🎙️ 🧙🏻 ♌️ बॉक्स घुसपैठ रोकथाम प्रणाली से बाहर। टेस्ट ड्राइव 👨‍👨‍👧 🈴 👈🏿

हैलो, ख़बरोवचन!

आज हम इस बारे में बात करना चाहते हैं कि घुसपैठ का पता लगाने / रोकथाम प्रणाली आपके कार्य को सही तरीके से सामना करने के बाद आप उन्हें बॉक्स से बाहर निकालते हैं, उन्हें आरंभ करते हैं और अपने नेटवर्क पर डालते हैं। निम्नलिखित हार्डवेयर प्लेटफ़ॉर्म आज के परीक्षण अभियान में भाग लेंगे:

• सिस्को IPS 4240;
• IBM प्रोवेंटिया GX4004;
• स्टोनगेट IPS 1060।

हमारे अनुभव के आधार पर, लगभग 80% IPS संगठन ठीक से कॉन्फ़िगर नहीं किए गए हैं। यह इस तथ्य के कारण है कि नियामकों की आवश्यकताओं में से एक या किसी अन्य को पूरा करने के लिए बस उन्हें कॉन्फ़िगर करने के लिए कोई नहीं है या सिस्टम केवल "शो के लिए" स्थापित किया गया था। इसलिए, हमने डिफ़ॉल्ट सेटिंग्स पर घुसपैठ का पता लगाने वाले सिस्टम की तुलना करने का निर्णय लिया।

लेख में हम अपने परीक्षण ड्राइव के परिणामों को सम्मानित हरज़हेल्टामी के साथ साझा करना चाहते हैं।

सभी इच्छुक बिल्ली के लिए आमंत्रित हैं।

IPS के बारे में कुछ शब्द

घुसपैठ निवारण प्रणाली - एक सॉफ्टवेयर या हार्डवेयर नेटवर्क और कंप्यूटर सुरक्षा प्रणाली जो घुसपैठ या सुरक्षा उल्लंघनों का पता लगाती है और स्वचालित रूप से उनकी रक्षा करती है।
IPS सिस्टम को घुसपैठ का पता लगाने वाले सिस्टम (IDS) के विस्तार के रूप में देखा जा सकता है, क्योंकि ट्रैकिंग हमलों का कार्य समान रहता है। हालांकि, वे इस बात से अलग हैं कि आईपीएस को वास्तविक समय में गतिविधि की निगरानी करनी चाहिए और हमलों को रोकने के लिए जल्दी से कार्रवाई लागू करनी चाहिए। संभावित उपाय नेटवर्क में ट्रैफ़िक प्रवाह को रोक रहे हैं, कनेक्शन रीसेट कर रहे हैं, ऑपरेटर को सिग्नल जारी कर रहे हैं। IPS भी पैकेट को बदलने के लिए डीफ़्रेग्मेंट पैकेट, पुन: टीसीपी पैकेटों को बदल सकते हैं।

तुलनात्मक आईपीएस का तकनीकी विवरण

यहाँ, वास्तव में, हमारे प्रयोगात्मक:

सबसे पहले, हम सूचना के खुले स्रोतों से लिए गए हार्डवेयर प्लेटफ़ॉर्म की प्रदर्शन विशेषताओं की विशेषता वाले कुछ सूखे नंबर देते हैं:

टेस्ट ड्राइव कार्यक्रम

हम समान शर्तों के तहत तीन आईपीएस के काम की तुलना करेंगे: आईडीएस मोड में काम (तुलना वास्तविक नेटवर्क में की गई थी), आईपीएस मोड में काम और "बहुत सशर्त" लोड परीक्षण (तुलना प्रयोगशाला में किया गया था)। नतीजतन, हमें मिली और अवरुद्ध की गई कमजोरियों की संख्या पर डेटा के साथ एक सारांश तालिका मिलती है।

मैं तुरंत यह बताना चाहूंगा कि तुलना सॉफ्टवेयर के नवीनतम उपलब्ध संस्करण पर हुई और परीक्षण के समय नवीनतम हस्ताक्षरों के साथ, डिफ़ॉल्ट नीतियों का उपयोग खतरों का पता लगाने और उन्हें अवरुद्ध करने के लिए किया गया।

हमारा "रेसिंग ट्रैक"

आईडीएस मोड में काम करें

आईडीएस मोड (नेटवर्क गतिविधि निगरानी) में घुसपैठ का पता लगाने वाले सिस्टम के हार्डवेयर प्लेटफार्मों का परीक्षण नीचे की आकृति में दिखाए गए स्कीम के अनुसार किया गया था, जिसमें सभी ग्रंथियों को सिस्को कैटलिस्ट 3750 स्विच के स्पैन पोर्ट से जोड़कर दिखाया गया था, जिससे संगठन के वास्तविक नेटवर्क से यातायात को प्रतिबिंबित किया गया था।

नेटवर्क मॉनिटरिंग मोड में काम करने के तीन दिनों के बाद, IPS ने निम्न भेद्यता / हमलों की संख्या को पाया (हमने केवल उच्च, मध्यम और निम्न कमजोरियों को ध्यान में रखा, जानकारी की कमजोरियों को ध्यान में नहीं रखा गया):

• सिस्को IPS 4240 - 17 भेद्यता / हमले;
• आईबीएम प्रोवेंटिया GX4004 - 32 भेद्यता / हमले;
• स्टोनगेट IPS 1060 - 103 भेद्यता / हमले।

वहाँ इतने सारे सामान्य भेद्यता / हमले नहीं हैं कि लोहे के सभी टुकड़े पता लगा सकें:

• ICMP नेटवर्क स्वीप w / पता मास्क;
• ICMP नेटवर्क स्वीप w / टाइमस्टैम्प;
• TCP_Port_Scan;
• UDP_Port_Scan;
• ICMP_Subnet_Mask_Request;
• ICMP_Timestamp_Request।

सभी पाया कमजोरियों / हमलों की सूची और लोहे के टुकड़ों द्वारा टूटने वाली एक सारांश तालिका को स्पॉइलर के नीचे देखा जा सकता है।

कमजोरियाँ मिलीं

हस्ताक्षर	सिस्को IPS 4240	IBM Proventia GX4004	स्टोनगेट IPS 1060
ICMP नेटवर्क स्वीप w / पता मुखौटा	+	+	+
ICMP नेटवर्क स्वीप w / टाइमस्टैम्प	+	+	+
Microsoft Windows CIFS क्लाइंटसाइड बफर ओवरफ्लो (CVE-2011-0654)	+	-	-
SNMP प्रोटोकॉल उल्लंघन (CVE-2002-0012, CVE-2002-0013)	+	-	-
UPnP स्थिति अतिप्रवाह	+	-	-
अमान्य DHCP पैकेट (CVE-2004-1111)	+	-	-
टीसीपी सेगमेंट ओवरराइट	+	-	-
DHCP क्लाइंट DoS (CVE-2008-0084)	+	-	-
टीसीपी एमएसएस अधिकतम से अधिक है	+	-	-
HTTP अनुरोध में SQL क्वेरी (CVE-2005-4643, CVE-2006-0581)	+	-	-
Email_Calendar_Code_Exec (CVE-2007-0039)	-	+	-
Email_Mime_Filename_Overflow (CVE-1999-0004)	-	+	-
Email_Mime_Name_Overflow	-	+	-
HTML_UTF8_Overflow (CVE-2006-2382)	-	+	-
HTTP_CheckPoint_FW1_FormatString (CVE-2004-0039)	-	+	-
Image_JPEG_IE_Component_Overflow (CVE-2005-2308)	-	+	-
OTF_Windows_Cmap_Table_Corruption (CVE-2010-3959)	-	+	-
PsExec_Service_Accessed	-	+	-
PsExec_Installed	-	+	-
Script_IE_Improper_Ref_Counting (CVE-2012-4787)	-	+	-
SMB_Empty_Password	-	+	-
BackOrifice_Ping (CVE-1999-0660)	-	+	-
Email_Executable_Extension	-	+	-
Flash_NavigateToURL_XSS (CVE-2007-6244)	-	+	-
HTTP_Connect_Proxy_Bypass_SMTP	-	+	-
HTTP_Field_With_Binary	-	+	-
HTTP_Proxy_Cache_Poisoning (CVE-2005-1215)	-	+	-
HTTP_URL_repeated_char	-	+	-
HTTPS_Proxy_Info_Disclosure (CVE-2005-2830)	-	+	-
ICMP_Flood	-	+	-
Ping_Sweep	-	+	-
Smurf_Attack (CVE-1999-0513)	-	+	-
SNMP_Default_Backdoor (CVE-2000-0147)	-	+	-
TCP_Port_Scan	+	+	+
UDP_Port_Scan	+	+	+
DNS_Version_Request	-	+	-
HTTP_Authentication	-	+	-
HTTP_Microsoft_Error_Report	-	+	-
ICMP_Subnet_Mask_Request	+	+	+
ICMP_Timestamp_Request	+	+	+
ASN.1_Oversize-ब्लॉक	-	-	+
HTTP_CRL-अत्यधिक-लंबी विकल्प-अनुरोध-तर्क (CVE-2010-0361)	-	-	+
SMTP_CS-नोवेल-Groupwise-क्लाइंट-Img-टैग-src-पैरामीटर-बफर-ओवरफ्लो (CVE-2007-6435)	-	-	+
MSRPC-TCP_CPS-सांबा-spoolss-RPC-SmbIoNotifyOptionTypeData-अनुरोध-हैंडलिंग-बीओएफ (CVE-2007-2446)	-	-	+
एसएमबी-TCP_Negotiate-प्रोटोकॉल SMB2 रिमोट-कोड-निष्पादन (CVE-2009-3103)	-	-	+
फ़ाइल-OLE_Microsoft-एक्सल-फ़ाइल-हैंडलिंग-कोड-निष्पादन-भेद्यता (CVE-2008-0081)	-	-	+
फ़ाइल-OLE_Microsoft-VBA6-ढेर-मेमोरी भ्रष्टाचार (CVE-2010-0815)	-	-	+
फ़ाइल-OLE_Microsoft-वर्डपैड-पाठ कनवर्टर-CVE-2010-2563	-	-	+
फ़ाइल-OLE_Microsoft-वर्डपैड-पाठ कनवर्टर-बफर-ओवरफ्लो (CVE-2010-1900)	-	-	+
फ़ाइल-OLE_Microsoft-एक्सल-ग्राफिक-वस्तु Deref-भेद्यता-CVE-2011-0977	-	-	+
फ़ाइल-OLE_Microsoft ऑफिस-वचन-Sprmcmajority-रिकार्ड बफर-ओवरफ्लो	-	-	+
फ़ाइल-OLE_Microsoft-एक्सल-ढेर-ओवरफ्लो-भेद्यता-CVE-2011-0098	-	-	+
फ़ाइल-OLE_Microsoft-एक्सेल-शैली-रिकार्ड डाटा हैंडलिंग-कोड-निष्पादन (CVE-2008-0114)	-	-	+
फ़ाइल-OLE_Microsoft-एक्सल-मर्ज सेल रिकॉर्ड-सूचक-CVE-2010-3237	-	-	+
फ़ाइल-OLE_Microsoft ऑफिस-कला-संपत्ति-टेबल मेमोरी भ्रष्टाचार (CVE-2008-0114)	-	-	+
फ़ाइल-OLE_Microsoft ऑफिस-आहरण-अपवाद-हैंडलिंग-CVE-2010-3335	-	-	+
फ़ाइल-OLE_Microsoft ऑफिस-एक्सल-टेबल रिकार्ड पार्सिंग-कोड-निष्पादन (CVE-2010-3232)	-	-	+
फ़ाइल-OLE_Microsoft-ग्राफिक्स-प्रतिपादन-इंजन थंबनेल-ढेर-बफर-ओवरफ्लो (CVE-2010-3970)	-	-	+
फ़ाइल-OLE_Microsoft ऑफिस-एक्सल-विकृत-रिकॉर्ड्स-ढेर-बफर-ओवरफ्लो (CVE-2009-0559)	-	-	+
फ़ाइल-OLE_Microsoft ऑफिस-एक्सल-अप्रत्याशित-फील्ड-मूल्य-मेमोरी भ्रष्टाचार (CVE-2009-0560)	-	-	+
फ़ाइल-OLE_Microsoft-एक्सल-संस्करण-सूचना-हैंडलिंग-कोड-निष्पादन (CVE-2010-0262)	-	-	+
फ़ाइल-OLE_Microsoft-वचन-फ़ाइल-सूचना-मेमोरी भ्रष्टाचार-MS09-068 (CVE-2009-2135)	-	-	+
फ़ाइल-OLE_Microsoft-एक्सल-सशर्त-प्रारूपण-मान-हैंडलिंग-कोड-निष्पादन (CVE-2008-0117)	-	-	+
फ़ाइल-OLE_Autonomy-Keyview-एक्सल-फ़ाइल-एसएसटी पार्सिंग-पूर्णांक-ओवरफ्लो	-	-	+
फ़ाइल-OLE_Microsoft-एक्सल-Frtwrapper-रिकार्ड बफर-ओवरफ्लो (CVE-2008-3471)	-	-	+
फ़ाइल-OLE_Microsoft-एक्सल-नाम-ग्राफ़-रिकार्ड पार्सिंग-ढेर-ओवरफ्लो (CVE-2007-0215)	-	-	+
फ़ाइल-OLE_Microsoft ऑफिस-एक्सल-रिमोट-कोड-निष्पादन-CVE-2009-3134	-	-	+
फ़ाइल-OLE_Microsoft-एक्सल-उपयोग-बाद-फ्री-WriteAV-भेद्यता (CVE-2011-1986)	-	-	+
फ़ाइल-OLE_Microsoft-एक्सल-एरे-अनुक्रमण-भेद्यता-CVE-2011-1990	-	-	+
फ़ाइल-OLE_Microsoft-एक्सल-सशर्त-अभिव्यक्ति-पार्सिंग-भेद्यता (CVE-2011-1989)	-	-	+
फ़ाइल-OLE_Microsoft-एक्सल-विकृत-Fngroupcount-मूल्य-कोड-निष्पादन (CVE-2006-1308)	-	-	+
फ़ाइल-OLE_Microsoft-एक्सल-एसएसटी अमान्य-लंबाई-उपयोग-बाद-नि: शुल्क (CVE-2012-1887)	-	-	+
फ़ाइल-OLE_Microsoft-एक्सल-मेमोरी भ्रष्टाचार-CVE-2012-1886	-	-	+
फ़ाइल-Binary_Oracle-जावा रनटाइम सीएमएम-Readmabcurvedata-बफर-ओवरफ्लो (CVE-2010-0838)	-	-	+
फ़ाइल-MPEG_Microsoft-डायरेक्टशो-QuickTime-मूवी-पार्सिंग-कोड-निष्पादन (CVE-2009-1537)	-	-	+
फ़ाइल-Binary_IBM-लोटस नोट्स-1-2-3-कार्य-शीट-फ़ाइल-दर्शक द्वारा बफर-ओवरफ्लो	-	-	+
फ़ाइल-Text_Mozilla-फ़ायरफ़ॉक्स-बहु-यूआरआई-हैंडलर-कमांड निष्पादन (CVE-2007-4041, CVE-2007-3896)	-	-	+
फ़ाइल-Binary_Adobe-रीडर-सुरक्षा-बाईपास-CVE-2013-0624	-	-	+
फ़ाइल-Text_Microsoft-इंटरनेट-एक्सप्लोरर-वस्तु संदर्भ-गणना-मेमोरी भ्रष्टाचार (CVE-2007-3902)	-	-	+
फ़ाइल-Text_Microsoft-इंटरनेट-एक्सप्लोरर-वर्चुअल-समारोह-टेबल मेमोरी भ्रष्टाचार (CVE-2011-2001)	-	-	+
फ़ाइल-Text_Microsoft-इंटरनेट-एक्सप्लोरर एचटीएम्एल लेआउट-CVE-2012-0011	-	-	+
HTTP_Reply-chunked एन्कोड-Chunk Unparseable	-	-	+
TCP_Segment-सामग्री-संघर्ष	-	-	+
TCP_Window-shrinked	-	-	+
Shared_CS-86-X41nop-shellcode	-	-	+
Shared_SS-86-X41nop-shellcode	-	-	+
HTTP_CSU-संभावित-डॉट डॉट स्लैश-निर्देशिका-Traversal	-	-	+
HTTP_CRL-माइक्रोसॉफ्ट ASP.NET-ViewState-डिनायल ऑफ़ सर्विस	-	-	+
HTTP_CRL-Php-Quot-प्रिंट एनकोड-ढेर-बफर-ओवरफ्लो	-	-	+
एसएमबी-TCP_Samba-प्रमाणीकरण-बाईपास	-	-	+
एसएमबी-TCP_MS-Windows-प्रिंट स्पूलर सेवा-स्वरूप-स्ट्रिंग-भेद्यता (CVE-2010-2563)	-	-	+
SNMP-UDP_Default-समुदाय-स्ट्रिंग-स्वीकृत	-	-	+
MSRPC_SS-Sourcefire-थिरकने-Rule20275eval-बफर-ओवरफ्लो	-	-	+
फ़ाइल-OLE_Microsoft-एक्सल-लिंक्ड-सूची भ्रष्टाचार-भेद्यता-CVE-2011-0979	-	-	+
फ़ाइल-OLE_Microsoft-एक्सल-मेमोरी-ढेर-ओवरराइट-भेद्यता-CVE-2011-1275	-	-	+
फ़ाइल-OLE_Microsoft ऑफिस-PowerPoint-FB1h-पार्सिंग-बीओएफ-CVE-2010-2572	-	-	+
फ़ाइल-OLE_Microsoft ऑफिस-एक्सल-SxView-SXStreamID-CVE-2010-1245	-	-	+
फ़ाइल-OLE_Microsoft ऑफिस-एक्सल-विकृत-वस्तु रिकार्ड पार्सिंग-कोड-निष्पादन (CVE-2009-0557)	-	-	+
फ़ाइल-OLE_Microsoft ऑफिस-एक्सल-विकृत-LBL-रिकार्ड मेमोरी भ्रष्टाचार (CVE-2009-0558)	-	-	+
फ़ाइल-OLE_Microsoft-एक्सल-Colinfo-रिकार्ड बफर-ओवरफ्लो (CVE-2006-3875)	-	-	+
फ़ाइल-OLE_OpenOffice-OLE फ़ाइल-स्ट्रीम-बफर-ओवरफ्लो (CVE-2008-0320)	-	-	+
फ़ाइल-OLE_Microsoft-एक्सल-विकृत-चयन-रिकार्ड कोड-निष्पादन (CVE-2006-1301)	-	-	+
फ़ाइल-OLE_Microsoft ऑफिस-एक्सल-फ़ाइल-Obj-रिकार्ड मेमोरी भ्रष्टाचार (CVE-2008-4264)	-	-	+
फ़ाइल-OLE_Microsoft-PowerPoint-OfficeArt-आकार-RCE-भेद्यता (CVE-2011-3413)	-	-	+
फ़ाइल-OLE_Microsoft-एक्सल-MergeCells-रिकार्ड ढेर-ओवरफ्लो-भेद्यता (CVE-2012-0185)	-	-	+
फ़ाइल-OLE_Microsoft ऑफिस-एक्सल-प्रकाशक-रिकार्ड मेमोरी भ्रष्टाचार (CVE-2010-1250)	-	-	+
फ़ाइल-Text_x86-X41nop-shellcode	-	-	+
HTTP_Reply-सामग्री-प्रकार-गुम	-	-	+
UDP_Checksum-बेमेल	-	-	+
ई Mail_IMF-मल्टीपार्ट-सीमान्तक-उपयोग-अमान्य	-	-	+
ई Mail_IMF-Base64-लंबाई-असंगति	-	-	+
IP_Checksum-बेमेल	-	-	+
DNS_Client-नाम-बुरा-लेबल प्रकार	-	-	+
DNS_Client-क्लास-अज्ञात	-	-	+
TCP_Segment-SYN-अप्रत्याशित	-	-	+
TCP_Segment-SYN-एसीके-अप्रत्याशित	-	-	+
ई Mail_IMF के लिए भी लंबे समय से हैडर	-	-	+
ई Mail_IMF के लिए भी लंबे समय से हैडर-फील्ड	-	-	+
POP3_Server-सिंटेक्स-त्रुटि	-	-	+
ई Mail_Message-सिंटेक्स-त्रुटि	-	-	+
ई Mail_Content-स्थानांतरण-एन्कोडिंग-डुप्लिकेट	-	-	+
SMTP_Unknown-कमान	-	-	+
HTTP_IIS-यूनिकोड-एन्कोडिंग	-	-	+
HTTP_Version-भिन्न	-	-	+
HTTP_Request-अतिरिक्त डाटा	-	-	+
TCP_Segment-SYN-ISN-बेमेल	-	-	+
DNS-UDP_Nameserver-संस्करण-क्वेरी	-	-	+
HTTP_CS-लंबी HTTP-प्राधिकरण-निगोशिएट-टोकन	-	-	+
HTTP_CSU-Windows-शैली-निरपेक्ष-पथ-इन-यूआरआई	-	-	+
MSRPC-TCP_CPS-Windows-स्थानीय-सुरक्षा-प्राधिकरण-प्रयोक्ता नाम-प्रकटीकरण	-	-	+
SNMP-UDP_Linux-कर्नेल-SNMP-नेट-हेल्पर-SNMP-डिकोड-डॉस -2	-	-	+
SNMP-UDP_Default-समुदाय-स्ट्रिंग-अस्वीकृत	-	-	+
फ़ाइल-Binary_Windows-LNK-फ़ाइल स्थानांतरण	-	-	+
HTTP_SHS-HTTP-0.9-उत्तर-बाद-HTTP-1.0-अनुरोध	-	-	+
HTTP_SHS-सामग्री-बाद-शून्य-सामग्री-लंबाई	-	-	+
फ़ाइल-PNG_Conflicting-सामग्री-प्रकार-पाठ	-	-	+
फ़ाइल-PNG_Conflicting-सामग्री-प्रकार-पाठ सादा	-	-	+

यह ध्यान देने योग्य है कि मॉनिटरिंग मोड में आईपीएस न केवल हमलों का पता लगा सकता है, बल्कि नेटवर्क पर असुरक्षित सेवाओं और एप्लिकेशनों को भी खोज सकता है, उदाहरण के लिए, एसएनएमपी समुदाय की डिफ़ॉल्ट सेटिंग्स का उपयोग करके, खाली पासवर्ड और गैर-अपडेटेड सॉफ़्टवेयर का उपयोग करके।

आईपीएस ऑपरेशन

IPS मोड में घुसपैठ का पता लगाने वाले सिस्टम के हार्डवेयर प्लेटफ़ॉर्म का परीक्षण (नेटवर्क गतिविधि की निगरानी करना और दुर्भावनापूर्ण ट्रैफ़िक को रोकना) नीचे दी गई योजना के अनुसार किया गया था, आक्रमण कार्य केंद्र और पीड़ितों (सर्वरों) के बीच इनलाइन मोड (अंतराल में) के सभी हार्डवेयर प्लेटफार्मों पर स्विच करके। Microsoft Windows 2003 R2 और निम्न अनुप्रयोग सॉफ़्टवेयर पीड़ितों पर स्थापित किए गए थे:

• ओरेकल एक्सप्रेस 10 जी;
• MySQL 5.2;
• अपाचे 2.2.26;
• वेब आईआईएस 6 / एफटीपी आईएसएस 6;
• फाइलज़िला एफ़टीपी सर्वर 0.9.41 बीटा;
• टीएफटीपीडी 32 4.0;
• MSSQL एक्सप्रेस 2005।

हमलावर के कार्य केंद्र से, नेसस ने नेसस सुरक्षा स्कैनर का उपयोग करके पीड़ितों को स्कैन किया और उन पर चलने वाली संवेदनशील सेवाओं की सूची निर्धारित की। स्कैनिंग के बाद, मेटासैप्लोइट फ्रेमवर्क शोषण पैक का उपयोग करके पीड़ितों पर भेद्यता (लॉन्च कारनामे) का फायदा उठाने की कोशिश की गई।

निम्नलिखित हमलों के लिए IPS प्रतिक्रिया का सारांश तालिका है:

यह देखा जा सकता है कि डिफ़ॉल्ट सेटिंग वाले IPS सभी हमलों को अवरुद्ध करने में सक्षम नहीं हैं, यहां तक कि उन लोगों को भी जो नवीनतम कमजोरियों का उपयोग नहीं करते हैं। इसलिए, आपकी आवश्यकताओं और सेवाओं के लिए विशेष रूप से लोहे के टुकड़े को कॉन्फ़िगर करने की दृढ़ता से सिफारिश की जाती है।

"बहुत सशर्त" लोड परीक्षण

यह परीक्षण बैकप 5 आर 3 वितरण किट से hping3 यूटिलिटी (आप यहां उपयोगिता के बारे में पढ़ सकते हैं) का उपयोग करके किया गया था। परीक्षण का उद्देश्य बाढ़ के हमलों के लिए आईपीएस "प्रतिरोध" की जांच करना था, अर्थात। हमने उपकरणों के प्रदर्शन की तुलना करने की कोशिश नहीं की, लेकिन केवल ओवरलोड के लिए उनकी प्रतिक्रिया की जांच की।

स्टैंड विवरण:
IPS को हमलावर होस्ट (Backtrack 5 R3 OS) और पीड़ित होस्ट (Windows Server 2003 R2) के बीच की खाई में स्थापित किया गया था। Hping3 उपयोगिता को "--flood" पैरामीटर के साथ 5 मिनट के भीतर लॉन्च किया गया था, यह कुंजी आपको अधिकतम संभव पैकेट जनरेशन गति का उपयोग करने की अनुमति देती है।

कमांड उदाहरण:
hping3 ip_address --flood

नीचे परिणामों के साथ एक सारांश तालिका दी गई है:

जैसा कि हम देख सकते हैं, आईपीएस सिस्टम (डिफ़ॉल्ट सेटिंग्स पर) नोड को बाढ़ के हमले से बचाने में सक्षम नहीं था। लॉग्स में सिस्को और आईबीएम ने अलर्ट जारी किया और हमले को ब्लॉक करने की कोशिश नहीं की, स्टोनगेट ने कनेक्शन ब्लॉक करना शुरू कर दिया, लेकिन रिबूट चला गया, और पीड़ित पर हमला सफलतापूर्वक जारी रहा। यह इस तथ्य के कारण है कि इनलाइन इंटरफेस के संचालन का डिफ़ॉल्ट मोड विफल-खुला है, अर्थात। सभी ट्रैफ़िक हार्डवेयर प्लेटफ़ॉर्म विफलता की स्थिति में निरीक्षण के बिना इंटरफेस के बीच स्वतंत्र रूप से बहती है।

निष्कर्ष

यदि आप अपने उपयोगकर्ताओं या कुछ महत्वपूर्ण सेवाओं को बाहरी खतरों से बचाने के लिए IPS स्थापित करने का निर्णय लेते हैं और इस बात से अवगत हैं कि आपके नेटवर्क पर क्या हो रहा है, तो हम हार्डवेयर को ठीक करने की सलाह देते हैं। ठीक से ट्यून किए गए IPS बहुत बड़ी संख्या में सुरक्षा छेद बंद कर सकते हैं, भले ही यह पहले से पुराना और कमजोर हो। और डिफ़ॉल्ट सेटिंग्स पर, निर्माताओं में से किसी ने भी परिणाम नहीं दिखाए जिन्हें "प्रभावशाली" कहा जा सकता है।

आपका ध्यान देने के लिए आप सभी का धन्यवाद!

ग्लीबोव मैक्सिम, सेलिशचेव इवान

बॉक्स घुसपैठ रोकथाम प्रणाली से बाहर। टेस्ट ड्राइव