[МУЗЫКА] Сформулировав основные требования к системам обнаружения и предотвращения компьютерных атак, выделим основные классы таких систем по их функционалу и по тому, на каком этапе обнаружения атаки они, собственно, функционируют. Прежде всего разделим системы обнаружения атак на категории по этапам реализации атаки. Первый класс составят системы, действующие до начала реализации атаки. Это различные системы анализа защищенности. Затем уже на этапе реализации атаки в дело вступают так называемые «классические» системы обнаружения атак, это аналог понятия системы обнаружения вторжений. Это системы обнаружения атак, которые обнаруживают активные действия нарушителя, направленные на нарушение политики безопасности информационной системы. И наконец, системы обнаружения атак, действующие после завершения атаки — это системы анализа журналов регистрации и системы контроля целостности, которые направлены на то, чтобы обнаружить уже свершившиеся атаки и, возможно, дать информацию для службы безопасности, которая бы в дальнейшем могла быть использована в расследовании этих инцидентов и в повышении уровня защищенности информационной системы с тем, чтобы подобные атаки более не могли бы успешно реализовываться нарушителем. Что касается систем, действующих после завершения атаки, то они могут также и попадать во вторую категорию, то есть действовать в период реализации атаки, на основе того, как часто проводится анализ, как он устроен. Это же относится и к системам контроля целостности. Если достигнута частота проверки целостности и анализа журналов регистрации на уровне, близком к реальному времени, то такие системы могут успевать обнаруживать и совершающиеся в данный момент атаки. Но, как правило, они относятся к категории систем, направленных уже на обнаружение совершенных атак. Таким образом по этапам реализации атаки у нас такие системы распадаются на следующие классы. Это, во-первых, три ветви из первого прямоугольника, которые вы видите сейчас на слайде. Это первый прямоугольник — системы анализа защищенности, они действуют до того, как атака начинает реализовываться нарушителем. Далее — «классические» системы обнаружения атак и системы обнаружения совершенных атак. Системы обнаружения совершенных атак представлены классом систем анализа журналов регистрации и системами контроля целостности. Второе основание классификации — это классификация по тому, на какую цель направлена атака, и соответственно, что защищают системы обнаружения атак. Это системы обнаружения атак на сеть информационной системы в целом, либо второй крупный класс — системы обнаружения атак на объекты на конкретных узлах информационной системы. А эта категория в свою очередь делится на еще три подкласса: на уровне операционной системы, на уровне прикладного программного обеспечения и на уровне систем управления базами данных. В силу больших особенностей, которые отличают системы управления базами данных, они выделяются в отдельную категорию, хотя и могут рассматриваться, как прикладное программное обеспечение. В этом случае классификация выглядит следующим образом. Первое деление на два больших класса — это системы обнаружения атак на уровне сети и системы обнаружения атак на уровне узла. А на уровне узла еще три класса мы выделяем: это обнаружение атак на уровне операционной системы, на уровне прикладных программ и на уровне систем управления базами данных. Четыре категории систем обнаружения атак по их функционалу мы рассмотрим далее подробно. Это будут системы анализа защищенности, системы обнаружения реализуемых атак, то есть «классические» системы обнаружения атак, и системы обнаружения уже реализованных атак, то есть системы анализа журналов регистрации и системы контроля целостности. [МУЗЫКА] [МУЗЫКА]