Tunkeutumisen havaitsemisjärjestelmän käyttöönotto

Abstract

Tämä opinnäytetyö käsittelee tunkeutumisen havaitsemisjärjestelmiä, niiden taustoja ja itse ohjelman käyttöönottoa Päijät-Hämeen koulutuskonsernin tietohallintopalveluille. Teoriaosuudessa käydään, läpi minkälaisia tietoturvauhkia on nykyään olemassa. Lisäksi katsotaan, mistä ja miten tunkeutumisen havaitsemisjärjestelmät ovat kehittyneet niiden alkuajoista lähtien. Tunkeutumisen havaitsemisjärjestelmät voidaan jakaa kahteen päätyyppiin: Tässä työssä keskitytään verkkoon asennettavaan erilliseen laitteeseen. Olemassa on myös työasema/palvelinkoneeseen asennettavia tunkeutumisen havaitsemisohjelmistoja, jotka suojelevat vain kyseistä laitetta. Tämän työn lähtökohtana oli saada toteutettua laite, joka tutkii verkon liikennettä. Snort-ohjelmaan päätyminen oli lopulta melko helppo ratkaisu. Ohjelma perustuu vapaaseen lähdekoodiin ja toimii lisäksi linux-käyttöjärjestelmissä. Ohjelman kehitys on myös jatkuvaa, ja päivityksiä ilmestyy tasaiseen tahtiin. Säännöt päivitetään nopeasti heti uuden uhan ilmestyessä. Snort-ohjelmalla on myös todella laaja käyttäjäkunta maailmalla, joten ongelmatilanteissa ratkaisu löytyy helposti. Snort-kirjoja on olemassa toistakymmentä erilaista, jos haluaa syventyä aiheeseen tarkemmin kuin pelkästään ohjelman manuaalien avulla. Käytännön kokeissa havaittiin että Snort tarjoaa erittäin paljon lisätietoa verkossa liikkuvista paketeista ja varsinkin siellä olevasta epämääräisestä liikenteestä. Näillä tiedoilla voidaan tutkia mihin hyökkäykset verkossa kohdistuvat ja yrittää parantaa verkon tietoturvaa.

This thesis deals with intrusion detection systems, their backgrounds, and the implementation of the system for the IT services of Lahti Region Educational Consortium. The theory part examines what kinds of data security threats there are. There is also a survey of how intrusion detection systems have developed from their early ages. You can group intrusion detection systems to two main types. This thesis concentrates on devices that are installed in networks. There also exist intrusion detection systems that are installed in servers/workstations, and the system only protects that device. The starting point for this thesis was to implement a device that detects networks traffic. It was eventually an easy decision to end up with the Snort system. The program is based on open source and works in the Linux systems. Program development is continuous and updates appear constantly. Rule files are updated quickly after a new threat emerges up. The Snort program has a very broad range of users in the world, so it is easy to find a solution in problem situations. There are also dozens of books about Snort, if you want to know more than the manuals tell. In practical tests it was discovered that Snort gives lots of information about packets in the network and especially obscure traffic that moves in the network. With these facts you can inspect where attacks are aimed at in the network and try to improve the security of the network.