IDS Antti Junttila

IDS = Intrusion Detection System Suomeksi TunkeutumisenTunnistusJärjestelmä (TTJ) Tarkoitettu valvomaan verkkoa ja paljastamaan kaikenlainen ei-toivottu liikenne ja tunnistamaan verkkoon suuntautuvat hyökkäysyritykset

Erilaisia ratkaisuja Tunkelija voidaan havaita joko konekohtaisella (host IDS) tai verkkopohjaisella (network IDS)- tyyppisellä ratkaisulla. Konekohtaisessa IDS-ohjelmistossa voi olla esim. lokeja tarkkaileva tai tiedostojärjestelmän muutoksia tutkiva ohjelma. Verkkokohtaisessa ratkaisussa verkkoon sijoitetaan liikennettä kerääviä sensoreita Yleensä verkkopohjaista ratkaisua hallitaan jonkinlaisella konsolilla

Miten se toimii? Datavirrasta etsitään joitakin tiettyjä kuvioita joiden perusteella voidaan olettaa jonkun yrittävän tunkeutua järjestelmään. Jotkut verkkopohjaiset järjestelmät osaavat katkaista hyökkääjän yhteydet, jolloin puhutaan myös IPS:stä (Intrusion Prevention System).

Metodit Voidaan etsiä tunkeutumisen merkkejä joko valmiista säännöistä (á la virustutka, luetaan merkkijono, ja jos on viruskannassa samanlainen pätkä, aletaan epäillä). Tästä käytetään engl. nimeä Misuse Detection. Toisaalta voidaan käyttää heuristista menetelmää (löydetään poikkeuksia). Käytetään nimitystä Anomaly Detection. Sääntöpohjainen ratkaisu tutkii valmiita ennalta määritettyjä sääntöjä ja koettaa löytää niiden avulla mahdolliset tunkeutumiset, heuristinen menetelmä vertaa otosta normaalista verkkoliikenteestä nykyiseen.

Hyviä ja huonoja puolia Yleensä sääntöpohjainen ratkaisu tehoaa vain tunnettuihin hyökkäyksiin. Se on yhtä tehokas kuin sen tietokanta tunnetuista hyökkäyksistä. AD-järjestelmä on yleensä itseoppiva (ensin tarkkaillaan pätkä normaalia liikennettä ja havahdutaan jos aletaan poikkeamaan normaalista).

Isäntäpohjainen vs. verkkopohjainen Yleensä isäntäpohjainen malli on on ohjelmistopohjainen, tarkkailee tapahtumia isäntäkoneessa. Toimii siten, että tarkkailee isäntää ja analysoi järjestelmän kutsuja, sovelluslokeja, salasanatiedostojen muutoksia jne. Verkkopohjainen malli on yleensä sijoitettu pullonkaulaan (engl. choke point). Mahdollisesti DMZ:llä. Yleensä kytketään verkkoon hubilla, kytkimellä, porttireplikaattorilla tai hanalla.

Passiivinen ja reaktiivinen järjestelmä Passiivinen järjestelmä havaitsee jotain poikkeavaa, tallettaa tiedon ja raportoi asiaankuuluvalle elimelle. Reaktiivinen järjestelmä toimii siten, että se em. lisäksi sulkee verkkoliikenteen tai kirjaa ulos käyttäjän. tms.