Службы обнаружения вторжений Intrusion Detection Services
Простыми словами
Это одна из четырёх служб обнаружения, и различаются они по тому, ЧТО ищут. Обнаружение вторжений ловит попытку проникнуть и поднимает тревогу в реальном или близком к реальному времени. Соседняя служба аномалий ищет иное — «Anomaly detection services identify irregularities or glitches in the infrastructure that could be exploited», то есть слабое место до атаки, а не саму атаку. Оценка уязвимостей смотрит на известные угрозы, журналирование вообще ничего не выявляет, а только собирает. Отсюда типичная ошибка: считать обнаружение вторжений самодостаточным. Оно живёт на чужом сырье — «The consolidated logs are then analyzed by the detection engine, based on pattern and heuristic analysis to identify intrusion attempts», — и без службы журналирования анализировать нечего.
Примеры
Разд. 4.6.6 делит обнаружение на обнаружение вторжений, обнаружение аномалий, оценку уязвимостей и журналирование. Первое ловит попытку взлома, второе — эксплуатируемые сбои, третье — известные слабости, четвёртое собирает и сводит журналы для первых трёх.
Open Enterprise Security Architecture (O-ESA), The Open Group Guide G112 (April 2011), разд. 4.6.6 — Detection Services и четыре службы второго уровня
Общая задача обнаружения сформулирована шире сигнала: выявлять и отвечать на угрозы так, чтобы предотвратить ущерб или потерю; среди требований к проектированию названо изящное снижение доступа при атаке с последующим восстановлением. Сигнал без процесса реагирования требования не закрывает.
Open Enterprise Security Architecture (O-ESA), The Open Group Guide G112 (April 2011), разд. 4.6.6 — вводная к службам обнаружения со ссылкой на требования про…
Руководство прямо отмечает, что управление обнаружением по политике держится на проприетарных решениях с централизованными механизмами анализа и разными способами сбора журналов. Единого открытого способа настроить это политикой на 2011 год не было.
Open Enterprise Security Architecture (O-ESA), The Open Group Guide G112 (April 2011), разд. 4.3 и 4.6.6 — одна и та же оговорка про вендорские решения повторе…
Определение из первоисточника
дословная выпискаIntrusion detection services identify attempts to break in to a protected network or system and provide real-time or near real-time alarms.
Службы обнаружения вторжений выявляют попытки проникнуть в защищённую сеть или систему и подают сигналы тревоги в реальном или близком к реальному времени.
ИсточникOpen Enterprise Security Architecture (O-ESA): A Framework and Template for Policy-Driven Security. The Open Group Guide, April 2011, № документа G112, ISBN 1-931624-94-1
Связанные понятия
Опишите архитектуру своей компании в Storm
Реестр процессов, архитектурное рабочее пространство, связи между системами и процессами — те самые артефакты, только про вашу организацию.
Это же в StormАрхитектура систем и интеграцийГраф связей реестраРеестр процессов