2021년 최고의 침입 방지 시스템(IPS) 7가지

모든 사람은 침입자가 집에 들어오지 못하게 하고 싶어합니다. 마찬가지로, 그리고 비슷한 이유로 네트워크 관리자는 자신이 관리하는 네트워크에 침입자를 차단하려고 노력합니다. 오늘날 많은 조직의 가장 중요한 자산 중 하나는 데이터입니다. 많은 악의가 있는 사람들이 그 데이터를 훔치기 위해 많은 노력을 기울이는 것은 매우 중요합니다. 그들은 네트워크와 시스템에 대한 무단 액세스를 얻기 위해 광범위한 기술을 사용하여 이를 수행합니다. 이러한 공격의 수는 최근 기하급수적으로 증가한 것으로 보이며 이에 대응하여 이를 방지하기 위한 시스템이 마련되고 있습니다. 이러한 시스템을 침입 방지 시스템(IPS)이라고 합니다. 오늘 우리는 우리가 찾을 수 있는 최고의 침입 방지 시스템을 살펴보고 있습니다.

침입 방지가 무엇인지 더 잘 정의하는 것으로 시작하겠습니다. 물론 이것은 침입이 무엇인지 정의해야 함을 수반합니다. 그런 다음 일반적으로 사용되는 다양한 탐지 방법과 탐지 시 수행되는 수정 조치를 살펴보겠습니다. 그런 다음 수동적 침입 방지에 대해 간략히 설명하겠습니다. 이는 침입 시도 횟수를 크게 줄일 수 있는 정적 조치입니다. 그 중 일부가 컴퓨터와 관련이 없다는 사실을 알고 놀랄 수도 있습니다. 그래야만 우리 모두가 한 페이지에 모여서 우리가 찾을 수 있는 최고의 침입 방지 시스템을 마침내 검토할 수 있을 것입니다.

침입 방지 – 이것이 무엇에 관한 것입니까?

몇 년 전만 해도 바이러스는 시스템 관리자의 유일한 관심사였습니다. 바이러스가 너무 흔해서 업계에서는 바이러스 보호 도구를 개발하여 대응했습니다. 오늘날 올바른 정신을 가진 진지한 사용자는 바이러스 보호 없이 컴퓨터를 실행하는 것을 생각하지 않을 것입니다. 더 이상 바이러스가 많이 들리지 않지만 침입 또는 악의적인 사용자가 데이터에 무단으로 액세스하는 것이 새로운 위협입니다. 데이터가 조직의 가장 중요한 자산인 경우가 많기 때문에 기업 네트워크는 악의적인 해커의 표적이 되어 데이터에 액세스하기 위해 많은 노력을 기울입니다. 바이러스 보호 소프트웨어가 바이러스 확산에 대한 해답이었던 것처럼 침입 방지 시스템은 침입자 공격에 대한 해답입니다.

침입 방지 시스템은 기본적으로 두 가지 작업을 수행합니다. 첫째, 침입 시도를 감지하고 의심스러운 활동을 감지하면 다양한 방법을 사용하여 이를 차단하거나 차단합니다. 침입 시도를 탐지할 수 있는 두 가지 다른 방법이 있습니다. 서명 기반 탐지는 네트워크 트래픽과 데이터를 분석하고 침입 시도와 관련된 특정 패턴을 찾는 방식으로 작동합니다. 이것은 바이러스 정의에 의존하는 기존의 바이러스 보호 시스템과 유사합니다. 서명 기반 침입 탐지는 침입 서명 또는 패턴에 의존합니다. 이 탐지 방법의 주요 단점은 소프트웨어에 로드하려면 적절한 서명이 필요하다는 것입니다. 그리고 새로운 공격 방법의 경우 일반적으로 공격 서명이 업데이트되기까지 지연이 있습니다. 일부 공급업체는 업데이트된 공격 서명을 제공하는 데 매우 빠르지만 다른 공급업체는 훨씬 느립니다. 서명 업데이트 빈도와 속도는 공급업체를 선택할 때 고려해야 할 중요한 요소입니다.

이상 기반 탐지는 탐지 서명이 업데이트되기 전에 발생하는 제로 데이 공격에 대해 더 나은 보호 기능을 제공합니다. 프로세스는 알려진 침입 패턴을 인식하는 대신 이상을 찾습니다. 예를 들어, 누군가가 연속적으로 잘못된 암호로 시스템에 액세스하려고 시도하면 무차별 대입 공격의 일반적인 징후가 트리거됩니다. 이것은 단지 예일 뿐이며 일반적으로 이러한 시스템을 트리거할 수 있는 수백 가지의 의심스러운 활동이 있습니다. 두 가지 탐지 방법 모두 장단점이 있습니다. 최고의 도구는 최상의 보호를 위해 서명과 행동 분석의 조합을 사용하는 도구입니다.

침입 시도를 감지하는 것은 이를 방지하는 첫 번째 부분입니다. 탐지된 침입 방지 시스템은 탐지된 활동을 적극적으로 중지합니다. 이러한 시스템은 여러 가지 다른 교정 조치를 취할 수 있습니다. 예를 들어 사용자 계정을 일시 중지하거나 비활성화할 수 있습니다. 또 다른 일반적인 작업은 공격의 소스 IP 주소를 차단하거나 방화벽 규칙을 수정하는 것입니다. 악성 활동이 특정 프로세스에서 발생하면 방지 시스템이 프로세스를 종료할 수 있습니다. 일부 보호 프로세스를 시작하는 것은 또 다른 일반적인 반응이며 최악의 경우 잠재적인 손상을 제한하기 위해 전체 시스템을 종료할 수 있습니다. 침입 방지 시스템의 또 다른 중요한 작업은 관리자에게 경고하고, 이벤트를 기록하고, 의심스러운 활동을 보고하는 것입니다.

수동적 침입 방지 조치

침입 방지 시스템은 수많은 유형의 공격으로부터 사용자를 보호할 수 있지만, 좋은 구식 수동 침입 방지 조치를 능가하는 것은 없습니다. 예를 들어, 강력한 암호를 요구하는 것은 많은 침입으로부터 보호하는 훌륭한 방법입니다. 또 다른 쉬운 보호 조치는 장비 기본 암호를 변경하는 것입니다. 회사 네트워크에서는 덜 자주 발생하지만 전례가 없는 것은 아니지만 여전히 기본 관리자 암호가 있는 인터넷 게이트웨이를 너무 자주 보았습니다. 암호라는 주제에 대해 암호 에이징은 침입 시도를 줄이기 위해 적용할 수 있는 또 다른 구체적인 단계입니다. 아무리 좋은 암호라도 충분한 시간이 주어지면 결국 해독될 수 있습니다. 암호 에이징은 암호가 해독되기 전에 암호가 변경되도록 합니다.

수동적으로 침입을 방지하기 위해 할 수 있는 일의 예가 있었습니다. 우리는 어떤 수동적 조치를 취할 수 있는지에 대한 전체 게시물을 작성할 수 있지만 이것이 오늘날 우리의 목표가 아닙니다. 대신 우리의 목표는 최고의 활성 침입 방지 시스템을 제시하는 것입니다.

최고의 침입 방지 시스템

우리 목록에는 침입 시도로부터 보호하는 데 사용할 수 있는 다양한 도구가 포함되어 있습니다. 포함된 대부분의 도구는 진정한 침입 방지 시스템이지만 이러한 도구는 판매되지는 않지만 침입을 방지하는 데 사용할 수 있는 도구도 포함되어 있습니다. 첫 번째 항목이 그러한 예입니다. 무엇보다 어떤 도구를 사용할지 선택하는 것은 귀하의 특정 요구 사항에 따라 결정되어야 함을 기억하십시오. 이제 각 최고의 도구가 제공하는 기능을 살펴보겠습니다.

1. SolarWinds 로그 및 이벤트 관리자(무료 평가판)

SolarWinds는 네트워크 관리 분야에서 잘 알려진 이름입니다. 최고의 네트워크 및 시스템 관리 도구를 만드는 것으로 확고한 명성을 누리고 있습니다. 주력 제품인 Network Performance Monitor는 사용 가능한 최고의 네트워크 대역폭 모니터링 도구 중 하나로 지속적으로 점수를 매겼습니다. SolarWinds는 또한 각각 네트워크 관리자의 특정 요구 사항을 해결하는 많은 무료 도구로 유명합니다. Kiwi Syslog Server 또는 SolarWinds TFTP 서버는 이러한 무료 도구의 두 가지 훌륭한 예입니다.

SolarWinds Log & Event Manager 의 이름에 속지 마십시오 . 눈에 보이는 것보다 훨씬 더 많은 것이 있습니다. 이 제품의 고급 기능 중 일부는 침입 탐지 및 방지 시스템으로 인정되는 반면 다른 일부는 SIEM(Security Information and Event Management) 범위에 포함됩니다. 예를 들어 이 도구는 실시간 이벤트 상관 관계 및 실시간 수정 기능을 제공합니다.

• 무료 평가판: SolarWinds 로그 및 이벤트 관리자
• 공식 다운로드 링크: https://www.solarwinds.com/log-event-manager-software/registration

솔라 윈즈 로그 및 이벤트 관리자는 의심스러운 활동의 순간 감지 (침입 탐지 기능) 및 자동 응답 (침입 방지 기능)을 자랑합니다. 이 도구는 보안 이벤트 조사 및 포렌식을 수행하는 데에도 사용할 수 있습니다. 완화 및 규정 준수 목적으로 사용할 수 있습니다. 이 도구는 HIPAA, PCI-DSS 및 SOX와 같은 다양한 규제 프레임워크의 준수를 입증하는 데 사용할 수도 있는 감사로 입증된 보고 기능을 제공합니다. 이 도구에는 파일 무결성 모니터링 및 USB 장치 모니터링 기능도 있습니다. 소프트웨어의 모든 고급 기능은 이름만 들어도 믿을 수 있는 로그 및 이벤트 관리 시스템 이상의 통합 보안 플랫폼입니다.

SolarWinds Log & Event Manager 의 침입 방지 기능은 위협이 감지될 때마다 능동적 대응이라는 작업을 구현하여 작동합니다. 다른 응답을 특정 경고에 연결할 수 있습니다. 예를 들어, 시스템은 방화벽 테이블에 기록하여 의심스러운 활동을 수행하는 것으로 식별된 소스 IP 주소의 네트워크 액세스를 차단할 수 있습니다. 이 도구는 또한 사용자 계정을 일시 중단하고 프로세스를 중지 또는 시작하고 시스템을 종료할 수 있습니다. 이것이 우리가 이전에 식별한 수정 조치가 정확히 무엇인지 기억할 것입니다.

SolarWinds Log & Event Manager 의 가격 은 모니터링되는 노드 수에 따라 다릅니다. 가격은 최대 30개의 모니터링되는 노드에 대해 $4,585부터 시작하며 최대 2500개의 노드에 대한 라이선스를 구입하여 제품을 확장할 수 있습니다. 제품을 테스트 실행하고 자신에게 적합한지 직접 확인하려면 모든 기능을 갖춘 무료 30일 평가판을 사용할 수 있습니다 .

2. 스플렁크

Splunk 는 가장 널리 사용되는 침입 방지 시스템 중 하나일 것입니다. 다양한 기능 세트를 자랑하는 여러 버전으로 제공됩니다. Splunk Enterprise Security( 또는 Splunk ES 라고도 함)는 진정한 침입 방지에 필요한 것입니다. 이 소프트웨어는 시스템의 데이터를 실시간으로 모니터링하여 취약점과 비정상적인 활동의 징후를 찾습니다.

보안 대응은 제품의 강력한 기능 중 하나이며 침입 방지 시스템입니다. 공급업체에서 ARF(Adaptive Response Framework)라고 부르는 것을 사용합니다. 55개 이상의 보안 공급업체의 장비와 통합되고 자동화된 응답을 수행하여 수동 작업의 속도를 높일 수 있습니다. 자동화된 수정 및 수동 개입이 있는 경우 이러한 조합을 통해 신속하게 우위를 점할 수 있는 최상의 기회를 얻을 수 있습니다. 이 도구에는 간단하고 깔끔한 사용자 인터페이스가 있어 성공적인 솔루션을 제공합니다. 다른 흥미로운 보호 기능에는 사용자 정의 가능한 경고를 표시하는 "주목할 만한" 기능과 악의적인 활동에 플래그를 지정하고 추가 문제를 방지하는 "자산 조사기"가 있습니다.

Splunk Enterprise Security 의 가격 정보는 쉽게 구할 수 없습니다. 자세한 견적을 받으려면 Splunk 영업팀에 문의해야 합니다. 이것은 무료 평가판을 사용할 수 있는 훌륭한 제품입니다.

3. 사간

Sagan 은 기본적으로 무료 침입 탐지 시스템입니다. 그러나 침입 방지 시스템 범주에 배치할 수 있는 스크립트 실행 기능이 있는 도구입니다. Sagan 은 로그 파일 모니터링을 통해 침입 시도를 감지합니다. 또한 결합 할 수 있습니다 세이건을 그 출력을 공급할 수 스 노트와 세이건이 도구를 일부 네트워크 기반 침입 탐지 기능을 제공합니다. 사실, Sagan 은 최상의 보호를 위해 여러 도구의 기능을 결합하여 Bro 또는 Suricata와 같은 다른 많은 도구로부터 정보를 받을 수 있습니다.

에 캐치있다 세이건 의 스크립트 실행 기능을하지만. 수정 스크립트를 작성해야 합니다. 이 도구는 침입에 대한 유일한 방어 수단으로 가장 적합하지 않을 수 있지만, 다양한 소스의 이벤트를 연관시켜 여러 도구를 통합하여 많은 제품 중 최고를 제공하는 시스템의 핵심 구성 요소일 수 있습니다.

Sagan 은 Linux, Unix 및 Mac OS에만 설치할 수 있지만 Windows 시스템에 연결하여 이벤트를 가져올 수 있습니다. Sagan의 다른 흥미로운 기능으로는 IP 주소 위치 추적 및 분산 처리가 있습니다.

4. OSSEC

오픈 소스 보안 , 또는 OSSEC은 , 하나의 선도적 인 오픈 소스 호스트 기반 침입 탐지 시스템입니다. 두 가지 이유로 목록에 포함시켰습니다. 특히 이 도구를 사용하면 특정 경고가 트리거될 때마다 자동으로 수행되는 작업을 지정하여 일부 침입 방지 기능을 제공한다는 점을 고려하면 이 도구를 포함해야 할 정도로 인기가 있습니다. OSSEC 는 IT 보안 분야의 선두주자이자 최고의 바이러스 보호 제품군 중 하나인 Trend Micro가 소유하고 있습니다.

Unix 계열 운영 체제에 설치된 경우 소프트웨어의 탐지 엔진은 주로 로그 및 구성 파일에 중점을 둡니다. 중요한 파일의 체크섬을 생성하고 주기적으로 확인하여 이상한 일이 발생할 때마다 경고하거나 수정 조치를 트리거합니다. 또한 루트 액세스 권한을 얻으려는 비정상적인 시도를 모니터링하고 경고합니다. Windows에서 시스템은 악의적인 활동의 신호가 될 수 있으므로 무단 레지스트리 수정을 감시합니다. 모든 탐지는 알림이 이메일로도 전송되는 동안 중앙 콘솔에 표시되는 경고를 트리거합니다.

OSSEC 는 호스트 기반 침입 방지 시스템입니다. 따라서 보호하려는 각 컴퓨터에 설치해야 합니다. 그러나 중앙 콘솔은 보다 쉬운 관리를 위해 보호된 각 컴퓨터의 정보를 통합합니다. OSSEC의 콘솔은 유닉스와 유사한 운영 체제에서 실행하지만 에이전트는 Windows 호스트를 보호 할 수 있습니다. 또는 Kibana 또는 Graylog와 같은 다른 도구를 도구의 프런트 엔드로 사용할 수 있습니다.

5. WIPS-NG 열기

Open WIPS NG 를 목록에 포함해야 하는지 확신이 없었습니다 . 잠시 후에 자세히 알아보십시오. 그것은 주로 무선 네트워크를 대상으로 하는 유일한 제품 중 하나이기 때문에 가능했습니다. WIPS NG 열기WIPS는 Wireless Intrusion Prevention System의 약자이며 세 가지 주요 구성 요소로 구성된 오픈 소스 도구입니다. 먼저 센서가 있습니다. 이것은 단순히 무선 트래픽을 캡처하여 분석을 위해 서버로 보내는 단순한 프로세스입니다. 짐작하셨겠지만 다음 구성 요소는 서버입니다. 모든 센서의 데이터를 집계하고 수집된 데이터를 분석하여 공격에 대응합니다. 이 구성 요소는 시스템의 핵심입니다. 마지막으로 중요한 것은 서버를 관리하고 무선 네트워크에서 발견된 위협에 대한 정보를 표시하는 데 사용하는 GUI인 인터페이스 구성 요소입니다.

Open WIPS NG 를 목록에 포함하기 전에 주저했던 주된 이유 는 모든 사람이 제품 개발자를 좋아하지 않기 때문입니다. 모든 WiFi 해커 툴킷의 일부인 무선 패킷 스니퍼 및 암호 크래커인 Aircrack NG와 동일한 개발자가 제공합니다. 이것은 개발자의 윤리에 대한 논쟁을 불러일으키고 일부 사용자는 경계하게 만듭니다. 반면에 개발자의 배경은 Wi-Fi 보안에 대한 그의 깊은 지식의 증거로 볼 수 있습니다.

6. 페일투밴

Fail2Ban 은 침입 방지 기능을 갖춘 비교적 인기 있는 무료 호스트 침입 탐지 시스템입니다. 이 소프트웨어는 로그인 시도 실패 또는 악용 검색과 같은 의심스러운 이벤트에 대해 시스템 로그 파일을 모니터링하여 작동합니다. 시스템이 의심스러운 것을 감지하면 악성 행위의 소스 IP 주소를 차단하도록 로컬 방화벽 규칙을 자동으로 업데이트하여 대응합니다. 물론 이것은 일부 방화벽 프로세스가 로컬 시스템에서 실행되고 있음을 의미합니다. 이것이 이 도구의 주요 단점입니다. 그러나 일부 수정 스크립트 실행 또는 이메일 알림 전송과 같은 기타 임의 작업을 구성할 수 있습니다.

Fail2Ban 에는 Apache, Courier, SSH, FTP, Postfix 등과 같은 가장 일반적인 서비스를 다루는 필터라고 하는 몇 가지 사전 구축된 감지 트리거가 제공됩니다. 앞서 말했듯이 수정 조치는 호스트의 방화벽 테이블을 수정하여 수행됩니다. Fail2Ban 은 Netfilter, IPtables 또는 TCP Wrapper의 hosts.deny 테이블을 지원합니다. 각 필터는 하나 이상의 작업과 연관될 수 있습니다. 필터와 작업을 함께 감옥이라고 합니다.

7. 브로 네트워크 보안 모니터

브로 네트워크 보안 모니터는 IPS와 같은 기능을 가진 다른 무료 네트워크 침입 탐지 시스템입니다. 두 단계로 작동하며 먼저 트래픽을 기록한 다음 분석합니다. 이 도구는 분할 침입 시도의 더 나은 탐지를 설명하는 응용 프로그램 계층까지 여러 계층에서 작동합니다. 제품의 분석 모듈은 두 가지 요소로 구성됩니다. 첫 번째 요소는 이벤트 엔진이라고 하며 그 목적은 TCP 연결 또는 HTTP 요청과 같은 트리거 이벤트를 추적하는 것입니다. 그런 다음 이벤트는 두 번째 요소인 정책 스크립트에 의해 분석됩니다. 정책 스크립트의 작업은 경보를 트리거할지, 작업을 실행할지 또는 이벤트를 무시할지 결정하는 것입니다. Bro Network Security Monitor 에 IPS 기능 을 제공하는 작업을 시작할 가능성이 있습니다.

브로 네트워크 보안 모니터는 몇 가지 제한 사항이 있습니다. HTTP, DNS 및 FTP 활동만 추적하고 SNMP 트래픽도 모니터링합니다. SNMP는 심각한 보안 결함에도 불구하고 네트워크 모니터링에 자주 사용되기 때문에 이는 좋은 일입니다. SNMP는 보안이 거의 내장되어 있지 않으며 암호화되지 않은 트래픽을 사용합니다. 그리고 프로토콜을 사용하여 구성을 수정할 수 있으므로 악의적인 사용자가 쉽게 악용할 수 있습니다. 제품은 또한 장치 구성 변경 및 SNMP 트랩을 주시합니다. Unix, Linux 및 OS X에 설치할 수 있지만 Windows에서는 사용할 수 없으며 이것이 주요 단점일 수 있습니다. 그렇지 않으면 시도해 볼 가치가 있는 매우 흥미로운 도구입니다.