A HIDS – host alapú illetéktelen hálózati behatolást jelző rendszer – egy önálló számítógép tevékenységének a figyelésére szolgál. Az adott számítógépen, hoston futhat levelezőrendszer vagy webszerver, tulajdonképpen lehet bármilyen célra használt önálló számítógép. Lényeg hogy a HIDS csak azzal a géppel foglalkozik ahová telepítették nincs kapcsolata a környezetével.
Működése Az első HIDS-eket egy konkrét számítógép elsősorban mainframe gépek tevékenységének ellenőrzésére készítették. Egy HIDS a naplófájlok (log), az audit bejegyzések és a gép bemenő és kimenő hálózati forgalmát figyeli. A host alapú illetéktelen hálózati behatolást jelző rendszerek tipikusan önálló szoftver termékek. A legutóbbi időben a távfelügyelettel együtt megjelentek hálózatra telepített HIDS-ek is. Ezek a rendszerek jelentős mértékben használják a védett számítógép erőforrásait. A HIDS-ek eredetileg kötegelt üzemmódban működtek ütemezetten, óránként esetleg naponként végezték munkájukat és elsősorban a rendszer naplófajlait analizálták. A processzorok sebességének növekedése lehetővé teszi a valós idejű analízist ezért a modern HIDS-ek már reáltime módon ellenőrzik a naplófájlokat és a ki- és bemenő adatforgalmat is. UNIX környezetben a leginkább figyelt naplófájlok: a syslog, a kernel log-ok és az error log-ok. WINDOWS környezetben leginkább az Application, a System és a Security log-okat figyeli a HIDS.
Bizonyos gépeken például webszervert futtató gépen a HIDS figyelhet speciális alkalmazások mint az ftp kommunikáció, vagy különböző web szervizek naplófájljait is.
A HIDS a naplófájlok feldolgozásakor a legkülönbözőbb tevékenységek figyelésére alkalmas. A megfigyelt események közül a leggyakoribbak: Munkaidőn kívüli belépés a gépbe Hibás bejelentkezések, nem megfelelő autentikáció Új felhasználó létrehozása, vagy ennek kísérlete Megfigyelt, kritikus rendszerfájlokhoz való hozzáférés Bináris (végrehajtható) fájlok módosítása, törlése Folyamatok (processes) indítása, leállítása Jogosultság módosítása Kritikus, megfigyelt programok használata A HIDS-ek működési elve azonos. A szenzorok összegyűjtik a számítógépen keletkezett analizálandó adatokat, és megfelelően szortírozva továbbítják azokat az elemző motorhoz. Az elemző motor a HIDS legfontosabb része ez dönt arról, hogy a megfigyelt tevékenység engedélyezett-e vagy tiltott. Az elemző motorok általában valamilyen mintaillesztéses algoritmussal dolgoznak. Az ehhez szükséges adatok egy úgy nevezett szignatúra adatbázis tartalmazza. Mind a minták, mind a mintaillesztési algoritmusok egyre bonyolultabbak.
Előnyök és hátrányok Előnyök A HIDS maximálisan operációs rendszer orientált, és nagyon részletes szignatúra rendszer kialakítását teszi lehetővé. Ez lehetővé teszi speciális igények kielégítését az általános riasztásokon túl speciális riasztási rendszer felállítását. Segítségével csökkenthető a téves pozitív riasztások száma. Lehetőség van a káros tevékenységek analízisének tetszőleges finomítására. Biztosítja a feloldott titkosítású adatok ellenőrzését. A NIDS-ek (hálózat orientált behatolás ellenőrző rendszerek) a titkosított hálózati forgalmat ellenőrzik ezzel ellentétben a HIDS-ek a titkosítás feloldását követően a cél számítógépen futnak. Segítségével maximálisan alkalmazás orientált ellenőrző rendszert építhetünk. Ismerve a célgép feladatait olyan szignatúra adatbázist alakíthatunk ki amely csak a gép speciális tevékenységét ellenőrzi. Meghatározható, hogy egy adott rendszeren a riasztás mikor történjen. Ezzel csökkenthető a riasztások száma. A rendszer figyelembe veheti, a futó szoftver különböző verzióit, az installált javítócsomagokat (patchek), meghatározott fájlok meglétét, vagy hiányát, a különböző rendszerállapotokat, Hátrányok A HIDS rendszert a megfigyelt hálózat minden gépére fel kell installálni'. Egy HIDS rendszer üzemeltetése költségigényes. Az installálása és karbantartása jelentős munkaerőt köt le. A viszonylag ritka a távolról üzemeltető rendszer, a rendszergazdáknak minden gépen külön külön kell karbantartaniuk. Jelentős a helyi erőforrásigénye. Minden egyes védett gépen a futó HIDS memória és CPU használati igénnyel lép fel. Nem jelzi a hálózat elleni támadásokat kizárólag azt a gépet figyeli ahová felinstallálták. A HIDS riasztásait és naplófájljait, mivel azok a lokálisan, magán a védett gépen keletkeznek és tárolódnak, viszonylag könnyű korrumpálni, vagy törölni''.
Jegyzetek Források
Kategória:Informatikai biztonság