Ученые предложили новый метод защиты серверов от вторжений

image

Теги: сервер, атака, защита

Разработанная учеными технология SCIT - (Self Cleansing Intrusion Tolerance) дополнительный эшелон превентивной обороны вдобавок к имеющимся средствам защиты, таким, как брандмауэры и системы обнаружения/отражения вторжений.

Профессор Арун Суд (Arun Sood) из университета им. Джорджа Мэйсона (George Mason University, шт. Вирджиния, США) предложил интересный способ защиты серверов от атак и вторжений.

Разработанная им вместе со своими коллегами технология SCIT - (Self Cleansing Intrusion Tolerance) дополнительный эшелон превентивной обороны вдобавок к имеющимся средствам защиты, таким, как брандмауэры и системы обнаружения/отражения вторжений.

Основной принцип, лежащий в основе технологии SCIT, заключается в том, что если сервер работает, то рано или поздно он будет скомпрометирован. Чтобы свести к минимуму возможный ущерб от атак, разработчики предлагают ограничить время нахождения сервера в прямом соединении с Интернетом. С помощью технологий виртуализации система SCIT периодически создает дубликат работающего сервера, запускает этот дубликат, отключает работающий сервер, переводит нагрузку на дубликат, а отключенный сервер восстанавливается в последнем работоспособном состоянии. После отключения дублирующего сервера очищенный основной сервер вводится в работу, после чего цикл повторяется. Периодичность смены основных и дублирующих серверов составляет меньше минуты.

В сочетании с системами обнаружения вторжений, по словам профессора Суда, технология SCIT способна серьезно ограничить объем данных, которые смогут украсть злоумышленники. При периодическом отключении сервера поток извлечения информации каждый раз останавливается, а «чистая» копия сервера уже не даст злоумышленнику продолжить процесс кражи информации с места остановки. Любопытный подход: раз мы не можем предотвратить атаку, значит нужно периодически уничтожать атакуемый ресурс и создавать его полную копию на новом месте.


или введите имя

CAPTCHA
Страницы: 1  2  
1
18-06-2008 10:18:19
значит нужно периодически уничтожать атакуемый ресурс и создавать его полную копию на новом местеИ легитимные посетители ресурсов на таком сервере уходят лесом вслед за мнимыми атакующими. Хороший способ снижения посещаемости.
0 |
1
18-06-2008 10:23:08
Особенно прикольно будет качать по узкому каналу с таких серверов ISO-образы распространяемых ими каких-нибудь дистрибутивов, размером по 4.5Гб Особенно когда "умные уебдизигнеры" разрешат скачивание только через сеансовую сцылку на сайте, устаревающую за пару часов.
0 |
18-06-2008 10:54:41
Я думаю что речь идет о защите корпоративных серверов и утечки баз данных с разных сегментов , а не про скачивания ISO с сервера васи пупкина. Вот синхронизация нескольких серверов с такой технологией это интересно.
0 |
1
18-06-2008 13:27:34
Так тяни свои файлы. Если ты авторизован. Речь идет о серверах БД. А оттуда как раз никто ничего тянуть не должен ))) Очень интересная идея
0 |
18-06-2008 10:26:24
Метод далеко не новый. Во многих учебных заведениях система автоматически разворачивается из чистого образа перед каждым занятием, дабы студенты всяких вирусов и игр не записывали. Здесь идея лишь в том, чтобы увеличить частоту обновления. Кроме того, некоторые программы строятся именно по такому принципу: запускать для каждого нового соединения по обновлённому прцессу. Это позволяет избегать утечек памяти, избегать зависаний и делает менее привлекательным внедрение в адресное пространство процесса. Не совсем понятно, как это может быть реализовано на практике для систем, хранящих и обрабатывающих пользовательские данные. Решение вполне применимо лишь для очень малого количества систем, на ум приходят пожалуй только маршрутизаторы. Но они и без того обладают довольно высокой взломоустойчивостью.
0 |
1
19-06-2008 13:53:07
Юниксовый fork() что ли, или вообще запуск из inetd ? Так известно 30 лет, и компрометируют и их.
0 |
1
18-06-2008 10:52:19
проще и безобрывнее размещать серв на ВМ или в песочниче, и проводить регулярную проверку каталогов и контрольных сумм файлов. при обнаружении новых файлов или несовпадении контрольной суммы останавливаем серв, грохаем каталоги, заливаем их в изначальном виде, извещаем админо и рестартуем серв. если сервер состоит из нескольких не меняющихся со временем процессов, их проверку может производить дополнительный модуль, подключаемый к базе данных. тогда если хакер получит шелл и попытается выкачать например базу мускуля, сам мускуль перед обработкой может проверить список процессов сервера, и обнаружив лишний, вызвать остановку и сброс инсталляции сервера в исходное состояние.
0 |
1
18-06-2008 14:30:28
спасибо посмеялся. походу вобще никто не догнал зачем это нужно, лол 47647
0 |
1
18-06-2008 15:24:19
никто не догнал зачем это нужнорасскажешь нам, несмышленым, умник?
0 |
1
18-06-2008 10:52:27
Парадоксальная система - если времени нахождения образа сервера в сети достаточно для выполнения его основных функций, то его будет достаточно и для компрометации, а уничтожая скомпроиетированый образ мы уничтожаем и возможность обнаружения и анализа вторжения, т.е. создаём заведомо более благоприятную среду для массированой атаки, чем при самом обычном файрволе... Проще уж не делать сервер вообще - "Если у вас нет собаки, её не отравит сосед..."
0 |
1
18-06-2008 11:17:29
Если информация на сервере часто обновляется и/или содержит большую базу, вопросы репликации а актуализации составят проблему, плюс сбои указанных операций и связанные с этим потери.
0 |
Страницы: 1  2