Рынок средств сетевой безопасности, в частности, рынок систем обнаружения атак — это очень перспективная, быстро развивающаяся область капиталовложений, которая в скором времени будет приносить немалые прибыли. Если в 1998 году совокупный объем рынка средств обнаружения атак оценивался в 136 млн. долл., что на 137% превышало цифры предыдущего года, то к 2004 году этот показатель должен перевалить 1 млрд. долл. При этом если в 1998 году пропорция между системами анализа защищенности и классическими средствами обнаружения атак описывалась соотношением 60% к 40% в пользу первых, то к 2006 году это соотношение должно инвертироваться — 36% к 64%.

Прогноз роста объемов продаж средств обнаружения атак

Источник:
отчет «Worldwide Intrusion Detection and Vulnerability Assessment Market Forecast and Analysis, 2002–2006: Vendor Views», IDC, 2002 г.

Соотношение сканеров безопасности уровня сети и уровня узлов сохраняется вот уже несколько лет и сохранится до 2006 года — 37/63, и это несмотря на то, что в России большей популярностью пользуются именно сетевые сканеры безопасности — Internet Scanner, Nessus, Xspider и т.д. Для систем обнаружения и предотвращения атак ситуация повторяется с точностью наоборот — соотношение сетевых решений против серверных равно 65/35 в пользу первых.

Рынок средств предотвращения атак только начинается формироваться, однако уже сейчас некоторые компании делают свои прогнозы. Например, 7 апреля 2003 года компания Yankee Group опубликовала отчет «Host Intrusion Prevention is the Last Line of Defense for Networks», в котором прогнозирует рост объема рынка средств предотвращения атак на уровне узла от 60 миллионов долларов в прошлом году до 520 миллионов в 2007 году.

18 марта 2003 года аналитическая компания Gartner Group выпустила отчет «Intrusion Detection Systems: Perspective», в котором назвала 6 основных игроков рынка:

• Cisco Systems предлагает программно-аппаратные системы обнаружения атак на уровне сети семейства Cisco IDS 4200 и недавно приобретенные системы предотвращения атак на уровне узла семейства Okena. Летом прошлого года компания Cisco прекратила продажу своего сканера безопасности Cisco Secure Scanner. В качестве основных преимуществ компании Cisco были названы присутствие в сетевой инфраструктуре большинства организаций, широкая дилерская сеть и грамотная ценовая политика.
• Enterasys Networks известная своими решениями для обнаружения атак на уровне сети (Dragon Sensor) и уровне узла (Dragon Squire), полученными в результате приобретения компании Network Security Wizards. По данным Gartner компания Enterasys сфокусировала свои усилия на рынке провайдеров услуг по безопасности (MSSP) и достигла на этом поприще значительных успехов.
• Internet Security Systems, названная компанией Gartner мировым лидером (54% мирового рынка), предлагает весь спектр средств обнаружения атак, начиная сканерами безопасности, работающими на уровне сети (Internet Scanner), операционной системы (System Scanner) и баз данных (Database Scanner), и заканчивая сенсорами систем обнаружения и предотвращения атак на уровне сети (RealSecure Network 10/100, RealSecure Gigabit и RealSecure Guard), сервера (RealSecure Server) и рабочей станции (RealSecure Desktop). Кроме того, компания ISS является единственной, кто предложил пользователям сканер безопасности беспроводных сетей Wireless Scanner.
• Snort является единственным свободно-распространяемым решением, вошедшим в отчет Gartner. Однако, несмотря на это, Gartner называет эту сетевую систему обнаружения атак неплохим конкурентом решениям от грандов этого рынка, а по числу сигнатур Snort обходит все коммерческие аналоги.
• Symantec вышел на рынок обнаружения атак относительно недавно (в 2000 году) — после покупки компании Axent. В 2002 году Symantec приобрел еще 3 компании, работающие в области Internet-безопасности — MountainWave, SecurityFocus и Recourse Technologies, после чего выбился в лидеры рынка. На сегодняшний день в портфеле компании — решения по обнаружению атак на уровне сети (ManHunt) и узла (Intruder Alert), а также сканеры безопасности на этих уровнях (NetRecon и Enterprise Security Manager). Кроме того, компания Symantec является единственной в данном обзоре, кто предлагает обманную систему (ManTrap). По мнению Gartner компания Symantec имеет самую лучшую позицию на рынке, но ей не хватает единого решения по управлению, которое бы объединило все вышеназванные продукты.
• Tripwire является лидером рынка средств контроля целостности и предлагает целый ряд решений, направленных на мониторинг изменений серверов Windows и Unix, а также сетевых устройств (маршрутизаторов, коммутаторов и межсетевых экранов).

Среди других были также названы компании Computer Associates, Intrusion.com, Lancope, NFR Security, Niksun и Raytheon. В области технологий предотвращения атак были названы компании IntruVert, OneSecure и TippingPoint Technologies.

Учитывая перспективность этого направления за последние несколько лет произошло немало громких сделок на рынке средств обнаружения атак, список которых приведен в таблице.

Слияния и покупки в области систем обнаружения атак

Источник: А. Лукацкий. «Обнаружение атак». 2-е издание. BHV, 2003 г.

По данным отчета «European Information Technology Observatory 2003» 45% компаний в Западной Европе использовали в 2002 году системы обнаружения атак (в 2001 году эта цифра равнялась 35%). Рост числа компаний, воспользовавшихся сканерами безопасности, более внушителен — с 19% в 2001 году до 35% в 2002. Согласно отчета «Intrusion Detection and Prevention Products 2002» компании Infonetics Research, опубликованному 28 февраля 2003 года, рост числа компаний, использующих эти продукты, к 2007 году составит 97%. При этом в 2002 году только 38% компаний малого бизнеса использовали системы обнаружения и предотвращения атак. Для средних и крупных компаний эти цифры равнялись соответственно 48% и 63%.

В 2002 году на решения в области обнаружения атак, анализа защищенности и управления угрозами западноевропейскими компаниями было потрачено 250 миллионов евро. В 2003 планируется увеличить эту цифру до 320 миллионов, в 2004 году — до 430, а в 2005 — до 590 миллионов евро.

Компания Infonetics приводит еще одну интересную цифру — 55% европейских компаний используют решения Internet Security Systems, что повторяют общемировые тенденции. В тройку лидеров также входят компании Cisco Systems и Symantec. Аналогичная ситуация (по экспертным оценкам) складывается и в России и странах СНГ. И хотя решения ISS доминируют, многие европейские компании, как отмечает Infonetics, обращают внимание на решения компании OneSecure, недавно приобретенной компанией NetScreen.

Тенденции и прогнозы

В настоящий момент можно сделать несколько прогнозов относительно развития систем обнаружения атак. Во-первых, переход сетевых составляющих этих систем на защищенные платформы (security appliance), представляющих объединение защищенной операционной системы и уже предварительно настроенной системы обнаружения атак. Пионером в этой области была компания Cisco Systems, изначально предлагающая свои решения «в железе». Сейчас по такому пути пошли многие производители, заключая альянсы с известными вендорами аппаратных решений, — Nokia, Nortel, Crossbeam и т.д. Еще один связанный прогноз делает компания Infonetics Research, которая предсказывает постепенную интеграцию межсетевых экранов и систем обнаружения/предотвращения атак в одном устройстве.

Во-вторых, главным направлением удара является «интеллектуализация» средств обнаружения атак и их интеграция с другими средствами защиты для более полного охвата и всестороннего анализа состояния защищенности корпоративной сети. Объемы трафика в современных сетях настолько велики, что на оператора системы обнаружения атак ежедневно «сваливаются» миллионы событий. Ни один человек не в состоянии адекватно воспринять такой поток данных. Можно сказать, что системы обнаружения атак являются источником DoS-атак на человека. Для устранения этой проблемы ведущие производители (в этом еще одно ключевое отличие коммерческих решений от свободно-распространяемых) реализуют специальные «интеллектуальные» механизмы, в автоматическом режиме осуществляющие анализ поступающих данных и принимающие решения о наличии или отсутствии реальной угрозы (такую возможность требуют 2/3 всех пользователей систем обнаружения атак). Такие модули обычно объединяют данные от сенсоров систем обнаружения и предотвращения атак с информацией от сканеров безопасности. Такие системы корреляции существуют у компаний Internet Security Systems, Cisco и Symantec. Кроме того, существуют решения (Gartner называет их «meta IDS») третьих фирм, которые пытаются коррелировать данные от средств защиты разных фирм. Число таких решений постоянно растет и к ним можно отнести:

• SAFEsuite Decisions компании Internet Security Systems. Данная система ориентирована на средства защиты, предлагаемые компанией ISS;
• netForensics одноименной компании. Данная система ориентирована на средства защиты, предлагаемые компанией Cisco Systems;
• Private I компании Open Systems;
• Security Manager компании Intellitactics;
• SPECTRUM Security Manager компании Aprisma Management Technologies;
• SystemWatch компании OpenService;
• ArcSight одноименной компании;
• neuSECURE компании GuardedNet;
• DeepSight компании SecurityFocus, купленной летом 2002 года компанией Symantec.
• E-Sentinel компании e-Security.

Третьей тенденцией является появление фирм, которые занимаются аутсорсингом средств защиты, в т.ч. и систем обнаружения атак. Это явление получает все большое распространение на Западе, где компании не всегда имеют квалифицированных специалистов, способных круглосуточно мониторить свою сеть. Эту задачу берут на себя т.н. провайдеры услуг по безопасности (Managed Security Service Provider). К ним можно отнести:

• Activis
• Counterpane Internet Security
• Internet Security Systems (ISS)
• Symantec после покупки крмпании Riptech
• SecureWorks
• Ubizen
• Veritect
• Vigilinx

Технологии обнаружения атак позволяют решить целый ряд задач, повышающих защищенность узлов корпоративной сети.

• Мониторинг и анализ пользовательской, сетевой и системной активности.
• Аудит системной конфигурации и обнаружение уязвимостей.
• Контроль целостности файлов и других ресурсов корпоративной сети.
• Распознавание шаблонов действий, отражающих известные атаки.
• Статистический анализ шаблонов аномальных действий.
• Автоматическую инсталляцию обновлений ПО, поставляемых продавцом.
• Инсталляцию и поддержание работы серверов-ловушек для записи информации о нарушителях.

Однако не стоит думать, что системы обнаружения атак — это панацея от всех бед. У них есть своя, хоть и широкая, но все-таки ограниченная область применения. Например, они могут быть использованы для текущего контроля определенных уязвимостей, имеющихся на некоторых узлах сети. Другой пример — контроль эффективности межсетевых экранов. Но… не надо ждать от систем обнаружения атак невозможного. Они не могут (на сегодняшнем этапе развития информационных технологий):

• компенсировать неэффективность механизмов аутентификации и идентификации;
• проводить всесторонний анализ атак без человеческого участия (они только помогают в этом);
• устранить слабости сетевых протоколов;
• устранить проблемы в надежности и целостности ИС;
• эффективно анализировать весь трафик в высокоскоростных сетях.

Вернуться на главную страницу обзора