Egy jó behatolásmegelőző rendszernek egyszerre kell kiváló teljesítményű hálózati eszköznek és megbízható védelmi rendszernek lennie.
Néha az elnevezések félrevezetők. A behatolásészlelő és a megelőző rendszerek neveinek rövidítései egyetlen betűben különböznek: ids, ips. Céljuk és működésük között azonban ennél lényegesen több a különbség.
Az ids-eszköz mintegy „kívülről” figyeli a hálózatot: észleli a gyanús forgalmat és riasztja a rendszergazdákat, így nagyon jó lehet biztonsági elemzésre és utólagos adatgyűjtésre. Az ips viszont kimondottan „keresztbe fekszik” a hálózati forgalom előtt, és így nemcsak észleli a gyanús adatcsomagokat, hanem egyből meg is állítja őket.
Ahhoz azonban, hogy az ips valóban hatékonyan meg tudja védeni a hálózatot, követelménynek is meg kell felelnie.
Kell a teljesítmény
Az első rögtön a teljesítményre vonatkozik. Az ips úgy látja el a védelmet, hogy fogadja a beérkező adatcsomagokat, megvizsgálja azokat, és csak azokat az adatokat engedi tovább, amelyek nem akadnak fenn a szűrőin. Ha eközben jelentősen lelassítja és akadályozza a hálózati forgalmat, az minden előnyét lenullázhatja: úgy kell működnie, hogy ne gyakoroljon negatív hatást az alkalmazások teljesítményére.
A hálózati teljesítménynek két fontos összetevője van: az átbocsátó képesség (sávszélesség) és a késleltetés. Előbbinek minél inkább meg kell közelítenie a hálózat elméleti sebességét, ami a modern hálózatokban egyre többször 10 gigabit/másodpercet jelent. Ha ilyen hálózatunk van, és alkalmazásaink is erre készültek fel, akkor az 1 gigabit/másodperc áteresztőképességű ips igencsak szűk keresztmetszetnek fog bizonyulni.
Számos alkalmazás a hálózati késleltetésre is igen kényes. Egy jó ips gyakorlatilag azonnal továbbítja a beérkező csomagokat, a késleltetése nem több, mint 100 μs (milliomod másodperc). A nagyobb késleltetés elárulhatja, ha az eszköz eredetileg ids-nek készült, csak éppen némi tupírozás után átnevezték ips-nek és behelyezték a hálózatba. Ezek többnyire ugyanis általános célú hardverelemeket tartalmaznak, nem optimálisak ips-nek. Sokszor pufferelik az adatcsomagokat ahelyett, hogy valós időben átvizsgálnák, ami tovább növeli a rendszer késleltetését.
Biztonság az üzemelésben is
A jó teljesítményt nem csupán áteresztő kapacitásban kell mérni, hanem a rendelkezésre állásban is. Ha az ips-en átmegy a teljes hálózati forgalom, akkor az kritikus meghibásodási pont is lehet: ha valami történik vele, leállhat a hálózat. Ezért aztán az ips-t úgy kell megtervezni, hogy a kritikus meghibásodás esélye a legkisebb legyen, illetve valamilyen módon ilyen esetben is biztosítható legyen a hálózati forgalom. Az üzembiztonság szempontjából lényeges lehet, hogy van-e az ips-ben működés közben is cserélhető, kettős tápegység. A hálózati forgalom zavartalansága pedig akkor garantálható, ha belső hibák előfordulása esetén az eszköz képes arra, hogy felfüggessze a biztonsági funkciók működését és szimplán, bármiféle ellenőrzés nélkül továbbítsa a hálózati forgalmat.
Nem mindegy az sem, hol képes az ips védeni a hálózatunkat. Ma már nem elég a klasszikus megközelítés, miszerint ott rakjuk le az eszközt, ahol a vállalati hálózat a nyilvános internetre csatlakozik. Túl sok belépési pont van egy modern vállalat rendszerébe, miközben a támadások nemcsak kívülről, hanem belülről is érkezhetnek. Ideális esetben minden olyan helyen vizsgálni kell a forgalmat, ahol nagy átmenő forgalom zajlik, vagy ahol eltérő hálózati szegmensek kapcsolódnak egymáshoz.
De az sem árt, ha az adatközpont, illetve a demilitarizált zónák előtt is működnek ips-ek. Ezeken a helyeken megint csak lényegessé válik az eszköz teljesítménye: számos szűrő bekapcsolása után is biztosítania kell az üzleti alkalmazások számára szükséges hálózati sebességet.
Ha a behatolásmegelőző rendszerünk megfelel a fenti feltételeknek, akkor még csak azt értük el, hogy nem lesz szűk keresztmetszet a hálózatunkban – az általa kínált védelem hatékonyságát viszont még egyáltalán nem tudjuk megítélni.
A szűrőkön múlik
Pedig az internet felől érkező támadások száma, fajtája és kifinomultsága napról napra növekszik, így aztán az ips-nek is fel kell készülnie minden eshetőségre, széles körben és mélyen kell vizsgálnia az adatcsomagokat. Meg kell tudnia védeni a rendszereket a férgek, a vírusok, a trójaiak, a szolgáltatásbénító támadások, a kémprogramok, a phishing- (adathalász-) támadások ellen, és fel kell ismernie az olyan összetettebb fenyegetéseket is, mint a cross-site scripting (JavaScript- vagy egyéb parancsnyelv-kód mutat kártékony oldalra) vagy az sql-injection (kártékony sql-kód beillesztése).
Ebben csak az első lépést jelenti, ha az eszköz képes a jellemzőik (szignatúráik) alapján kiszúrni a már ismert támadási mintákat. Sajnálatos módon azonban minden egyes szoftversérülékenységre több tucat különféle kártevő készülhet, így csak a szignatúrák alapján nem lehet védekezni. Az operációs rendszereket és az alkalmazásokat célzó ismert és ismeretlen támadások kivédésére kellenek a sérülékenységi szűrők. Ezeken a szűrőkön múlik az ips használhatósága: egy ips voltaképpen annyira jó, amennyire a hozzá adott szűrők.
Lényeges, hogy a szűrők pontosan azonosítsák a támadásokat. Nyilván az eszköznek meg kell akadályoznia a támadásokat, de nem szabad blokkolnia a legális forgalmat. Bármelyik irányba is hajlik el a rendszer, akár túl szigorú, akár túl engedékeny, a felhasználó mindenképpen rosszul jár: vagy zavar támad alkalmazásainak működésében, vagy kockázatoknak teszi ki rendszereit.
Nagyon lényeges tehát, hogy az ips gyártója nagy gondot fordítson a szűrők kifejlesztésére és tesztelésére, finomhangolására, amit egyébként a telepítés után, a tényleges felhasználás helyén még folytatni kell. Ugyancsak elengedhetetlen, hogy a gyártó rendszeresen – és súlyos, új fenyegetések megjelenése esetén villámgyorsan – frissítse is ezeket a szűrőket.
Összeállította: Schopp Attila
