Лекция №23 Обнаружение и предотвращение вторжений

Рис. 6. Архитектура решения для операторов связи по обнаружению и подавлению DDoS-атак
На рис. 6. показана архитектура решения для операторов связи по обнаружению и подавлению DDoS-атак.
Архитектура решения предлагает упорядоченный подход к обнаружению распределенных DDoS-атак, отслеживанию их источника и их подавлению.
В начале своей работы средствам защиты от DDoS-атак необходимо пройти процесс обучения и создать модель нормального поведения трафика в пределах сети, используя поток данных, доступный с маршрутизаторов.
После обучения система переходит в режим мониторинга трафика, и в случае обнаружения аномальной ситуации системному администратору отправляется уведомление. Если атака подтверждается, администратор безопасности сети переводит устройство очистки трафика в режим защиты.
Также возможно настроить устройства мониторинга на автоматическую активацию средств очистки трафика в случае обнаружения аномального трафика. При включении режима защиты средство фильтрации изменяет таблицу маршрутизации граничного маршрутизатора с целью перенаправления входящего трафика на себя и производит его очистку. После этого очищенный трафик перенаправляется в сеть.
Достоинства данного решения:

• 
  мгновенная реакция на DDoS-атаки;
  
• 
  возможность включения системы только по требованию обеспечивает максимальную надежность и минимальные затраты на масштабирование.
  

Отечественное оборудование IPS

Рис. 7. Комплексы «Рубикон»
Комплекс «Рубикон» (АО «НПО «Эшелон») выполняет функции межсетевого экрана, системы обнаружения вторжений и однонаправленного шлюза. Предназначен для использования в информационных системах, обрабатывающих информацию, составляющую государственную тайну.
Преимущества
«РУБИКОН» является программно-аппаратным комплексом, что упрощает его внедрение, эксплуатацию и сопровождение.

• 
  производительность МЭ: до 9Gb/s;
  
• 
  производительность СОВ: до 3Gb/s;
  
• 
  производительность маршрутизации: до 9 Gb/s;
  
• 
  возможность горячего резервирования: на уровне устройств (VRRP, Ethernet Bypass), на уровне портов (VLAN bonding), на уровне каналов связи (динамическая маршрутизация OSPF);
  
• 
  поддержка мандатных меток отечественных защищенных операционных систем в сетевом трафике;
  
• 
  возможность интеграции с системой мониторинга событий информационной безопасности «KOMRAD Enterprise SIEM»;
  
• 
  модульная структура аппаратных платформ;
  
• 
  возможность конфигурации до 64 портов в одном комплексе.