11.5. Hujumni aniqlash va oldini olish tizimlari, monitoring

Yuqorida ko'rilgan vositalar, ya'ni xavfsizlik devori, segmentatsiya va shifrlash, hujumning oldini olishga qaratilgan. Biroq hech qanday to'siq yuz foiz kafolat bermaydi: yangi zaifliklar doimo topiladi, sozlamalarda xato bo'lishi mumkin, tahdid esa ichkaridan yoki ishonchli hamkor orqali kelishi mumkin.

Aynan shu sababli himoyaning ikkinchi yo'nalishi zarur: hujumni o'z vaqtida aniqlash. Bu yondashuvning mantiqi sodda: agar hujumni to'liq to'sib bo'lmasa, hech bo'lmaganda uni imkon qadar tez sezish va zararni cheklash kerak. O'ninchi bobdagi Target hodisasi bu masalaning naqadar muhimligini ko'rsatdi: u yerda aniqlash tizimi ishlagan, biroq ogohlantirishga javob berilmagan edi.

Hujumni aniqlash tizimi (Intrusion Detection System, IDS) tarmoq trafigini kuzatadi va shubhali harakatni sezganda ogohlantirish beradi. Hujumni oldini olish tizimi (Intrusion Prevention System, IPS) esa bundan bir qadam oldinga o'tadi: u nafaqat aniqlaydi, balki shubhali trafikni to'xtatadi. Ikkalasining farqi ularning tarmoqdagi joylashuvida ham aks etadi (11.10-rasm).

IDS odatda trafikning nusxasini oladi va uni tahlil qiladi, ya'ni asosiy oqim uning ichidan o'tmaydi. Bu muhim afzallik beradi: agar tizim xato ishlasa yoki noto'g'ri ogohlantirsa, tarmoq ishi to'xtamaydi. Kamchiligi shundaki, IDS hujumni faqat qayd etadi, uni to'sib qololmaydi. IPS esa trafik yo'lida joylashadi va har bir paket uning ichidan o'tadi. Bu unga hujumni real vaqtda to'xtatish imkonini beradi, biroq xavf ham tug'diradi: agar tizim haqiqiy trafikni xato ravishda xavfli deb baholasa, u ishni to'xtatib qo'yadi.

Ushbu ikki yondashuvning qiyosi quyidagi jadvalda umumlashtirilgan (11.2-jadval).

11.2-jadval. IDS va IPS tizimlarini taqqoslash.

Ushbu tizimlar hujumni ikki xil usulda aniqlaydi. Birinchi usul ma'lum hujum belgilariga tayanadi: tizimda ma'lum hujumlarning naqshlari saqlanadi va trafik ular bilan solishtiriladi. Bu usul aniq ishlaydi, biroq faqat oldindan ma'lum hujumlarni taniydi, yangi hujumni esa sezmaydi. Aynan shu sababli belgilar bazasini muntazam yangilab turish hal qiluvchi ahamiyatga ega. Ikkinchi usul odatdagi holatdan chetlanishni aniqlashga asoslanadi: tizim avval tarmoqning normal ish rejimini o'rganadi, so'ngra undan sezilarli farq qiluvchi harakatni shubhali deb belgilaydi. Bu usul yangi hujumlarni ham aniqlay oladi, biroq ko'proq noto'g'ri ogohlantirish beradi.

Amalda tashkilotlar ikkala usulni birgalikda qo'llaydi. Muhim jihat shundaki, bu tizimlarning qiymati ular bergan ogohlantirishlarga qanday javob berilishiga bog'liq. Hech kim ko'rib chiqmaydigan ogohlantirish, mohiyatan, mavjud emas. Kirish voqeasidagi va Target hodisasidagi asosiy kamchilik aynan shu edi.

Yuqoridagi vositalar asosan tashqaridan keladigan tahdidga qaratilgan. Biroq teskari yo'nalish ham muhim: nozik ma'lumot tashkilotdan tashqariga chiqib ketishi mumkin. Bu ma'lumot sizishining oldini olish tizimlari (Data Leakage Prevention, DLP) hal qiladigan masaladir.

DLP tizimlari chiquvchi axborot oqimini kuzatib, unda maxfiy ma'lumot bor-yo'qligini tekshiradi. Aniqlashning ikki asosiy usuli qo'llaniladi. Birinchisi, hujjatga oldindan belgi qo'yish: maxfiy hujjat kategoriyaga ajratiladi va unga ajralmas belgi biriktiriladi, tizim esa shu belgi bo'yicha uni taniydi. Ikkinchisi, mazmun bo'yicha aniqlash: tizim ma'lumot ichidagi xarakterli namunalarni, masalan hujjat raqamlari yoki karta raqamlariga o'xshash ketma-ketliklarni qidiradi.

Shubhali holat aniqlanganda tizim uzatishni to'xtatishi, ma'lumotni vaqtincha ushlab turishi yoki mas'ul xodimga ogohlantirish yuborishi mumkin. DLP tizimlari faqat tarmoq darajasida emas, xodimning kompyuterida ham ishlaydi: masalan, ular USB-qurilmaga ma'lumot yozishni cheklashi mumkin. Kirish voqeasi shuni ko'rsatadiki, olib yuriluvchi qurilmalar nazorati faqat ma'lumot chiqishi uchun emas, tahdid kirishi uchun ham muhim.

Barcha yuqoridagi vositalar katta hajmdagi ma'lumot ishlab chiqaradi: xavfsizlik devori qoidalarning ishlashini, IDS shubhali hodisalarni, serverlar esa kirish urinishlarini qayd etadi. Bu ma'lumotlarni yagona tizimda to'plash va tahlil qilish zamonaviy tarmoq xavfsizligining muhim qismi hisoblanadi.

Jurnallarni yig'ishning ikki asosiy sababi bor. Birinchisi, hujumni aniqlash: alohida qaralganda ahamiyatsiz ko'ringan hodisalar birgalikda tahlil qilinganda aniq manzarani beradi. Masalan, bir necha qurilmada ketma-ket muvaffaqiyatsiz kirish urinishlari alohida-alohida sezilmasligi mumkin, biroq birgalikda ular tizimli hujum belgisidir. Ikkinchisi, hodisadan keyingi tekshiruv: buzilish yuz berganda uning qanday boshlangani, qayerga tarqalgani va qanday ma'lumot ta'sirlangani aynan jurnallar orqali aniqlanadi. Jurnalsiz tashkilot nima bo'lganini hech qachon bila olmaydi.

Jurnal yuritishga bir necha talab qo'yiladi. Jurnallar yetarli muddat saqlanishi kerak, chunki ba'zi hujumlar oylar davomida sezilmay qoladi. Ular o'zgartirishdan himoyalangan bo'lishi lozim, aks holda tajovuzkor o'z izlarini o'chirib tashlaydi; shu sababli jurnallarni alohida serverga yuborish tavsiya etiladi. Nihoyat, jurnallar muntazam ko'rib chiqilishi shart: yettinchi bobda ta'kidlanganidek, to'plangan, biroq tahlil qilinmagan jurnal foyda bermaydi.