منع التسلل على أساس المضيف

يعد الأمان الطبقي مبدأ مقبولًا على نطاق واسع في أمن الكمبيوتر والشبكات. الفرضية الأساسية لهذا المبدأ هي أن هناك حاجة إلى طبقات متعددة من الدفاع لحماية الموارد والبيانات ضد مجموعة متنوعة من الهجمات، فضلاً عن التهديدات. ليس فقط أنه من المستحيل أن يقوم منتج واحد أو تقنية واحدة بالدفاع ضد كل تهديد محتمل، ولكن وجود خطوط دفاع متعددة يسمح أيضًا للمنتج "بالقبض" على المتسللين الذين تجاوزوا التهديدات الحالية للدفاع الخارجي.

يمكن استخدام العديد من التطبيقات والأجهزة لطبقات مختلفة من الأمان، مثل برامج مكافحة الفيروسات ، وجدران الحماية، وأنظمة كشف التسلل (IDS ) ، وما إلى ذلك، ولكل نوع وظيفته الخاصة، وقدرات مختلفة قليلاً، وهو قادر على حماية النظام من مجموعة متنوعة من التهديدات. هجمات مختلفة.

واحدة من أحدث التقنيات هي IPS، أو نظام منع التطفل. يشبه IPS الجمع بين IDS وجدار الحماية . سوف تقوم IDS النموذجية بتسجيل أو تحذير المستخدمين بشأن حركة المرور المشبوهة، ولكن كيفية الرد متروك للمستخدم. لدى IPS سياسات وقواعد لمقارنة حركة مرور الشبكة. إذا انتهكت أي حركة مرور هذه السياسات والقواعد، فيمكن تكوين IPS للرد بدلاً من مجرد تنبيه المستخدم. قد تكون الاستجابات النموذجية هي حظر كل حركة المرور من عنوان IP المصدر أو حظر حركة المرور الواردة على هذا المنفذ لحماية الكمبيوتر أو الشبكة بشكل استباقي.

هناك أنظمة منع التطفل المستندة إلى الشبكة (NIPS) وأنظمة منع التطفل المستندة إلى المضيف (HIPS). على الرغم من أن نشر HIPS قد يكون أكثر تكلفة - خاصة في بيئات المؤسسات الكبيرة، إلا أنه يوصى بالأمان المستند إلى الخادم كلما أمكن ذلك.

حل منع التطفل المعتمد على المضيف (HIPS) للشبكات

• لا تعتمد على التوقيعات : التوقيعات، أو السمات المميزة للتهديدات المعروفة، هي إحدى الوسائل الرئيسية التي تستخدمها برامج مكافحة الفيروسات وكشف التسلل (IDS). لا يمكن تطوير التوقيعات إلا بعد وجود تهديد فعليًا ومن المحتمل أن يتعرض المستخدم للهجوم قبل إنشاء التوقيع. يجب أن يجمع حل منع التطفل المعتمد على المضيف بين الكشف المعتمد على التوقيع والكشف عن الحالات الشاذة لإنشاء خط أساسي لنشاط الشبكة "العادي"، ثم الاستجابة لأي حركة مرور تبدو غير عادية. على سبيل المثال، إذا كان الكمبيوتر لا يستخدم FTP مطلقًا وفجأة يحاول بعض التهديد فتح اتصال FTP من الكمبيوتر، فسيكتشف نظام HIPS هذا باعتباره نشاطًا غير عادي.
• العمل مع التكوين : قد تكون بعض حلول HIPS محدودة في البرامج أو العمليات التي يمكنها مراقبتها وحمايتها. يجب أن تحاول العثور على HIPS قادر على التعامل مع الحزم المتاحة تجاريًا بالإضافة إلى أي تطبيقات مخصصة داخلية قيد الاستخدام. إذا كنت لا تستخدم تطبيقات مخصصة أو لا تعتبر هذه مشكلة مهمة لبيئتك، فتأكد على الأقل من أن حل HIPS الخاص بك يحمي البرامج والعمليات قيد التشغيل.
• يسمح بإنشاء السياسات : تأتي معظم حلول HIPS مع مجموعة كاملة إلى حد ما من السياسات، وغالبًا ما يكون لدى البائعين تحديثات أو يصدرون سياسات جديدة لتوفير استجابات محددة للتهديدات أو التهديدات الجديدة أو الهجمات. ومع ذلك، من المهم أن تكون لديك القدرة على إنشاء السياسة الخاصة بك، في حالة وجود تهديد فريد لم يوضحه البائع، أو عند ظهور تهديد جديد وتحتاج إلى سياسة لحماية نظامك، قبل البائع. لديه الوقت لإصدار التحديث. يتعين عليك التأكد من أن المنتج الذي تستخدمه ليس فقط قادرًا على السماح بإنشاء السياسة، ولكن من السهل أيضًا فهم إنشاء السياسة ولا يتطلب أسابيع من التدريب أو مهارات البرمجة المتخصصة.
• يوفر تقارير وإدارة مركزية : عند الحديث عن الحماية المستندة إلى الخادم للخوادم الفردية أو محطات العمل، تكون حلول HIPS وNIPS باهظة الثمن نسبيًا وبعيدة عن متناول مستخدم واحد من العائلة العادية. لذلك، حتى عند الحديث عن HIPS، ربما يكون من المفيد النظر إليه من وجهة نظر نشر HIPS عبر مئات من أجهزة الكمبيوتر المكتبية والخوادم الموجودة على الشبكة. على الرغم من أنه من الرائع أن تكون محميًا على مستوى سطح المكتب الفردي، إلا أن إدارة مئات الأنظمة الفردية أو محاولة إنشاء تقارير مجمعة يكاد يكون مستحيلًا دون القدرة على الإدارة وإعداد التقارير المركزة الجيدة. عند اختيار منتج، تأكد من أنه يحتوي على تقارير وإدارة مركزية حتى تتمكن من نشر سياسات جديدة على جميع الأجهزة أو إنشاء تقارير من جميع الأجهزة في مكان واحد.

أشياء أخرى يجب وضعها في الاعتبار

هناك بعض الأشياء الأخرى التي تحتاج إلى وضعها في الاعتبار. أولاً، لا يعد HIPS وNIPS حلاً بسيطًا لمشكلة معقدة مثل الأمان. يمكن أن تكون إضافة رائعة لنظام دفاع قوي متعدد الطبقات، بما في ذلك جدران الحماية وتطبيقات مكافحة الفيروسات، ولكنها لا يمكن أن تحل محل التقنيات الحالية.

ثانيًا، قد يكون تنفيذ حل HIPS صعبًا بعض الشيء في البداية. غالبًا ما يتطلب تكوين الاكتشاف القائم على الحالات الشاذة الكثير من "المساعدة" للتطبيق لفهم ما هي حركة المرور "العادية" وما هي حركة المرور الشاذة. قد تواجه بعض المشاكل عند إنشاء خط أساس يحدد حركة المرور "العادية" للنظام.

في النهاية، غالبًا ما تقرر الشركات شراء منتج ما بناءً على ما يمكن أن يقدمه لها. ومن الناحية العملية، يتم قياس ذلك على أساس عائد الاستثمار أو عائد الاستثمار. بمعنى، إذا استثمرت مبلغًا من المال في منتج أو تقنية جديدة، فكم من الوقت يستغرق هذا المنتج أو التكنولوجيا ليؤتي ثماره من تلقاء نفسه؟

لسوء الحظ، منتجات أمان الكمبيوتر والشبكات ليست هي نفسها في كثير من الأحيان. إذا كان المنتج أو التكنولوجيا الأمنية تعمل كما تم تصميمها، فستكون الشبكة آمنة، ولكن لن يكون هناك "ربح" لقياس عائد الاستثمار. يجب على المرء أن ينظر إلى الجانب السلبي ويفكر في مقدار الخسارة التي يمكن أن تخسرها الشركة إذا لم يتم اعتماد هذا المنتج أو التكنولوجيا. ما هو مقدار الأموال اللازمة لإعادة بناء الخوادم، واستعادة البيانات، والوقت والموارد اللازمة للموظفين الفنيين "للتنظيف" بعد الهجوم، وما إلى ذلك؟ وبدون استخدام هذا المنتج الأمني، فمن المحتمل أن تخسر الشركة أموالاً أكثر بكثير من تكلفة شراء المنتج أو التكنولوجيا.