Jokainen, joka on kouluttanut minun kanssani voi kertoa Olen todella iso pysty lukemaan omia havaitsee. Vaikka meillä on runsaasti turvalaitteita, jotka yrittävät kuvailla tarkemmin, mitä he ajattelevat he näkevät lanka, ne ohjelmoidaan ihmisiä ja ihmiset tekevät virheitä. Kokeile ja automatisoida ja virheitä tulee yhdistyivät. Myös Cisco on perääntyivät hieman heidän suureellisia väitteitä siitä, mitä itse puolustaa verkko on todella kykenee. Mikään ei korvaa joilla ammattitaitoisen analyytikko tarkistaa tulokset.

Hyvä ohje on vaikea löytää

Tietenkin avainsanan että viime kommentti on taitava. Olen käsitellyt paljon vanhempi turvallisuus ihmiset jotka eivät ole koskaan nähneet decode on IP-paketin, saati kertoa mitä legit IP-istunnon tulisi näyttää. Yksi ongelmista on, kun me tarvitsemme koulutusta me yleensä kääntyvät myyjiä. Toimittajat taipumus keskittyä melko GUI, ei mitä tapahtuu kulissien takana.

Edellisessä elämässä olen omistama ISP ja oli erittäin viihdyttävä väärinkäytöstä kertomukset. Yksi Henkilökohtaisia ​​suosikkejani oli admin raportoinnin että eräs järjestelmien "lähettämällä vihamielinen ICMP" eräälle järjestelmiä. Kun tarkastellaan lokeissa, huomasin, että eräs reitittimet olikin lähettää hänelle ICMP isäntä tavoittamattomissa viestejä. Tämä tapahtuu joka kerta hänen isäntä probed RPC-porttiin IP-osoite ei ollut käytössä. Kirjoitin takaisin ja selitti, että jos hänen järjestelmä olisi yksinkertaisesti lopettaa luotaa joita ei ole olemassa järjestelmiä, minun reitittimen estäisi kertoen isäntä on off-line.

Toinen admin (at melko suuri, tunnettu yritys voisin lisätä) ilmoitti minulle, että eräs järjestelmien hyökkäsi häntä Code Red sähköpostitse. Jos muistat Code Red, se vain hyökkäsi IIS Web-palvelimet HTTP. "Hyökkäykset" kyseessä oli käyttäjiä tilannut listaa. Folks puhuivat miten kirjoittaa hyvä tunkeutumisen allekirjoituksia kunnolla kiinni Code Red. Jos tämä ei ollut ironista kyllä, hyötykuorma purkamaan hän lähetti minulle todisteena selitti, että hyökkäykset olivat vain HTTP perustuu. Jos tämä käänne ei vielä riitä tekemään sinulle hihittää, hän myönsi myöhemmin, että hän oli yksi niistä ihmisistä tilannut luetteloon.

Enemmän asiat muuttuvat enemmän ne pysyvät samoina

My hosting-palvelujen tarjoaja Isäntä Monster (tytäryhtiö Blue Host) on laittaa suodatin on käytössä estää kokonaan pääsyn SANS Institute postin palvelin (sysadmin, Audit, Network, Security Institute; tarjoaa tietoturvan koulutus), Internet Storm Center (päivittäin päiväkirja Internetin tietoturvauhkia) ja DShield (varhaisvaroitusjärjestelmä Internetin uhkia). Otin yhteyttä tuen ja he vahvistivat ne suodatus näitä sivustoja. En pystynyt selvittämään miksi yli "johtuen epäilyttävää toimintaa".

Tiedän ihmisiä, jotka ylläpitävät SANS ja Dshield palvelimia. Ne ovat kovia Core Security seudullamme kanssa vakava hajuakaan. Kun ensimmäisen kerran kirjautunut minun hosting-palvelujen tarjoaja Olin vaikuttunut tietotasoa niiden tukihenkilöitä. Viime aikoina olen kuitenkin huomannut niiden puuttuvan edes perusasiat. Vaikka olen vasemmalle arvata, mitä todella aiheutti kiellon, olen taipuvainen ajattelemaan, että joku Host Monster (tai mahdollisesti Blue Host) näki ilmoituksen, mutta ei ole taitoja selvittää sen vääriä positiivisia.

Viestintä on kaksisuuntainen katu

Blue Isäntä väittää 1500000 sivustossa läpi koko heidän omistuksensa. Joten heillä on nyt 1.500.000 asiakkaita, jotka eivät voi:

• Vastaanottaa reaaliaikaista esto hälytykset haitallisen IP: n
• Vastaanota arviointeja ajankohtaisista Internetin uhkia
• Vastaanota tiedot siitä, mitä tapahtuu turva-alan

Joten taas yrittää suojella itseään on positiivinen asia, täytäntöönpano on ollut kielteinen vaikutus turvallisuuteen asiakkailleen.

Miten tarkistaa havaita

Joten vedä jotain positiivista pois kaiken tämän ja tunnistaa asianmukaista menettelyä tarkastaa turvahälytys. Ensin täytyy aloittaa hyvissä vaihteella. Älä edes harkitse tunkeutumisen havainnointi-tai estojärjestelmä, joka ei sisällä:

• Pääsy allekirjoitus kieli
• Full decode Epäillyn paketit

Ilman näitä ominaisuuksia kuvaat pimeässä.

Vaihe 1: Ymmärrä hyökkäys

Kun hälytys saa käynnistää, varmista, että ymmärrät hyökkäys mekanismi. Mitä portteja tai palveluja se mennä sen jälkeen? Onko tiedossa allekirjoitusta? Jos Google hyökkäys nimen jälkeen avainsanat "vääriä positiivisia" ja "huijaus", ei mitään keksiä?

Vaihe 2: Ymmärrä tunkeutumisen järjestelmään

Ei suojausta tuote on täydellinen. Niissä kaikissa on heikkouksia tai rajoituksia. Onko tunkeutumisen järjestelmä ylläpitää valtion? Jos näin on, on se koko ajan tai vain osan aikaa? Onko se oikein vahvistaa CRC kentät? Miten se käsitellä hajanainen liikennettä? Tiedetäänkö tuottaa vääriä positiivisia? Jos näin on, ovat vääriä positiivisia rajoitu vain tiettyihin allekirjoituksia tai pöytäkirjoista, vai onko se koko ajan?

Vaihe 3: Sanity Check hälytys

Joskus vääriä positiivisia voidaan karsinut pois rajallinen määrä tietoa on esitetty hälytys. Esimerkiksi ei hälytys väittävät havaita HTTP hyökkäyksen tulevan TCP/80 sijaan että menisit sitä? Jos näin on, kyseessä on ilmeinen ongelma allekirjoitus tuottaa hälytyksen.

Vaihe 4: Tarkista allekirjoitus

Jotkut allekirjoituksia on kirjoitettu hyvin nimenomaan niin, että todennäköisyys on pieni vääriä positiivisia. Jotkut ovat yleisempiä kuitenkin niin sen mahdollista saada vääriä positiivisia putoavat pois. Review allekirjoitus, joka syntyy hälytys ja tehdä arvostele. Onko allekirjoitus tarkistaa 3-4 eri olosuhteissa tai kymmenen tai enemmän? Ilmeisesti enemmän parametreja olemme tarkistaa, vähemmän todennäköisesti haluamme saada vääriä positiivisia.

Vaihe 5: Tarkista purkaa

Jos ymmärrät hyökkäys kuvion, sinun pitäisi jo olla odotuksia siitä, mitä tulee olemaan hyökkäys purkaa. Onko paketti vastannut odotuksiasi? Olen nähnyt paljon vääriä positiivisia tuottaman ihmisiä käsittelyssä info verkkosivustossa kuvataan HTTP hyökkäyksessä. Nämä on helppo erottaa, koska ylimääräistä HTML, oikea agentti ja referrer kentät jne. Lyhyesti sanottuna, jos paketti ei vastaa tunnettu purkamaan on todellinen hyökkäys, selvittää miksi.

Vaihe 6: Research lähde

Olen aina ottaa aikaa varmista Ymmärrän, joka istuu takana lähde IP osoite. Joskus tämä voi mennä pitkä matka kohti yksilöidä, voin luottaa hälytys. Olen muistutti ystävä, joka kielsi useita IP-osoitteita hänen tunkeutumisen järjestelmä oli määritellyt vihamielisiä. Pian sen jälkeen hän alkoi huomata, että Internetin osia ei enää tavoitettavissa. Osoittautuu joku huijaus sarjan hyökkäyksiä IP osoitteet juuripalvelimet . Oliko hän ottanut aikaa etsiä IP-osoitteet Aluksi hän varmasti ei olisi estänyt heitä.

Exec Yhteenveto

Esto tiedetään olevan vihamielinen IP-osoitteita voidaan varmasti hyötyä turvallisuutta, mutta se on toteutettava varoen. Ytimessä tahansa verkko turvajärjestelmä on asiantunteva turvallisuuden asiantuntija tervettä järkeä. Jos tämä osa puuttuu, koko rakenne voi hajota kuin korttitalo.

Update: Koska lähetettäessä Olen huomannut, että Isäntä Monster (Blue Host) estää pääsyn yhdelle tai useammalle Cisco palvelimia samoin. Arvaa lista jatkuu ...