Вы ищете термин Система обнаружения вторжений (IDS). Существует связанный термин, называемый Система предотвращения вторжений (IPS).
Наблюдение за трафиком IDS, поступающим на ваши серверы на уровне IP, и отправка оповещений на основе сложного анализа трафика.
IPS - это следующее поколение IDS, которые фактически пытаются блокировать определенные действия.
Существует множество коммерческих и открытых систем, включая Snort , SourceFire , Endace и , другие .
Короче говоря, вам следует взглянуть на добавление одной из этих систем в ваш микс для мониторинга в реальном времени и потенциальной блокировки опасных действий.
Я хотел бы добавить сюда немного больше информации, поскольку область комментариев немного мала.
Главное, что вам нужно понять, это типы атак, которые вы увидите. Они будут варьироваться от относительно простых автоматизированных сценариев до очень сложных целевых атак. Они также распространят все, что могут видеть, от самого веб-сайта до IIS, .Net, почтового сервера, SQL (если доступно), вплоть до вашего брандмауэра и других уязвимых машин / служб. Целостный подход - единственный способ реально контролировать происходящее.
Вообще говоря, новый сайт / компания получит автоматические сценарии в течение нескольких минут (я бы сказал, максимум 30) после запуска. Что является основной причиной, по которой новые установки MS Windows сильно блокируют сеть во время установки. Черт возьми, я видел машины, прибитые к гвоздям через 30 секунд после первого включения.
Подход, используемый хакерами / червями, заключается в постоянном сканировании широкого диапазона IP-адресов, за которым следуют машинные отпечатки пальцев для тех, кто отвечает. Основываясь на профиле, они будут отправлять вам определенные типы атак. В некоторых случаях шаг профилирования пропускается, и они атакуют определенные порты независимо от ответа. Порт 1443 (SQL) является общим.
Хотя это самая распространенная форма атаки, автоматические гораздо проще иметь дело. Выключение неиспользуемых портов, отключение ICMP (пинг-ответ) и наличие достойного брандмауэра не позволят большинству сканеров отсутствовать.
При атаках с использованием сценариев убедитесь, что вы не выставляете общедоступные пакеты, такие как PhpMyAdmin, инструменты веб-администрирования IIS или даже удаленный рабочий стол за пределами вашего брандмауэра. Кроме того, избавьтесь от любых учетных записей с именами «admin», «administrator», «guest», «sa», «dbo» и т. Д. Наконец, убедитесь, что ваши пароли НЕ ДОЛЖНЫ быть чьим-либо именем и определенно НЕ являются паролем по умолчанию, поставляется с продуктом.
Вдоль этих строк убедитесь, что ваш сервер базы данных НЕ доступен напрямую за пределами брандмауэра. Если по какой-либо причине вам необходим прямой доступ, то как минимум измените порт #, на который он реагирует, и включите шифрование.
Как только все это будет сделано правильно и обеспечено, единственными доступными сервисами должны быть веб-сервисы (порт 80/443). Элементы, которые все еще могут быть использованы, - это ошибки в IIS, .Net или в вашем веб-приложении.
Для IIS и .net вы ДОЛЖНЫ установить обновления Windows от MS почти сразу же после их выпуска. MS была очень хороша в продвижении качественных обновлений для Windows, IIS и .Net. Кроме того, подавляющее большинство обновлений предназначено для уязвимостей, которые уже используются в дикой природе. Наши серверы были настроены на автоматическую установку обновлений, как только они станут доступны, и у нас никогда не было сожжено (вернемся, по крайней мере, к моменту выпуска сервера 2003).
Также вам нужно быть в курсе обновлений вашего брандмауэра.Не так давно у одного из брандмауэров Cisco была ошибка, из-за которой он мог быть перегружен.К сожалению, он пропустил весь трафик, когда это произошло.Несмотря на то, что исправление было выполнено довольно быстро, люди по-прежнему избивали более года спустя, потому что администраторы не успевали за исправлениями IOS.Та же проблема с обновлениями Windows.Многие люди были взломаны просто потому, что не смогли применить обновления, которые могли бы помешать этому.
С более целенаправленными атаками справиться немного сложнее.Достаточно много хакеров ищут пользовательские веб-приложения.Такие вещи, как отправка, чтобы связаться с нами и формы входа.В сообщениях может содержаться JavaScript, который после просмотра администратором может привести к передаче учетных данных или к установке регистраторов ключей или троянов на компьютерах получателей.
Проблема в том, что вы можете быть скомпрометированы, даже не подозревая об этом.Защита заключается в том, что HTML и JavaScript не могут быть отправлены через ваш сайт;наличие надежных (и постоянно обновляемых) проверок на спам и вирусы на почтовом сервере и т. д. По сути, вам нужно посмотреть на все возможные способы, которыми внешняя сущность может что-то отправить вам, и что-то с этим сделать.Многие компании из списка Fortune 500 продолжают сталкиваться с такими вещами, как ... Google включил.
Надеюсь, что кому-то это поможет.Если это так и это приведет к более безопасной обстановке, то я буду счастливым парнем.К сожалению, большинство компаний не отслеживают трафик, поэтому они понятия не имеют, сколько времени уходит на то, как их машины отбивают этот мусор.