7 hệ thống ngăn chặn xâm nhập tốt nhất (IPS) cho năm 2021

Mọi người đều muốn ngăn những kẻ đột nhập ra khỏi nhà của họ. Tương tự như vậy — và vì những lý do tương tự, quản trị viên mạng cố gắng ngăn những kẻ xâm nhập ra khỏi mạng mà họ quản lý. Một trong những tài sản quan trọng nhất của nhiều tổ chức ngày nay là dữ liệu của họ. Nó quan trọng đến mức nhiều cá nhân có ý đồ xấu sẽ dùng mọi cách để đánh cắp dữ liệu đó. Họ làm điều đó bằng cách sử dụng một loạt các kỹ thuật để truy cập trái phép vào mạng và hệ thống. Số lượng các cuộc tấn công như vậy dường như đã tăng lên theo cấp số nhân gần đây và theo phản ứng, các hệ thống đang được đưa ra để ngăn chặn chúng. Những hệ thống đó được gọi là Hệ thống ngăn chặn xâm nhập, hoặc IPS. Hôm nay, chúng tôi sẽ xem xét các hệ thống ngăn chặn xâm nhập tốt nhất mà chúng tôi có thể tìm thấy.

Chúng tôi sẽ bắt đầu bằng cách cố gắng xác định rõ hơn Phòng chống xâm nhập là gì. Tất nhiên, điều này đòi hỏi rằng chúng tôi cũng sẽ định nghĩa xâm nhập là gì. Sau đó, chúng tôi sẽ khám phá các phương pháp phát hiện khác nhau thường được sử dụng và những hành động khắc phục nào được thực hiện khi phát hiện. Sau đó, chúng ta sẽ nói ngắn gọn về phòng chống xâm nhập thụ động. Chúng là các biện pháp tĩnh có thể được thực hiện có thể làm giảm đáng kể số lần xâm nhập. Bạn có thể ngạc nhiên khi biết rằng một số trong số đó không liên quan gì đến máy tính. Chỉ khi đó, với tất cả chúng ta trên cùng một trang, cuối cùng chúng ta mới có thể xem xét một số Hệ thống Phòng chống xâm nhập tốt nhất mà chúng ta có thể tìm thấy.

Phòng chống xâm nhập - Tất cả về điều này là gì?

Nhiều năm trước, virus là mối quan tâm duy nhất của các quản trị viên hệ thống. Vi rút đã phổ biến đến mức ngành công nghiệp phản ứng bằng cách phát triển các công cụ bảo vệ vi rút. Ngày nay, không một người dùng nghiêm túc nào có suy nghĩ đúng đắn về việc chạy một máy tính mà không có tính năng bảo vệ chống vi-rút. Mặc dù chúng ta không còn nghe thấy nhiều về vi-rút nữa, nhưng sự xâm nhập — hoặc sự truy cập trái phép vào dữ liệu của bạn bởi những người dùng độc hại — là mối đe dọa mới. Với việc dữ liệu thường là tài sản quan trọng nhất của tổ chức, các mạng công ty đã trở thành mục tiêu của những tin tặc có mục đích xấu, những kẻ này sẽ phải cố gắng rất nhiều để có được quyền truy cập vào dữ liệu. Cũng giống như phần mềm bảo vệ chống vi-rút là câu trả lời cho sự gia tăng của vi-rút, Hệ thống ngăn chặn xâm nhập là câu trả lời cho các cuộc tấn công của kẻ xâm nhập.

Hệ thống Phòng chống xâm nhập về cơ bản làm hai việc. Đầu tiên, họ phát hiện các nỗ lực xâm nhập và khi họ phát hiện bất kỳ hoạt động đáng ngờ nào, họ sử dụng các phương pháp khác nhau để ngăn chặn hoặc chặn nó. Có hai cách khác nhau để phát hiện các nỗ lực xâm nhập. Tính năng phát hiện dựa trên chữ ký hoạt động bằng cách phân tích lưu lượng mạng và dữ liệu và tìm kiếm các mẫu cụ thể liên quan đến các nỗ lực xâm nhập. Điều này tương tự như các hệ thống bảo vệ chống vi rút truyền thống dựa trên các định nghĩa về vi rút. Phát hiện xâm nhập dựa trên chữ ký dựa trên chữ ký hoặc mẫu xâm nhập. Hạn chế chính của phương pháp phát hiện này là nó cần các chữ ký thích hợp để được tải vào phần mềm. Và khi một phương pháp tấn công mới, thường có độ trễ trước khi các chữ ký tấn công được cập nhật. Một số nhà cung cấp rất nhanh trong việc cung cấp các chữ ký tấn công cập nhật trong khi những nhà cung cấp khác thì chậm hơn nhiều. Tần suất và tần suất cập nhật chữ ký nhanh như thế nào là một yếu tố quan trọng cần xem xét khi lựa chọn nhà cung cấp.

Tính năng phát hiện dựa trên sự bất thường cung cấp khả năng bảo vệ tốt hơn chống lại các cuộc tấn công zero-day, những cuộc tấn công xảy ra trước khi chữ ký phát hiện có cơ hội được cập nhật. Quá trình tìm kiếm sự bất thường thay vì cố gắng nhận ra các mẫu xâm nhập đã biết. Ví dụ: nó sẽ được kích hoạt nếu ai đó cố gắng truy cập vào hệ thống bằng mật khẩu sai nhiều lần liên tiếp, một dấu hiệu phổ biến của một cuộc tấn công vũ phu. Đây chỉ là một ví dụ và thường có hàng trăm hoạt động đáng ngờ khác nhau có thể kích hoạt các hệ thống này. Cả hai phương pháp phát hiện đều có những ưu điểm và nhược điểm của chúng. Các công cụ tốt nhất là những công cụ sử dụng kết hợp phân tích chữ ký và hành vi để bảo vệ tốt nhất.

Phát hiện nỗ lực xâm nhập là một trong những phần đầu tiên của việc ngăn chặn chúng. Sau khi được phát hiện, Hệ thống ngăn chặn xâm nhập hoạt động tích cực để ngăn chặn các hoạt động được phát hiện. Các hệ thống này có thể thực hiện một số hành động khắc phục hậu quả khác nhau. Chẳng hạn, họ có thể tạm ngưng hoặc hủy kích hoạt tài khoản người dùng. Một hành động điển hình khác là chặn địa chỉ IP nguồn của cuộc tấn công hoặc sửa đổi các quy tắc tường lửa. Nếu hoạt động độc hại đến từ một quy trình cụ thể, hệ thống ngăn chặn có thể giết chết quy trình đó. Bắt đầu một số quy trình bảo vệ là một phản ứng phổ biến khác và trong trường hợp xấu nhất, toàn bộ hệ thống có thể được tắt để hạn chế thiệt hại tiềm ẩn. Một nhiệm vụ quan trọng khác của Hệ thống phòng chống xâm nhập là cảnh báo cho quản trị viên, ghi lại sự kiện và báo cáo các hoạt động đáng ngờ.

Các biện pháp ngăn chặn xâm nhập thụ động

Mặc dù Hệ thống ngăn chặn xâm nhập có thể bảo vệ bạn chống lại nhiều loại tấn công, nhưng không có gì đánh bại được các biện pháp ngăn chặn xâm nhập thụ động kiểu cũ, tốt. Ví dụ, yêu cầu mật khẩu mạnh là một cách tuyệt vời để bảo vệ chống lại nhiều cuộc xâm nhập. Một biện pháp bảo vệ dễ dàng khác là thay đổi mật khẩu mặc định của thiết bị. Mặc dù nó ít xảy ra hơn trong các mạng công ty - mặc dù không phải là chưa từng thấy - tôi chỉ thấy các cổng Internet quá thường xuyên vẫn có mật khẩu quản trị mặc định của chúng. Mặc dù về chủ đề mật khẩu, việc lão hóa mật khẩu là một bước cụ thể khác có thể được thực hiện để giảm các nỗ lực xâm nhập. Bất kỳ mật khẩu nào, ngay cả mật khẩu tốt nhất, cuối cùng cũng có thể bị bẻ khóa, nếu có đủ thời gian. Quá trình lão hóa mật khẩu đảm bảo rằng mật khẩu sẽ bị thay đổi trước khi chúng bị bẻ khóa.

Chỉ có những ví dụ về những gì có thể được thực hiện để ngăn chặn các cuộc xâm nhập một cách thụ động. Chúng tôi có thể viết cả một bài về những biện pháp thụ động có thể được áp dụng nhưng đây không phải là mục tiêu của chúng tôi ngày nay. Thay vào đó, mục tiêu của chúng tôi là giới thiệu một số Hệ thống Ngăn chặn Xâm nhập đang hoạt động tốt nhất.

Các hệ thống ngăn chặn xâm nhập tốt nhất

Danh sách của chúng tôi chứa nhiều công cụ khác nhau có thể được sử dụng để bảo vệ chống lại các nỗ lực xâm nhập. Hầu hết các công cụ được bao gồm là Hệ thống ngăn chặn xâm nhập thực sự nhưng chúng tôi cũng bao gồm các công cụ, mặc dù không được bán trên thị trường, nhưng có thể được sử dụng để ngăn chặn xâm nhập. Mục nhập đầu tiên của chúng tôi là một trong những ví dụ như vậy. Hãy nhớ rằng, hơn bất cứ điều gì, việc bạn lựa chọn công cụ nào để sử dụng phải được hướng dẫn bởi nhu cầu cụ thể của bạn. Vì vậy, hãy xem mỗi công cụ hàng đầu của chúng tôi có gì để cung cấp.

1. SolarWinds Log & Event Manager (DÙNG THỬ MIỄN PHÍ)

SolarWinds là một cái tên nổi tiếng trong lĩnh vực quản trị mạng. Nó có danh tiếng vững chắc về việc tạo ra một số công cụ quản trị hệ thống và mạng tốt nhất. Sản phẩm hàng đầu của nó, Network Performance Monitor luôn đạt điểm trong số các công cụ giám sát băng thông mạng hàng đầu hiện có. SolarWinds cũng nổi tiếng với nhiều công cụ miễn phí, mỗi công cụ giải quyết một nhu cầu cụ thể của người quản trị mạng. Máy chủ Kiwi Syslog hoặc máy chủ SolarWinds TFTP là hai ví dụ tuyệt vời về các công cụ miễn phí này.

Đừng để tên của SolarWinds Log & Event Manager đánh lừa bạn. Có nhiều điều hơn là nhìn thấy nó. Một số tính năng nâng cao của sản phẩm này coi nó là một hệ thống phát hiện và ngăn chặn xâm nhập trong khi những tính năng khác đưa nó vào phạm vi Quản lý Sự kiện và Thông tin Bảo mật (SIEM). Ví dụ, công cụ này có tính năng tương quan sự kiện trong thời gian thực và khắc phục sự kiện trong thời gian thực.

• DÙNG THỬ MIỄN PHÍ: SolarWinds Log & Event Manager
• Liên kết tải xuống chính thức: https://www.solarwinds.com/log-event-manager-software/registration

Các SolarWinds Log & Event Manager tự hào phát hiện tức thời của hoạt động đáng ngờ (một chức năng phát hiện xâm nhập) và phản ứng tự động (một chức năng ngăn chặn xâm nhập). Công cụ này cũng có thể được sử dụng để thực hiện điều tra sự kiện bảo mật và pháp y. Nó có thể được sử dụng cho các mục đích giảm thiểu và tuân thủ. Công cụ này có tính năng báo cáo đã được kiểm toán chứng minh, cũng có thể được sử dụng để chứng minh sự tuân thủ với các khuôn khổ quy định khác nhau như HIPAA, PCI-DSS và SOX. Công cụ này cũng có chức năng giám sát tính toàn vẹn của tệp và giám sát thiết bị USB. Tất cả các tính năng nâng cao của phần mềm làm cho nó trở thành một nền tảng bảo mật tích hợp hơn là chỉ hệ thống quản lý nhật ký và sự kiện mà tên của nó sẽ khiến bạn tin tưởng.

Các tính năng Ngăn chặn Xâm nhập của Trình quản lý sự kiện & Nhật ký SolarWinds hoạt động bằng cách triển khai các hành động được gọi là Phản hồi chủ động bất cứ khi nào phát hiện thấy các mối đe dọa. Các phản hồi khác nhau có thể được liên kết với các cảnh báo cụ thể. Ví dụ, hệ thống có thể ghi vào các bảng tường lửa để chặn truy cập mạng của một địa chỉ IP nguồn đã được xác định là đang thực hiện các hoạt động đáng ngờ. Công cụ này cũng có thể tạm ngưng tài khoản người dùng, dừng hoặc bắt đầu các quy trình và tắt hệ thống. Bạn sẽ nhớ lại đây chính xác là những hành động khắc phục mà chúng tôi đã xác định trước đây như thế nào.

Giá cho SolarWinds Log & Event Manager thay đổi dựa trên số lượng các nút được giám sát. Giá bắt đầu từ $ 4,585 cho tối đa 30 nút được giám sát và có thể mua giấy phép cho tối đa 2500 nút, làm cho sản phẩm có khả năng mở rộng cao. Nếu bạn muốn mang sản phẩm để chạy thử và tự xem liệu nó có phù hợp với mình hay không, bạn có thể sử dụng bản dùng thử 30 ngày đầy đủ tính năng miễn phí .

2. Splunk

Splunk có thể là một trong những Hệ thống Ngăn chặn Xâm nhập phổ biến nhất. Nó có sẵn trong một số phiên bản khác nhau thể hiện các bộ tính năng khác nhau. Splunk Enterprise Security –hoặc Splunk ES , như nó thường được gọi – là những gì bạn cần để Ngăn chặn Xâm nhập thực sự. Phần mềm giám sát dữ liệu hệ thống của bạn trong thời gian thực, tìm kiếm các lỗ hổng và dấu hiệu hoạt động bất thường.

Phản hồi bảo mật là một trong những điểm mạnh của sản phẩm và điều khiến nó trở thành Hệ thống ngăn chặn xâm nhập. Nó sử dụng cái mà nhà cung cấp gọi là Khung phản ứng thích ứng (ARF). Nó tích hợp với thiết bị của hơn 55 nhà cung cấp bảo mật và có thể thực hiện phản hồi tự động, tăng tốc các tác vụ thủ công. Sự kết hợp này nếu khắc phục tự động và can thiệp thủ công có thể mang lại cho bạn cơ hội tốt nhất để nhanh chóng chiếm được ưu thế. Công cụ này có giao diện người dùng đơn giản và gọn gàng, tạo ra một giải pháp chiến thắng. Các tính năng bảo vệ thú vị khác bao gồm chức năng “Notables” hiển thị cảnh báo người dùng có thể tùy chỉnh và “Người điều tra tài sản” để gắn cờ các hoạt động độc hại và ngăn ngừa các vấn đề khác.

Thông tin về giá của Splunk Enterprise Security không có sẵn. Bạn sẽ cần liên hệ với bộ phận bán hàng của Splunk để nhận báo giá chi tiết. Đây là một sản phẩm tuyệt vời có sẵn bản dùng thử miễn phí.

3. Sagan

Sagan về cơ bản là một hệ thống phát hiện xâm nhập miễn phí. Tuy nhiên, công cụ có khả năng thực thi tập lệnh có thể xếp nó vào danh mục Hệ thống ngăn chặn xâm nhập. Sagan phát hiện các nỗ lực xâm nhập thông qua việc giám sát các tệp nhật ký. Bạn cũng có thể kết hợp Sagan với Snort có thể cung cấp đầu ra của nó cho Sagan để cung cấp cho công cụ một số khả năng phát hiện xâm nhập dựa trên mạng. Trên thực tế, Sagan có thể nhận thông tin đầu vào từ nhiều công cụ khác như Bro hoặc Suricata, kết hợp khả năng của một số công cụ để bảo vệ tốt nhất có thể.

Tuy nhiên, khả năng thực thi tập lệnh của Sagan có một điểm khó khăn . Bạn phải viết các kịch bản khắc phục. Mặc dù tốt nhất công cụ này có thể không được sử dụng làm biện pháp bảo vệ duy nhất của bạn chống lại sự xâm nhập, nhưng nó có thể là thành phần quan trọng của hệ thống kết hợp một số công cụ bằng cách tương quan các sự kiện từ các nguồn khác nhau, mang lại cho bạn nhiều sản phẩm tốt nhất.

Mặc dù Sagan chỉ có thể được cài đặt trên Linux, Unix và Mac OS, nó có thể kết nối với các hệ thống Windows để nhận các sự kiện của chúng. Các tính năng thú vị khác của Sagan bao gồm theo dõi vị trí địa chỉ IP và xử lý phân tán.

4. OSSEC

Bảo mật nguồn mở , hay OSSEC , là một trong những Hệ thống phát hiện xâm nhập dựa trên máy chủ mã nguồn mở hàng đầu. Chúng tôi đưa nó vào danh sách của mình vì hai lý do. Tính phổ biến của nó đến mức chúng tôi đã phải đưa nó vào, đặc biệt khi xem xét rằng công cụ này cho phép bạn chỉ định các hành động được thực hiện tự động bất cứ khi nào các cảnh báo cụ thể được kích hoạt, mang lại cho nó một số khả năng Ngăn chặn Xâm nhập. OSSEC thuộc sở hữu của Trend Micro, một trong những tên tuổi hàng đầu trong lĩnh vực bảo mật CNTT và là nhà sản xuất một trong những bộ bảo vệ chống vi-rút tốt nhất.

Khi được cài đặt trên các hệ điều hành giống Unix, công cụ phát hiện của phần mềm chủ yếu tập trung vào các tệp nhật ký và cấu hình. Nó tạo tổng kiểm tra của các tệp quan trọng và định kỳ xác minh chúng, cảnh báo cho bạn hoặc kích hoạt hành động khắc phục bất cứ khi nào có điều gì đó kỳ lạ xảy ra. Nó cũng sẽ theo dõi và cảnh báo về bất kỳ nỗ lực bất thường nào trong việc lấy quyền truy cập root. Trên Windows, hệ thống cũng theo dõi các sửa đổi đăng ký trái phép vì chúng có thể là dấu hiệu cho thấy hoạt động độc hại. Mọi phát hiện sẽ kích hoạt một cảnh báo sẽ được hiển thị trên bảng điều khiển tập trung trong khi thông báo cũng sẽ được gửi qua email.

OSSEC là một hệ thống bảo vệ chống xâm nhập dựa trên máy chủ. Do đó, nó cần được cài đặt trên mỗi máy tính mà bạn muốn bảo vệ. Tuy nhiên, một bảng điều khiển tập trung hợp nhất thông tin từ mỗi máy tính được bảo vệ để quản lý dễ dàng hơn. Các OSSEC console chỉ chạy trên hệ điều hành Unix-Like nhưng một đại lý có sẵn để bảo vệ máy chủ Windows. Ngoài ra, các công cụ khác như Kibana hoặc Graylog có thể được sử dụng làm giao diện người dùng của công cụ.

5. Mở WIPS-NG

Chúng tôi không quá chắc chắn liệu chúng tôi có nên đưa Open WIPS NG vào danh sách của mình hay không. Thông tin thêm về nó trong giây lát. Nó tạo ra nó chủ yếu vì đây là một trong những sản phẩm duy nhất nhắm mục tiêu cụ thể đến mạng không dây. Mở WIPS NG–Trong đó WIPS là viết tắt của Hệ thống Ngăn chặn Xâm nhập Không dây – là một công cụ mã nguồn mở được tạo ra từ ba thành phần chính. Đầu tiên, đó là cảm biến. Đây là một quá trình ngu ngốc chỉ đơn giản là thu thập lưu lượng truy cập không dây và gửi nó đến máy chủ để phân tích. Như bạn có thể đã đoán, thành phần tiếp theo là máy chủ. Nó tổng hợp dữ liệu từ tất cả các cảm biến, phân tích dữ liệu thu thập được và phản ứng lại các cuộc tấn công. Thành phần này là trái tim của hệ thống. Cuối cùng nhưng không kém phần quan trọng là thành phần giao diện là GUI mà bạn sử dụng để quản lý máy chủ và hiển thị thông tin về các mối đe dọa được tìm thấy trên mạng không dây của bạn.

Lý do chính khiến chúng tôi do dự trước khi đưa Open WIPS NG vào danh sách của chúng tôi là vì nó tốt đến mức không phải ai cũng thích nhà phát triển của sản phẩm. Nó là của cùng một nhà phát triển với Aircrack NG, một trình dò ​​tìm gói tin không dây và bẻ khóa mật khẩu, là một phần của mọi bộ công cụ của kẻ tấn công WiFi. Điều này mở ra cuộc tranh luận về đạo đức của nhà phát triển và nó khiến một số người dùng cảnh giác. Mặt khác, nền tảng của nhà phát triển có thể được coi là minh chứng cho kiến ​​thức sâu rộng của anh ta về bảo mật Wi-Fi.

6. Fail2Ban

Fail2Ban là một hệ thống phát hiện xâm nhập máy chủ miễn phí tương đối phổ biến với các tính năng ngăn chặn xâm nhập. Phần mềm hoạt động bằng cách giám sát các tệp nhật ký hệ thống để tìm các sự kiện đáng ngờ như đăng nhập không thành công hoặc tìm kiếm lợi dụng. Khi hệ thống phát hiện điều gì đó đáng ngờ, hệ thống sẽ phản ứng bằng cách tự động cập nhật các quy tắc tường lửa cục bộ để chặn địa chỉ IP nguồn của hành vi độc hại. Tất nhiên, điều này ngụ ý rằng một số tiến trình tường lửa đang chạy trên máy cục bộ. Đây là nhược điểm chính của công cụ. Tuy nhiên, bất kỳ hành động tùy ý nào khác – chẳng hạn như thực hiện một số tập lệnh khắc phục hoặc gửi thông báo qua email – đều có thể được định cấu hình.

Fail2Ban được cung cấp với một số trình kích hoạt phát hiện được xây dựng trước được gọi là bộ lọc, bao gồm một số dịch vụ phổ biến nhất như Apache, Courrier, SSH, FTP, Postfix và nhiều dịch vụ khác. Như chúng tôi đã nói, các hành động khắc phục được thực hiện bằng cách sửa đổi các bảng tường lửa của máy chủ. Fail2Ban hỗ trợ Netfilter, IPtables hoặc bảng hosts.deny của TCP Wrapper. Mỗi bộ lọc có thể được liên kết với một hoặc nhiều hành động. Cùng với nhau, các bộ lọc và các hành động được coi là một nhà tù.

7. Giám sát an ninh mạng Bro

Các Security Monitor Bro Mạng là một mạng xâm nhập hệ thống phát hiện miễn phí với IPS giống như chức năng. Nó hoạt động theo hai giai đoạn, đầu tiên nó ghi lại lưu lượng truy cập và sau đó phân tích nó. Công cụ này hoạt động ở nhiều lớp cho đến lớp ứng dụng giúp phát hiện tốt hơn các nỗ lực xâm nhập phân chia. Mô-đun phân tích của sản phẩm được tạo thành từ hai yếu tố. Phần tử đầu tiên được gọi là Công cụ sự kiện và mục đích của nó là theo dõi các sự kiện kích hoạt như kết nối TCP hoặc yêu cầu HTTP. Sau đó, các sự kiện được phân tích bởi Tập lệnh chính sách, phần tử thứ hai. Công việc của Tập lệnh chính sách là quyết định xem có nên kích hoạt cảnh báo, khởi chạy hành động hay bỏ qua sự kiện hay không. Nó có khả năng khởi chạy một hành động cung cấp cho Bro Network Security Monitor chức năng IPS của nó.

Các Security Monitor Bro Mạng có một số hạn chế. Nó sẽ chỉ theo dõi hoạt động HTTP, DNS và FTP và nó cũng sẽ giám sát lưu lượng SNMP. Tuy nhiên, đây là một điều tốt vì SNMP thường được sử dụng để giám sát mạng bất chấp các lỗi bảo mật nghiêm trọng của nó. SNMP hầu như không có bất kỳ bảo mật tích hợp nào và sử dụng lưu lượng truy cập không được mã hóa. Và vì giao thức có thể được sử dụng để sửa đổi cấu hình, nên nó có thể dễ dàng bị khai thác bởi những người dùng độc hại. Sản phẩm cũng sẽ để mắt đến những thay đổi về cấu hình thiết bị và Bẫy SNMP. Nó có thể được cài đặt trên Unix, Linux và OS X nhưng nó không có sẵn cho Windows, đó có lẽ là nhược điểm chính của nó. Nếu không, đây là một công cụ rất thú vị rất đáng để thử.