системы обнаружения вторжений - Форум по вопросам информационной безопасности

В настоящий момент являюсь студентом Прикладных Наук в Нидерландах (г. Энсхеде) и параллельно прохожу практику в компании предоставляющей услуги в области систем обнаружения вторжений.
Хотелось бы узнать мнение российских экспертов в этой области. На сколько популярны данные системы в финансовом и сервисном ( utility) секторе на российском рынке? И по каким причинам?

Покупаются, но не используются :)

Причины:
1. Отсутствует менеджмент инцидентов (Ну узнали вы, что вас сканируют или что к вам в закрытый файрвол ломится троян, и что?)
2. Нехватка ресурсов (т. е. логи IDSjd никто не мониторит)
3. непонимание рисков, связанных с внешними атаками (в основном люди пугаются ботов и DDoS)

Последнее время стали активно использоваться WAF, но в основном из-за того. что люди начинают осознавать насколько все плохо с их корпоративными сайтами.

Оутсорсинг именно услуг по обнаружению вторжений популярностью не пользуется (в основном - в силу п. 1)

1. Если покупаются но не используются, то для чего тогда покупаются??? Связано ли это исключительно с нехваткой знаний у персонала или так же присутствует момент нехватки финансового бюджета в организации?

2.но если никто не занимается мониторингом IDS/IPS, кто тогда следит за логами WAF?

можете ли вы сказать что именно используется предприятиями open-sourсe ( Snort, ModSecurity...) или коммерческие softwares?

1. Покупается. потому что все понимают, что это нужно. Не используется - потому что отстройкой IDS нужно очень вдумчиво заниматься, а на это не хватает человеческих ресурсов. Компании готовы забюджетировать покупку рограммных/аппаратных решений, но крайне неохотно идут на расширение штата. Кроме того, квалифицированных инженеров, способных грамотно заниматься эксплуатацией IDS, на рынке труда практически нет - этому не учат :)

Кроме того, повторю - угрозы внешних атак всерьез не рассматриваются, а IDSки на границе сегмента пользовательского и серверного сегментов я вообще видел в единичных случаях. Считается, что хакеры - это неактуально.

Еще один момент - практически отсутствует incident management, а без него трудозатраты на IDS не имеют смысла.

2. Никто, так же как и за логами обычных файрволов, по той же причине.

WAF чаще всего используется только для обрезания потенциально опасных конструкций в request string.

3. По поводу того, что используется - точной статистики нет, могу сказать, что самому приходилось видеть.

По сетевым - чаще всего это решения от Cisco. Гораздо реже - Proventia. NetScreen. Snort используется скорее как игрушка, хотя делались попытки сделать на его основе коммерческие IDS. Остальные производители - скорее экзотика.

WAF - modsecurity, плюс в новом битриксе неплохой встроенный WAF.

Хостовые - то, что реализуют в антивирусах.

спасибо большое за ответ =))

Скажите а возможно ли узнать компании в которой вы работаете и занимаемую вами должность? А для более качественного исследования ваш ученый статус или университет который вы заканчивали? В общем что то о Вас?

Может где мой вопрос и обсуждался (прочитал ветки форумов до 2009 года), поэтому не судите строго.
В п. 6 Приказа ФСТЭК № 58 сказано: "Обнаружение вторжений проводится для информационных систем, подключённых к сетям международного информационного обмена, путём использования в составе информационной системы программных или программно-аппаратных средств (систем) обнаружения вторжений"
Посему вопрос №1: такая СОВ должна быть в информационной системе, имеющей подключение к Интеренету только напрямую или это требование распространяется и на ИС, подключённые через прокси-сервер?
И вопрос №2: если требований по сертификации СОВ не предъявляется, то будет ли считаться использованием СОВ такая функция, встроенная любое программное обеспечение (например, Kaspersky Internet Security)?

Ау-у-у... Формучане-е-е... Неужели никому нечего сказать на такие простые вопросы? Даже г-ну malotavr'у?

;)

Если вас интересует именно формальное выполнение требований - то нечего.

1. На данный момент нет четких критериев, которые позволили бы дать однозначный ответ.
2. По СОВ идет перетягивание каната между ФСБ и ФСТЭК, и не факт, что в течение блидайших шестимесяцев ситуация не изменится.

Если бы я принимал решение за оператора, то:
1. СОВ (в особенности IPS) - это "второй эшелон" на случай, если облажается МЭ. Поэтому наличие прокси-сервера не отменяет треования о наличии СОВ.
2. HIDS/HIPS (в том числе в составе антивирусных средств) - это "недоСОВ", решающие очень узкую задачу защиты рабочих мест и части серверов. А требование о наличии СОВ ориентировано на решение всего спектра задач противодействия атакам.

Спасибо г-н malotavr. Думаю солидарно с Вами. К сожалению на практике у небольших организаций обязанность установки СОВ вызывает "кучу" вопросов или не меньшее количество возражений на приобретение и установку СОВ. Любимым у админов является желание увидеть документ (нормативный или стандарт), где будет дано понятие СОВ и требования к нему. До момента предъявления этих документов они считают, что при включении соответствующей галочки в Kaspersky Internet Security у них применяется СОВ, значит требования они выполняют. Увы, но формально они правы. Поэтому приходится ждать выхода документа про СОВ.
Первое требование к наличию СОВ было в уже отменённом документе Основных мероприятий по ПДн. Сейчас я находил только в публикациях и учебниках, которые не являются аргументом для заказчика. Может я где не прав?