РАСПРЕДЕЛЕННАЯ СИСТЕМА СБОРА, ОБРАБОТКИ И АНАЛИЗА СОБЫТИЙ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ СЕТЕВОЙ ИНФРАСТРУКТУРЫ ПРЕДПРИЯТИЯ
Большинство сетевых инфраструктур государственных учреждений и частных пред- приятий функционируют на базе стека протоколов TCP/IP, обладающего существенными уязви- мостями. В качестве примера стоит привести отсутствие проверки подлинности субъекта взаимо- действия в базовых протоколах и технологиях данного стека. Часть уязвимостей можно устранить интеллектуальными функциями управляемого сетевого оборудования: от профилирования досту- па до сегментации трафика. Немаловажным звеном защиты выступают комплексные межсетевые экраны, включающие системы обнаружения и предотвращения вторжений. Российскими и зару- бежными учеными развиваются методы сигнатурного, эвристического, поведенческого, автомо- дельного, прогнозируемого и других способов анализа сетевого трафика и идентификации сетевых угроз. Однако предлагаемые решения не дают однозначного результата при использовании овер- лейных технологий и криптографических протоколов. Также не уделяется надлежащее внимание обработке, анализу сетевого трафика и логов операционных систем Windows/Linux и приложений. Целью данной работы являлось исследование, разработка и программная реализация распреде- ленной системы сбора, обработки и анализа событий информационной безопасности сетевой ин- фраструктуры предприятия. Ключевой задачей ставилось обеспечение объективного мониторинга сетевой информационной безопасности. Дополнительной задачей являлось обеспечение монито- ринга работы пользователей персональных компьютеров под управлением операционных систем Windows и Linux. Для решения поставленной задачи была разработана концепция комплексной об- работки трафика вычислительной сети и событий информационной безопасности как на стороне сервера, так и на стороне клиента. На обзор вынесен оригинальный сигнатурный и статистический метод составления базы знаний системы посредством тестирования и имитации известных сетевых и локальных атак с отслеживанием реакции операционных систем и приложений в среде виртуа- лизации. Изложен подход к выполнению автоматизированного анализа коррелирующих событий с применением глубокого анализа содержимого пакетов и мониторинга локальной работы пользо- вателей. Предложенное решение успешно апробировано и использовано в качестве одного из мо- дулей обеспечения сетевой информационной безопасности системы интеллектуально-адаптивного управления сетевой инфраструктурой предприятия, разрабатываемой автором.