Интернетмагазин

с
истема
 
преДотвращения
 
вторжений
 
Система предотвращения вторжений (СПВ, intrusion prevention system – 
IPS) использует ту же концепцию СОВ, но, как следует из названия, она предот-
вращает вторжение, предпринимая корректирующие действия. Эти действия 
будут настроены администратором СПВ совместно с Синей командой.

---

220  Активные сенсоры 
СОВ
СОВ
СОВ
СОВ
VLAN клиента – 10.2.2.0/24
VLAN сервера – 10.1.1.0/24
VLAN ДМЗ – 10.10.10.0/24
Коммутатор
Коммутатор
Коммутатор
Интернет-роутер
ДМЗ
Рис. 11.5
Подобно тому как СОВ доступна для хостов (ХСОВ) и сети (ССОВ), СПВ так 
же доступна для хостов (ХСПВ) и сети (ССПВ). Размещение ССПВ в вашей сети 
имеет решающее значение, и здесь применимы те же рекомендации, что были 
упомянуты ранее. Вам также следует рассмотреть возможность размещения 
ССПВ в соответствии с трафиком, чтобы при необходимости предпринимать 
корректирующие действия.
СПВ обычно может работать в одном или нескольких из следующих режи-
мов:

на основе правил;

на основе аномалий.
Обнаружение на основе правил 
При работе в этом режиме СПВ сравнивает трафик с набором правил и пыта-
ется проверить, соответствует ли трафик правилу. Это очень полезно, когда 
вам нужно развернуть новое правило, чтобы заблокировать попытку эксплуа-
тировать уязвимость. Системы ССПВ, такие как 
Snort, способны блокировать 

---

Поведенческая аналитика внутри организации 
 
221
угрозы, используя обнаружение на основе правил. Например, правило Snort 
Sid 1-42329 способно обнаружить разновидность Win.Trojan.Doublepulsar.
Правила Snort находятся здесь: etc/snort/rules, а другие правила можно 
скачать по адресу