Заключение

Описанное выше средство конфигурирования и диагностики нескольких сенсоров довольно удобно при создании сети диагностики на базе распределённых сенсоров и представляет собой относительно законченный продукт, однако в описанной выше реализации есть ряд недостатков разной степени важности, которые в будущем следует попытаться решить, если есть потребность в создании надёжной, отказоустойчивой и безопасной системы обнаружения атак. Среди недостатков можно отметить следующие:

n  Передача данных с сенсоров в центральную БД в открытом виде.

n  Данные между сенсорами и консолью управления передаются будучи закрытыми средствами слабой и непроверенной криптографии, что является защитой только от дилетантов и создаёт заведомо ложную защищённость канала.

n  Все передаваемые в системе данные никак не защищаются от подмены.

n  Отсутствие ведения логов в системе – кто, когда и что исправлял, например, на случай, если в системе имеется несколько администраторов.

n  Отсутствие продуманного взаимодействия с другими средствами защиты, например, с пакетными фильтрами. По большей части написание тех или иных разрешающих/запрещающих правил на компьютере центра и сенсорах лежит на администраторе и не защищено от его ошибки.

n  Отсутствие продуманных механизмов резервной связи на случай атак на саму систему или её части.

В целом это не единственные недостатки данной системы, а лишь основные, которые бросаются сразу в глаза. Многие из них выходят за рамки описанного выше средства, решающего только одну узкую проблему единого хранения файлов конфигурации и диагностики, и затрагивают более широкий спектр средств, обеспечивающих безопасность. Описанные выше проблемы скорее повод для их будущего более глубокого осмысления, решения и последующего описания полученных результатов на страницах журнала.

Литература, ссылки:

1. SnortCenter – Snort management console, http://users.pandora.be/larc

2. SnortCenter: раздел download, http://users.pandora.be/larc/download

3. Snort Enterprise Implemention v.2.0 prepared by Steven J. Scott, October 2002, http://users.pandora.be/larc/documentation/snort_enterprise.pdf

4. Закляков П. Удобнее, эффективнее, лучше: snort + MySQL. – Журнал «Системный администратор» №11(12), ноябрь 2003 г. – 62-73 с.

5. Net::SSLeay.pm Home Page, http://symlabs.com/Net_SSLeay

6. ACID: Installation and Configuration, http://www.andrew.cmu.edu/~rdanyliw/snort/acid_config.html