2021年の7つの最高の侵入防止システム（IPS）

誰もが侵入者を家から遠ざけたいと思っています。同様に、そして同様の理由で、ネットワーク管理者は侵入者を管理するネットワークから遠ざけるよう努めています。今日の多くの組織の最も重要な資産の1つは、データです。多くの悪意のある個人がそのデータを盗むために多大な努力をすることは非常に重要です。彼らは、ネットワークやシステムへの不正アクセスを取得するために膨大な数の技術を使用することによってそれを行います。このような攻撃の数は最近指数関数的に増加しているようであり、それに応じて、それらを防ぐためのシステムが導入されています。これらのシステムは、侵入防止システムまたはIPSと呼ばれます。今日、私たちは私たちが見つけることができる最高の侵入防止システムを見ています。

まず、侵入防止とは何かをより適切に定義することから始めます。もちろん、これには、侵入とは何かも定義する必要があります。次に、通常使用されるさまざまな検出方法と、検出時に実行される修復アクションについて説明します。次に、パッシブ侵入防止について簡単に説明します。これらは静的な対策であり、侵入の試行回数を大幅に減らすことができます。それらのいくつかがコンピュータとは何の関係もないことを知って驚くかもしれません。そうして初めて、私たち全員が同じページにいるので、私たちが見つけた最高の侵入防止システムのいくつかを最終的にレビューすることができます。

侵入防止–これは何ですか？

数年前、システム管理者の関心事はウイルスだけでした。ウイルスは非常に一般的なものになり、業界はウイルス保護ツールを開発することで対応しました。今日、彼の正しい心の真面目なユーザーは、ウイルス保護なしでコンピューターを実行することを考えません。ウイルスの数は増えていませんが、侵入、つまり悪意のあるユーザーによるデータへの不正アクセスが新たな脅威となっています。多くの場合、データは組織の最も重要な資産であるため、企業ネットワークは、データへのアクセスを取得するために非常に長い時間を費やす悪意のあるハッカーの標的になっています。ウイルス保護ソフトウェアがウイルスの拡散に対する答えであったように、侵入防止システムは侵入者の攻撃に対する答えです。

侵入防止システムは基本的に2つのことを行います。まず、侵入の試みを検出し、疑わしいアクティビティを検出すると、さまざまな方法を使用してそれを停止またはブロックします。侵入の試みを検出する方法は2つあります。署名ベースの検出は、ネットワークトラフィックとデータを分析し、侵入の試みに関連する特定のパターンを探すことによって機能します。これは、ウイルス定義に依存する従来のウイルス保護システムに似ています。シグネチャベースの侵入検知は、侵入シグネチャまたはパターンに依存しています。この検出方法の主な欠点は、ソフトウェアに適切な署名をロードする必要があることです。また、新しい攻撃方法の場合、通常、攻撃シグネチャが更新されるまでに遅延が発生します。更新された攻撃シグネチャの提供が非常に速いベンダーもあれば、はるかに遅いベンダーもあります。署名が更新される頻度と速度は、ベンダーを選択する際に考慮すべき重要な要素です。

異常ベースの検出は、検出シグニチャが更新される前に発生するゼロデイ攻撃に対する保護を強化します。このプロセスでは、既知の侵入パターンを認識しようとするのではなく、異常を探します。たとえば、誰かが間違ったパスワードを使用してシステムに連続して数回アクセスしようとした場合にトリガーされます。これは、ブルートフォース攻撃の一般的な兆候です。これは単なる例であり、通常、これらのシステムをトリガーする可能性のある何百もの異なる疑わしいアクティビティがあります。どちらの検出方法にも長所と短所があります。最高のツールは、最高の保護のために署名と動作分析の組み合わせを使用するツールです。

侵入の試みを検出することは、侵入を防ぐための最初の部分の1つです。侵入防止システムは、検出されると、検出されたアクティビティを積極的に停止します。これらのシステムでは、いくつかの異なる修復アクションを実行できます。たとえば、ユーザーアカウントを一時停止または非アクティブ化することができます。もう1つの一般的なアクションは、攻撃の送信元IPアドレスをブロックするか、ファイアウォールルールを変更することです。悪意のあるアクティビティが特定のプロセスから発生した場合、防止システムがプロセスを強制終了する可能性があります。いくつかの保護プロセスを開始することは別の一般的な反応であり、最悪の場合、潜在的な損傷を制限するためにシステム全体をシャットダウンすることができます。侵入防止システムのもう1つの重要なタスクは、管理者に警告し、イベントを記録し、疑わしいアクティビティを報告することです。

受動的侵入防止対策

侵入防止システムはさまざまな種類の攻撃からユーザーを保護できますが、古き良きパッシブ侵入防止対策に勝るものはありません。たとえば、強力なパスワードを義務付けることは、多くの侵入から保護するための優れた方法です。もう1つの簡単な保護手段は、機器のデフォルトパスワードを変更することです。企業ネットワークではそれほど頻繁ではありませんが、前代未聞ではありませんが、デフォルトの管理者パスワードを保持しているインターネットゲートウェイをあまりにも頻繁に見たことがあります。パスワードに関しては、パスワードのエージン��は​​、侵入の試みを減らすために実施できるもう1つの具体的なステップです。十分な時間があれば、どんなパスワードでも、たとえ最高のパスワードであっても、最終的には解読される可能性があります。パスワードエージングにより、パスワードが解読される前にパスワードが変更されることが保証されます。

侵入を受動的に防ぐために何ができるかの例がありました。どのような受動的対策を講じることができるかについての投稿全体を書くことができますが、これは今日の私たちの目的ではありません。私たちの目標は、代わりに、最もアクティブな侵入防止システムのいくつかを提示することです。

最高の侵入防止システム

私たちのリストには、侵入の試みから保護するために使用できるさまざまなツールが混在しています。含まれているツールのほとんどは真の侵入防止システムですが、そのように販売されていませんが、侵入を防ぐために使用できるツールも含まれています。最初のエントリはそのような例の1つです。何よりも、使用するツールの選択は、特定のニーズが何であるかによって決まることを忘れないでください。それでは、私たちのトップツールのそれぞれが提供するものを見てみましょう。

1. SolarWinds Log＆Event Manager（無料トライアル）

SolarWindsは、ネットワーク管理でよく知られている名前です。最高のネットワークおよびシステム管理ツールのいくつかを作成することで確固たる評判を享受しています。その主力製品であるネットワークパフォーマンスモニターは、利用可能なトップネットワーク帯域幅監視ツールの中で一貫してスコアを付けています。SolarWindsは、ネットワーク管理者の特定のニーズに対応する多くの無料ツールでも有名です。KiwiSyslogサーバーまたはSolarWindsTFTPサーバーは、これらの無料ツールの2つの優れた例です。

聞かせてはいけないSolarWindsのログ＆イベントマネージャーの名前はあなたをだまします。目に見える以上のものがあります。この製品の高度な機能の中には、侵入検知および防止システムとして認定されているものもあれば、セキュリティ情報およびイベント管理（SIEM）の範囲に含まれているものもあります。たとえば、このツールは、リアルタイムのイベント相関とリアルタイムの修復を備えています。

• 無料トライアル：SolarWinds Log＆Event Manager
• 公式ダウンロードリンク：https：//www.solarwinds.com/log-event-manager-software/registration

SolarWindsのログ＆イベントマネージャは、疑わしい活動（侵入検知機能）の瞬時の検出および自動応答（侵入防止機能）を誇っています。このツールは、セキュリティイベントの調査とフォレンジックを実行するためにも使用できます。軽減とコンプライアンスの目的で使用できます。このツールは、HIPAA、PCI-DSS、SOXなどのさまざまな規制フレームワークへの準拠を実証するためにも使用できる監査実績のあるレポートを備えています。このツールには、ファイルの整合性の監視とUSBデバイスの監視もあります。このソフトウェアのすべての高度な機能により、その名前から信じられるようなログおよびイベント管理システムだけでなく、統合されたセキュリティプラットフォームになっています。

SolarWinds Log＆Event Managerの侵入防止機能は、脅威が検出されるたびにアクティブレスポンスと呼ばれるアクションを実装することで機能します。さまざまな応答を特定のアラートにリンクできます。たとえば、システムはファイアウォールテーブルに書き込んで、疑わしいアクティビティを実行していると識別された送信元IPアドレスのネットワークアクセスをブロックできます。このツールは、ユーザーアカウントを一時停止したり、プロセスを停止または開始したり、システムをシャットダウンしたりすることもできます。これらが以前に特定した修復アクションであることがわかります。

SolarWinds Log＆Event Managerの料金は、監視対象ノードの数によって異なります。価格は、最大30の監視対象ノードで4,585ドルから始まり、最大2500ノードのライセンスを購入できるため、製品の拡張性が高くなります。製品を試運転して、自分に合っているかどうかを自分で確認したい場合は、フル機能の30日間の無料トライアルを利用できます。

2. Splunk

Splunkは、おそらく最も人気のある侵入防止システムの1つです。さまざまな機能セットを備えたいくつかの異なるエディションで利用できます。Splunk Enterprise Security（またはSplunk ESと呼ばれることもあります）は、真の侵入防止に必要なものです。このソフトウェアは、システムのデータをリアルタイムで監視し、脆弱性と異常なアクティビティの兆候を探します。

セキュリティ対応は、製品の強力なスーツの1つであり、侵入防止システムの特徴です。ベンダーがAdaptiveResponse Framework（ARF）と呼んでいるものを使用します。55を超えるセキュリティベンダーの機器と統合し、自動応答を実行して、手動タスクを高速化します。自動修復と手動介入の場合のこの組み合わせは、すぐに優位に立つ可能性が最も高くなります。このツールは、シンプルで整理されたユーザーインターフェイスを備えており、優れたソリューションになります。その他の興味深い保護機能には、ユーザーがカスタマイズ可能なアラートを表示する「注目」機能や、悪意のあるアクティビティにフラグを付けてさらなる問題を防止するための「資産調査担当者」が含まれます。

Splunk EnterpriseSecurityの価格情報はすぐには入手できません。詳細な見積もりを取得するには、Splunkの営業担当者に連絡する必要があります。これは、無料トライアルが利用できる素晴らしい製品です。

3.セーガン

Saganは基本的に無料の侵入検知システムです。ただし、侵入防止システムのカテゴリに分類できるスクリプト実行機能を備えたツール。Saganは、ログファイルの監視を通じて侵入の試みを検出します。SaganとSnortを組み合わせて、その出力をSaganにフィードし、ツールにネットワークベースの侵入検知機能を提供することもできます。実際、Saganは、BroやSuricataなどの他の多くのツールから入力を受け取り、いくつかのツールの機能を組み合わせて、可能な限り最高の保護を実現できます。

キャッチありますセーガンのスクリプト実行機能は、しかし、。修復スクリプトを作成する必要があります。このツールは、侵入に対する唯一の防御としては最適に使用できない場合がありますが、さまざまなソースからのイベントを相互に関連付けて、多くの製品の最高のものを提供することにより、いくつかのツールを組み込んだシステムの重要なコンポーネントになる可能性があります。

一方でセーガンは唯一のLinux、UNIX、およびMac OSにインストールすることができ、それは彼らのイベントを取得するには、Windowsシステムに接続することができます。Saganのその他の興味深い機能には、IPアドレスの場所の追跡と分散処理が含まれます。

4. OSSEC

オープンソースセキュリティ（OSSEC）は、主要なオープンソースのホストベースの侵入検知システムの1つです。2つの理由でリストに含めています。その人気は、特に特定のアラートがトリガーされるたびに自動的に実行されるアクションをツールで指定できることを考えると、それを含める必要があったため、侵入防止機能を提供します。OSSECは、ITセキュリティの大手企業の1つであり、最高のウイルス保護スイートの1つを製造しているトレンドマイクロが所有しています。

Unixライクなオペレーティングシステムにインストールすると、ソフトウェアの検出エンジンは主にログファイルと構成ファイルに焦点を合わせます。重要なファイルのチェックサムを作成し、定期的に検証して、何か奇妙なことが起こったときに警告したり、修正アクションをトリガーしたりします。また、rootアクセスを取得しようとする異常な試みを監視して警告します。Windowsでは、システムは不正なレジストリの変更も監視します。これは、悪意のあるアクティビティの兆候である可能性があるためです。検出されるとアラートがトリガーされ、集中コンソールに表示されますが、通知も電子メールで送信されます。

OSSECは、ホストベースの侵入防止システムです。そのため、保護する各コンピューターにインストールする必要があります。ただし、集中型コンソールは、保護された各コンピューターからの情報を統合して、管理を容易にします。OSSECのコンソールはUnixライクなオペレーティングシステム上で実行されますが、エージェントは、Windowsホストを保護するために利用可能です。または、KibanaやGraylogなどの他のツールをツールのフロントエンドとして使用することもできます。

5.WIPS-NGを開きます

Open WIPSNGをリストに含めるべきかどうかはあまりわかりませんでした。すぐにそれについての詳細。これは主に、ワイヤレスネットワークを特に対象とする唯一の製品の1つであるために実現しました。WIPSNGを開く– WIPSはWireless Intrusion Prevention Systemの略で、3つの主要コンポーネントで構成されるオープンソースツールです。まず、センサーがあります。これは、ワイヤレストラフィックをキャプチャし、分析のためにサーバーに送信するだけのばかげたプロセスです。ご想像のとおり、次のコンポーネントはサーバーです。すべてのセンサーからのデータを集約し、収集したデータを分析して攻撃に対応します。このコンポーネントは、システムの心臓部です。最後に重要なのは、サーバーを管理し、ワイヤレスネットワークで見つかった脅威に関する情報を表示するために使用するGUIであるインターフェイスコンポーネントです。

Open WIPS NGをリストに含める前に躊躇した主な理由は、それが良いのですが、誰もが製品の開発者を気に入っているわけではないということです。これは、Aircrack NGと同じ開発者によるもので、すべてのWiFiハッカーのツールキットの一部であるワイヤレスパケットスニファおよびパスワードクラッカーです。これにより、開発者の倫理に関する議論が始まり、一部のユーザーは警戒するようになります。一方、開発者の経歴は、Wi-Fiセキュリティに関する彼の深い知識の証として見ることができます。

6. Fail2Ban

Fail2Banは、侵入防止機能を備えた比較的人気のある無料のホスト侵入検知システムです。このソフトウェアは、ログイン試行の失敗やエクスプロイトシークなどの疑わしいイベントがないかシステムログファイルを監視することで機能します。システムが疑わしいものを検出すると、ローカルファイアウォールルールを自動的に更新して、悪意のある動作の送信元IPアドレスをブロックします。もちろん、これは、ファイアウォールプロセスがローカルマシンで実行されていることを意味します。これがツールの主な欠点です。ただし、修正スクリプトの実行や電子メール通知の送信など、その他の任意のアクションを構成できます。

Fail2Banには、Apache、Courrier、SSH、FTP、Postfixなどの最も一般的なサービスのいくつかをカバーする、フィルターと呼ばれるいくつかの事前に構築された検出トリガーが付属しています。前述したように、修復アクションは、ホストのファイアウォールテーブルを変更することによって実行されます。Fail2Banは、Netfilter、IPtables、またはTCPWrapperのhosts.denyテーブルをサポートします。各フィルターは、1つまたは複数のアクションに関連付けることができます。これらを合わせて、フィルターとアクションはジェイルと呼ばれます。

7.Broネットワークセキュリティモニター

ブロネットワークセキュリティモニタはIPSのような機能を持つ別の自由なネットワーク侵入検知システムです。これは2つのフェーズで機能します。最初にトラフィックをログに記録し、次にそれを分析します。このツールは、アプリケーション層までの複数の層で動作し、分割侵入の試みをより適切に検出します。製品の分析モジュールは、2つの要素で構成されています。最初の要素はイベントエンジンと呼ばれ、その目的はTCP接続やHTTPリクエストなどのトリガーイベントを追跡することです。次に、イベントは2番目の要素であるポリシースクリプトによって分析されます。ポリシースクリプトの仕事は、アラームをトリガーするか、アクションを起動するか、イベントを無視するかを決定することです。これは、Bro Network SecurityMonitorにIPS機能を提供するアクションを起動する可能性です。

ブロネットワークセキュリティモニタは、いくつかの制限があります。HTTP、DNS、およびFTPアクティビティのみを追跡し、SNMPトラフィックも監視します。ただし、重大なセキュリティ上の欠陥があるにもかかわらず、SNMPはネットワーク監視によく使用されるため、これは良いことです。SNMPにはセキュリティがほとんど組み込まれておらず、暗号化されていないトラフィックを使用します。また、このプロトコルは構成の変更に使用できるため、悪意のあるユーザーによって簡単に悪用される可能性があります。この製品は、デバイス構成の変更とSNMPトラップも監視します。Unix、Linux、およびOS Xにインストールできますが、Windowsでは使用できません。これがおそらく主な欠点です。そうでなければ、これは試してみる価値のある非常に興味深いツールです。