Система обнаружения вторжений на базе хоста
-
Основы HIDS
- HIDS — система обнаружения вторжений, анализирующая внутренние компоненты и сетевые пакеты.
- Фокус на внутренних атаках, в отличие от NIDS, анализирующего сетевой трафик.
- Первый разработанный инструмент для обнаружения вторжений, изначально для мэйнфреймов.
-
Проблемы использования HIDS
- Необходимость установки на каждый компьютер для защиты от вторжений.
- Может снижать производительность систем обнаружения вторжений.
-
Мониторинг динамического поведения
- HIDS сравнивают состояние системы с ожидаемым, чтобы обнаружить изменения.
- AV-программы также отслеживают поведение системы, но могут тратить время на проверку легитимности действий.
-
Состояние мониторинга
- Злоумышленники часто оставляют следы своей активности, которые HIDS пытается обнаружить.
- HIDS работает в сочетании с NIDS для более полного мониторинга.
-
Техника HIDS
- Использует базу данных для отслеживания объектов и создания контрольных сумм.
- Альтернативно, может быть реализован на сетевом уровне для более подробного протоколирования.
-
Операция HIDS
- Инициализация базы данных контрольных сумм при изменении объектов.
- Строгий контроль процесса инициализации для предотвращения несанкционированных изменений.
-
Защита HIDS
- Защита базы данных и отчетов от вмешательства.
- Использование криптографических методов и хранение данных в защищенных местах.
-
Прием HIDS
- InfoWorld считает HIDS полезным для сетевых менеджеров в обнаружении вредоносного ПО.
-
Сравнение систем обнаружения вторжений
- Упоминание других коммерческих и открытых HIDS, включая IBM Internet Security Systems и OSSEC.