Tunkeutumisen havaitsemisjärjestelmän hyödyt ja haitat yritysympäristössä

Abstract

Opinnäytetyö käsittelee tunkeutumisen havaitsemisjärjestelmien hyötyjä ja haittoja yrityksen käytössä. Opinnäytetyössä käydään läpi mitä velvoitteita, rajoitteita ja lakeja yrityksen verkon valvontaan liittyy ja millaisilla erilaisilla tunkeutumisen havaitsemisjärjestelmillä valvonta voidaan toteuttaa. Yleisesti tämänkaltaiset ohjelmistot ovat isäntä- tai verkkopohjaisia ja ne jaetaan passiivisiin tai aktiivisiin järjestelmiin sen mukaan edellyttääkö hyökkäyksiin reagointi ylläpitäjän aktiivisia toimenpiteitä. Järjestelmä voi tehdä päätöksen haitallisesta liikenteestä ennalta määrättyjen tunnisteiden ja sääntöjen perusteella, tai toiminta voidaan luokitella haitalliseksi myös tilastoa hyödyntäen etsimällä liikenteestä poikkeuksia. Opinnäytetyön tarkoituksena on esitellä erilaisten tunkeutumisen havaitsemisjärjestelmien hyötyjä ja haittoja yrityskäytössä sekä esitellä yleisesti niiden toimintaa. Työn tavoite taas on tarjota tietoa tunkeutumisen havaitsemisjärjestelmän käyttöönottoa harkitsevalle yritykselle ja verkon ylläpitäjille.

Yrityskäytössä tunkeutumisen havaitsemisjärjestelmien suurimpia hyötyjä ovat selkeät todisteet väärinkäytösten sattuessa sekä verkkoliikenteen tapahtumien tallentaminen jälkikäteen tehtävää tarkastelua varten. Haittapuolia taas ovat melko monimutkainen käyttöönotto ja jatkuva aktiivisen ylläpidon tarve. Verkon valvonnan huono maine ja lainsäädäntö myös osaltaan rajoittavat tunkeutumisen havaitsemisjärjestelmien käyttöä.

Tunkeutumisen havaitsemisjärjestelmät ovat toistaiseksi melko tuntemattomia ja niitä onkin tuotantokäytössä melko vähän. Korkeiden kustannusten lisäksi myös työläs käyttöönotto ja ylläpito ovat osaltaan hidastaneet tämänkaltaisten järjestelmien yleistymistä. Käytännössä tunkeutumisen havaitsemisjärjestelmän käyttöönottoa kannattaakin harkita vasta kun yrityksen tietoturva on ensin saatettu parhaalle mahdolliselle tasolle ilman sitä ja järjestelmän käytölle on olemassa perusteltu tarve.

The thesis consists of the benefits and disadvantages of using intrusion detection systems in corporations. The thesis covers the obligations, regulations and laws that are connected to monitoring corporate networks and it also presents how to implement network monitoring with different kind of intrusion detection systems. Usually these kinds of systems are roughly divided into host-based and network-based systems, which are either active or passive according to the need of active actions by the administrator. The system can judge the unwanted traffic by predefined fingerprints and rules or by comparing the traffic to statistics and in that way find the anomalies. The purpose of thesis is to introduce the benefits and disadvantages of intrusion detection systems in corporations and also present them in general. The object of the thesis is to provide information to corporations and administrators that are considering purchasing an intrusion detection system.

The most notable benefit of intrusion detection in corporations is the ability to collect network traffic data for later investigation and in this way provide clear evidence of misuse. Challenging deployment and need for constant administration are the disadvantages of intrusion detection systems. Poor reputation of network monitoring and legislation have also placed some limitations for using intrusion detection systems.

So far intrusion detection systems have been quite unknown and in Finland only a few are in actual use. In addition to high expenses also the requirement of deployment and administration are probably the main reasons for the slow growth in number of these kind on systems. Practically purchasing an intrusion detection system should be taken into consideration after information security has already been increased to the best possible level and there should always exist an argued necessity for this kind of system.