протокол или порт. Таким образом, сеть защищена от новейших угроз, сигнатуры которых еще не созданы. Появление сигнатуры атаки в контексте, неподходящем для этой атаки, не вызывает ответа системы IPS.

Использование контекстных ссылок позволяет значительно повысить эффективность обнаружения атак, ограничивая количество ложных срабатываний практически до нуля.

вверх

Похожие

Комментарии