IDS/IPS (Intrusion Detection System/Intrusion Prevention System)

Systemy wykrywania i zapobiegania włamaniom) – urządzenia sieciowe zwiększające bezpieczeństwo sieci komputerowych przez wykrywanie (IDS) lub wykrywanie i blokowanie ataków (IPS) w czasie rzeczywistym. Systemy wykrywania włamań działają przez analizę ruchu sieciowego za pomocą dwóch metod:Analiza heurystyczna – polegająca na defragmentacji, łączeniu pakietów w strumienie danych, analizie nagłówków pakietów oraz analizie protokołów aplikacyjnych. Pozwala wytypować pakiety mogące doprowadzić do zdestabilizowania docelowej aplikacji w razie obecności w niej błędów implementacyjnych. Stosowane są różne nazwy handlowe – np. protocol analysis (np. IBM ISS) czy preprocessing (Snort). W większości systemów IDS analiza heurystyczna odbywa się równocześnie z normalizacją danych przed poddaniem ich analizie sygnaturowej.Analiza sygnaturowa – polegająca na wyszukiwaniu w pakietach ciągów danych charakterystycznych dla znanych ataków sieciowych. Kluczowym elementem jest baza sygnatur, budowana wraz z pojawianiem się nowych ataków i odpowiednio często aktualizowana.W zależności od lokalizacji sensora oraz zakresu analizowanych zdarzeń wyróżnia się następujące rodzaje systemów IDS:hostowe – HIDS (ang. Host-based IDS) – działają jako aplikacja w jednym, ochranianym systemie operacyjnym analizując zdarzenia pochodzące z logu systemowego oraz z lokalnych interfejsów sieciowych.sieciowe – NIDS (ang. Network IDS) – analizujące ruch sieciowy dla wszystkich systemów w segmencie sieci, do którego są podłączone. NIDS potrafi rozpoznawać ataki skierowane przeciwko systemom, które nie mają zainstalowanych HIDS. Równocześnie jednak ma ograniczone zdolności analizowania ruchu przesyłanego w kanałach SSL lub zdarzeń zachodzących lokalnie w systemie (np. brak pamięci, ataki lokalne z konsoli).Sieciowe systemy IPS mogą działać w następujących topologiach sieciowych:pasywna sonda – sonda podłączona do portu monitorującego przełącznika analizuje kopie wszystkich pakietów w danym segmencie sieci. Sonda w tej topologii ma ograniczone możliwości reagowania na ataki. Stosowane są dwie techniki blokowania ataków w topologii pasywnej – wysyłanie fałszywych pakietów TCP RST do obu stron komunikacji i zerwanie połączenia oraz dynamiczna rekonfiguracja zapory, z którą sonda może współpracować. W pierwszym przypadku blokowaniu może podlegać tylko ruch TCP, w drugim reakcja może być spóźniona.Inline – sonda umieszczona pomiędzy dwoma segmentami sieci, pozbawiona adresów IP i działająca w trybie przezroczystego mostu analizuje i bezpośrednio uczestniczy w przekazywaniu wszystkich pakietów w sieci. W tym trybie sonda ma możliwość blokowania 100% pakietów rozpoznanych jako niebezpieczne (fałszywe pakiety TCP RST nadal są wysyłane dla uniknięcia retransmisji). Działanie w tym trybie nakłada na oprogramowanie sondy znacznie wyższe wymagania co do wydajności i stabilności.

Szyfrowanie w sieciach wlan

Jeżeli planujemy korzystać z sieci bezprzewodowej, musimy ją tak skonfigurować, aby tylko wybrane osoby miały do niej dostęp. W innym wypadku staniemy się ofiarami bardzo powszechnych włamań, ktoś niepożądany może podkraść nasze hasła, czytać nasze e-maile, podkradać pieniądze z naszego internetowego konta w banku.Szyfrowanie WEPWEP jest nadal dostępną metodą zabezpieczeń sieci w celu obsługi starszych urządzeń, jednak nie jest zalecana. Na początku trzeba wygenerować cztery różne klucze szyfrowania. W przypadku standardowego szyfrowania 64-bitowego, które może być zastosowane na wszystkich urządzeniach Wi-Fi, każdy z kluczy to dziesięciocyfrowa liczba szesnastkowa. W większości nowych AP znajduje się program, który umożliwia generowanie tych czterech kluczy na podstawie wprowadzonej frazy będącej pewną sekwencją liter lub wyrazów, takich jak na przykład: „Ala ma kota" lub „sierotka ma rysia". Dla danej karty sieciowej oraz punktu dostępu ta sama fraza zawsze spowoduje wygenerowanie tych samych czterech kluczy szyfrowania( oczywiście można też generować samemu klucz szyfrowania w postaci znaków zapisanych w kodzie szesnastkowym ). Można spotkać także urządzenia, które generują z frazy tylko jeden klucz. Następnie użytkownik musi dystrybuować te cztery klucze (lub jeden klucz, jeśli w danej instalacji sieciowej potrzebny jest tylko jeden klucz) do wszystkich bezprzewodowych kart sieciowych, które będą się łączyć z punktem dostępu. Proces ten, czyli dystrybucja kluczy jest krytyczną operacją dotyczącą bezpieczeństwa sieci Wi-Fi. Gdy wszystkie punkty dostępu oraz wszystkie bezprzewodowe karty sieciowe znajdujące się w sieci mają już wprowadzone wszystkie cztery klucze, to można włączyć mechanizm szyfrowania WEP. Od tej chwili cały ruch sieciowy między punktem dostępu a bezprzewodowymi kartami sieciowymi będzie szyfrowany. Po uruchomieniu szyfrowania WEP nie trzeba już wykonywać żadnych innych operacji związanych z tym mechanizmem, aż do chwili podjęcia decyzji o zmianie kluczy. Najlepiej zmieniać klucze jak najczęściej, ponieważ jak przedstawimy niżej, szyfrowanie WEP jest bardzo słabym zabezpieczeniem, a częsta zmiana kluczy może trochę to bezpieczeństwo podnieść.Szyfrowanie WPAWPA zostało wprowadzone jako następca szyfrowania WEP, bezpieczniejsze i pozbawione wad poprzednika. Jedynym minusem tego zabezpieczenia jest dosyć spore obciążanie sieci. WPA dzieli się na dwa rodzaje: Personal - opiera się na kluczu PSK (Pre-Shared Key) długości od 8 do 63 znaków oraz Enterprise - korzystający z serwera RADIUS. Niestety szyfrowanie WPA nie jest dostępne w każdym AP, jeśli jednak twój Punkt Dostępowy oraz karty klienckie je obsługują i dla bezpieczeństwa sieci zrobisz wszystko - użyj właśnie WPA. Należy wspomnieć też o WPA2, które poza inną metodą szyfrowania (AES-CCMP) nie różni się niczym w porównaniu do WPA (RC4/TKIP). Nie zaleca sie używania protokołu WEP. Bezpieczniejszy jest protokół WPA2. Jeśli protokoły WPA i WPA2 nie działają, zaleca się uaktualnienie karty sieciowej do karty obsługującej jeden z tych protokołów.

Zapora sieciowa

Zapora sieciowa to jeden ze sposobów zabezpieczania sieci i systemów przed intruzami. Termin ten może odnosić się zarówno do dedykowanego sprzętu komputerowego wraz ze specjalnym oprogramowaniem, jak i do samego oprogramowania blokującego niepowołany dostęp do komputera, na którego straży stoi. Pełni rolę połączenia ochrony sprzętowej i programowej sieci wewnętrznej LAN przed dostępem z zewnątrz tzn. sieci publicznych, Internetu, chroni też przed nieuprawnionym wypływem danych z sieci lokalnej na zewnątrz. Często jest to komputer wyposażony w system operacyjny (np. Linux, BSD) z odpowiednim oprogramowaniem. Do jego podstawowych zadań należy filtrowanie połączeń wchodzących i wychodzących oraz tym samym odmawianie żądań dostępu uznanych za niebezpieczne.Najczęściej używanymi technikami obrony są:1. Filtrowanie pakietów, czyli sprawdzanie pochodzenia pakietów i akceptowanie pożądanych (np. SPI).2. Stosowanie algorytmów identyfikacji użytkownika (hasła, cyfrowe certyfikaty).3. Zabezpieczanie programów obsługujących niektóre protokoły (np. FTP, TELNET).Bardzo ważną funkcją zapory sieciowej jest monitorowanie ruchu sieciowego i zapisywanie najważniejszych zdarzeń do dziennika (logu). Umożliwia to administratorowi wczesne dokonywanie zmian konfiguracji. Poprawnie skonfigurowany firewall powinien odeprzeć wszelkie znane typy ataków. Na zaporze można zdefiniować strefę ograniczonego zaufania – podsieć, która izoluje od wewnętrznej sieci lokalne serwery udostępniające usługi na zewnątrz.

Ochrona elementów infrastruktury sieciowej przed niepowołanym dostępem

Zmiana hasła na routerze
Pierwszą czynnością jaką powinniśmy wykonać zabezpieczając naszą sieć WiFi to zmiana domyślnego loginu i hasła punktu dostępowego. Na nic zdadzą się wszystkie inne zabezpieczenia, jeśli każdy będzie mógł zalogować się na naszym routerze i przejąć nad nim kontrolę. Listę domyślnych haseł routerów można znaleźć w internecie.

Zarządzanie tylko przez kabel
Bardzo dobrym pomysłem jest wyłączenie możliwości logowania się na access point przez sieć bezprzewodową. Taką możliwość daje większość dostępnych na rynku urządzeń. Ograniczenie dostępu do zarządzania urządzeniem tylko dla użytkowników podłączonych kablem, może zaoszczędzić nam sporo kłopotów.

Moc nadawania
Przydatną opcją wielu routerów, jest możliwość ograniczenia ich mocy nadawania. W przypadku niewielkiego mieszkania, nie ma potrzeby aby sieć WiFi była dostępna dla wszystkich sąsiadów. Warto zmniejszyć siłę nadajnika WiFi, tak abyśmy tylko my byli w jej zasięgu. Moc nadawania trzeba dobrać metodą prób i błędów, stopniowo zmniejszając wartość od największej do najmniejszej.

Umiejscowienie routera
Choć może się to wydać dziwne, to jednak miejsce w jakim znajduje się nasz punkt dostępowy, może mieć wpływ na dostęp dla intruzów. Wiąże się to także z mocą nadawania. Warto w miarę możliwości instalować punkt dostępowy centralnie w środku mieszkania oraz ograniczać moc nadawania, tak aby jego zasięg obejmował jedynie mieszkanie. Umiejscowienie urządzenia na skrajnej ścianie, może zapewnić zasięg naszej sieci WiFi dla sąsiadów, lub ludzi z ulicy.

Szyfrowanie danych
Szyfrowanie danych dla bezprzewodowych sieci WiFi to jedno z najważniejszych zabezpieczeń, którego nie można pominąć. Brak szyfrowania sprawia, że nasze dane (loginy, hasła, numery kart) są przesyłane w sieci, w sposób umożliwiający ich łatwe przechwycenie przez osoby trzecie. Należy koniecznie włączyć szyfrowanie sieci mechanizmem WPA2, który na dzień dzisiejszy jest uznawany za bezpieczny. Nie należy mylić mechanizmów WPA2 z WPA, który jest mniej bezpieczny. W przypadku starszych urządzeń, nie wspierających WPA2, jesteśmy skazani na zabezpieczenie WEP, należy jednak mieć świadomość, że jest to zabezpieczenie bardzo łatwe do złamania i należy rozważyć zmianę naszego punktu dostępowego oraz kart sieciowych na wspierające algorytm WPA2.

Stosowanie silnych haseł
Nawet najlepsze algorytmy szyfrujące i wyrafinowane zabezpieczenia nie zabezpieczą naszej sieci, jeśli będziemy stosować banalne hasła. Złamanie prostych haseł możliwe jest dzięki metodzie zwaną brute force. Polega ona na automatycznym sprawdzaniu wszystkich haseł aż do skutku. Jedynym zabezpieczeniem jest stosowanie długich i skomplikowanych haseł. Zarówno hasło do logowania na router jak i hasło szyfrowania WPA, powinno zawierać co najmniej 12 znaków (a może być o wiele dłuższe) zawierających litery małe i duże, cyfry oraz znaki specjalne. Warto też pamiętać o zmianie haseł raz na jakiś czas.