АНАЛИЗ ЗАДАЧИ ПРОЕКТИРОВАНИЯ

Основные функции программного обеспечения

Лабораторный стенддолжен наглядно продемонстрировать принципы работы системы обнаружения вторжений, построенной на основе сигнатурных методов, студентам в процессе освоения дисциплины «Системы обнаружения вторжений».

Функциональные возможности лабораторного стенда:

- Захват сетевого трафика с последующим анализом на наличие вторжений в систему. Пользователь может регулировать величину количества захватываемых сетевых пакетов и выбирать различные сетевые интерфейсы.

- Просмотр сигнатур, доступных для использования.

- Выбор определенной сигнатуры для исследования трафика на присутствие конкретной атаки или аномалии.

- Запуск всех сигнатур лабораторного стенда по очереди в автоматическом режиме.

- Краткая характеристика выбранной сигнатуры.

- Анализ тестовых данных трафика.

- Сохранение отчёта (в.txt файл) о проведенной проверке.

Выбор инструментария и сторонних библиотек

Для разработки лабораторного стенда будут использованы следующие средства:

- Среда разработки Visual Studio Ultimate 2012.

- Объектно-ориентированный язык программирования C#.

- Платформа.Net Framework версии 4.5.

- Анализатор трафика WinDump (библиотека WinPcap v 1.4.3.).

Visual Studio представляет собой интегрированную среду для разработки приложений компании Microsoft. Она позволяет разрабатывать консольные и приложения с графическим интерфейсом с поддержкой технологии Windows Forms, а также веб-сайты и веб-приложения.

Программа на языке C# выполняется в среде.NET Framework – в компоненте, интегрированном в ОС Windows, содержащем виртуальную систему выполнения (CLR) и стандартизированный набор библиотек классов. Среда Common Language Runtime представляет собой закрытую реализацию от Microsoft инфраструктуры Common Language Infrastructure, стандартизированной международной организацией ISO. На Рисунке показана схема отношений в платформе.NET.

Рисунок 1. Отношения в платформе Net. Framework

Исходный программный код, написанный на Net. языке компилируется в Intermediate Language (промежуточный язык). Код Interediate Language и различные ресурсы, как изображения и строки, хранятся в исполняемом файле, который называется сборкой. Каждая сборка содержит описание со сведениями о типах сборки, языке, требованиях безопасности, версии, региональных параметрах.

Анализатор трафика WinDump – утилита, позволяющая перехватывать и анализировать сетевой трафик, проходящий через компьютер, на котором запущена данная программа. WinDump разработан Группой сетевых исследований Отдела информационных и вычислительных технологий в Национальной лаборатории Лоренс Беркли. Анализатор использует библиотеку Packet Capture. Для Unix-подобных систем используют libpcap-библиотеку, а для Microsoft Windows NT используют WinPcap.

Обзор прототипов системы

В качестве аналогов лабораторного стенда выбраны следующие системы: программно-аппаратный комплекс ViPNET IDS 2000, ОАО «ИнфоТеКС», и система обнаружения вторжений Snort. ViPNET IDS 2000 и Snort являются системами обнаружения вторжений, построенными на основе сигнатурных методов.

ViPNET IDS 2000

Программно-аппаратный комплекс ViPNET IDS 2000 представлен на Рисунке 1. Комплекс обладает сертификатами ФСТЭК № 3285, действительным до 27.112017 года, и ФСБ России, что позволяет эксплуатировать данный ПАК на любых объектах, не обрабатывающих сведения, составляющих государственную тайну.

Рисунок 2. Внешний вид ViPNET IDS 2000

Функционал комплекса достаточно разнообразен. Среди его возможностей присутствуют:

- обнаружение вторжений в масштабе, приближенном к реальному времени;

- расчет и предоставление статистики о происшедших вторжениях на основе журналов (журнал атак ViPNET IDS 2000 продемонстрирован на Рисунке 2);

- автоматическое обновление базы сигнатур с сервера;

- возможность добавления собственных сигнатур в базу;

- выборочное использование сигнатур или групп сигнатур и др.

Рисунок 3. Журнал атак

Схема подключения ViPNET к сети отображена на Рисунке 3. Данная схема получила название Т-образной.

Рисунок 4. Схема подключения

SPAN-порт предназначен для зеркалирования трафика: трафик перенаправляется для анализа системе обнаружения вторжений или используется для поиска неисправностей. Управление комплексом осуществляется консолью управления через WEB-интерфейс.

Данный комплекс обладает удобным интерфейсом и широкими функциональными возможностями. Производительность ПАК достигает 6000 Мбит/сек. Данный комплекс построен на операционной системе Linux.

⇐ Предыдущая 1 234 5 6 7 8 9 10 Следующая ⇒