Персональный сайт

Для сына ....

infol — Sun, 05 Jul 2009 10:26:44 GMT

Очень много новичков, которые только вчера подключились к Интернету, хотят много и стабильно зарабатывать в Интернете. Но не всегда получается так, как хочется.

В итоге новичок не может ничего заработать в Интернете, но при этом рассуждает на «высокие темы» о том, что в Интернете заработать вообще нельзя.

Существуют очень много разнообразных причин, почему новичок, пришедший в Интернет заработать деньги, никогда их не заработает. В этой статье я хотел бы рассмотреть всего лишь восемь, на мой взгляд, самых важных причин. Итак:

Причина №1: Новички неправильно выбирают сегмент рынка

Вся вина в том, что новичок неправильно выбирает сегмент рынка лежит на старожилах Интернет-Бизнеса, ибо они проповедуют только единственно правильную модель построения Бизнеса, которая состоит в продаже различных электронных книг и руководств. Это совершенно не так. В Рунете существует очень много потенциально прибыльных ниш, в которых можно работать и нормально зарабатывать, при этом не писать всякие там книжечки.

В чем главная причина, что новичок начинает работать в неправильном сегменте?

Да все те же электронные книги о Е-коммерции, в которых заработок сводится к простой формуле: Нашел нишу – создал сайт – создал рассылку – написал книжечку на 20 страниц о чем-либо – продал.

Причина №2: В Интернет приходят ни с чем и хотят получить все

Новичок, который пришел в Интернет с мыслями заработка, хочет получить бесплатный домен, бесплатный хостинг, бесплатную раскрутку. Но бесплатного ничего не бывает.

Он ставит себе грандиозные планы, мол, хочу зарабатывать 5000$ в месяц. Но так делать в корне нельзя. Нужно ставить себе достижимые цели. Например, в этом месяце я хочу заработать 10$, в следующем. 20 $ и т.д. Резкого скачка быть не может. Если Вы не знаете, как заработать 10$ или 100$ в месяц, Вы никогда не заработаете 5000$.

В противном случае, если новичок ставит себе цель в 5000$ в месяц, но в результате зарабатывает 10$, то он кардинально разочаровывается в Заработке в Интернете.

Мой Вам совет: Никогда не смотрите на размеры заработка. Самое главное – узнать саму технологию заработка. Только после того, как Вы будете знать, как и откуда поступаю деньги, Вы сможете заработать.

Причина №3: Практически все новички очень быстро «ломаются»

Как только на пути новичков становится маленькая преграда в виде невозможности набрать 100 подписчиков рассылки за 1 месяц, или продать больше 10 копий продукта в месяц, либо еще какая-то банальнейшая проблема – они сразу сдают свои позиции.

Новички по большому счету пассивны в своих решениях. И если они видят, что проблему нельзя устранить своими силами, им легче просто отмахнуться рукой и пустить все на самотек. Это в корне неправильные действия, ибо нужно бороться за каждый шаг в Интернет-Бизнесе.

Если у Вас что-то не получается – спросите совета у профессионала, в крайнем случае, заплатите ему за решение проблемы.

Причина №4: Нерациональное использование времени

Новички в большинстве случаев начинались сказок, что в Интернете можно заработать, потратив всего-то 1 час времени в сутки. Но даже и этот час они используют не по назначению. Они проверяют почту, смотрят свой веб-мани кипер, общаются по аське или на форуме.

В итоге никаких полезных действий не выполнено. То есть, человек просто просидел возле компьютера часок. Но в то же время, он ждет и надеется, что скоро начнет зарабатывать.

Если Вы можете уделять Бизнесу в Интернет всего 1-2 часа в день – забудьте о том, что Вы сможете заработать в Интернете. На этапе становления и создания первых источников дохода Вы будете тратить вплоть до 16 часов в сутки. Например, я работаю над своими Интернет-проектами столько, сколько нужно для выполнения запланированных объемов работ. Во временном выражении это от 5 часов в сутки.

Причина №5: Лень

Лень – это еще один компонент, который не дает новичку начать зарабатывать в Интернете. Начитавшись сказок о том, что Бизнес в Интернете создать очень легко, новичок и не думает заниматься своими проектами.

Новичок думает, что после создания сайта на несколько страниц и закачки его на бесплатный хостинг работа для него прекращается. После этого деньги должны хлынуть к нему бурным потоком.

Именно в этот момент новичок делает самую глупейшую из всех ошибок. Он просто останавливается и ждет, пока кто-то зайдет на его сайт, пока кто-то купит его книгу, пока кто-то купит книгу с сайта по партнерской ссылке.

Именно описанный в некоторых коммерческих продуктах способ заработка порождает у новичков лень. Их мысли довольно просты: Зачем мне работать с сайтом, если в книге написано что посетители сами найдут сайт и будут стабильно покупать книгу.

Если Вы хотите начать зарабатывать, в самом начале победите в себе лень.

Причина №6: Нежелание становится партнером в обмен на необходимые знания

Самая свежая причина, с которой я столкнулся буквально несколько дней назад. Со мной связался один человек и попросил помочь ему с установкой контекстной рекламы. Я ему теоретически все объяснил. Но у этого человека возникли какие-то проблемы, и он попросил, чтобы я установил на его сайте контекстную рекламу.

Не вопрос, я всегда иду на встречу новичкам. Конечно же, я согласился, причем совершенно бесплатно, но при одном условии, что этот человек зарегистрирует новый аккаунт в данной системе контекстной рекламы по моей партнерской ссылке.

В ответ я получил просто гениальную фразу, что он не будет регистрироваться по моей партнерской ссылке, ибо, когда он будет работать и зарабатывать деньги в контекстной рекламе, я же не буду работать, а только получу комиссионные. В итоге он решил устранять проблему самостоятельно.

В чем здесь ошибка новичка? Главная его ошибка в том, что он не воспринимает подобной помощи. Он лучше потратит пару дней на поиск информации, чем зарегистрируется по партнерской ссылке, и получил профессиональную помощь.

Причина №7: Нежелание изучать новую информацию

Большинство новичков, перед тем, как начать создавать свой Интернет-Бизнес прочитали одну, две, ну максимум три книги. После этого они начинают разрабатывать свой Интернет-проект. Но в большинстве случаев у них ничего не получается.

В чем же здесь причина?

Просто новички, начитавшись «бестселлеров», начинают сразу же зарабатывать и совершают на своем пути простые ошибки. Лично я прочитал достаточно много как электронных, так и бумажных книг о Бизнесе. Среди этой массы книг я достаточно редко замечал очень важной рекомендации новичкам, чтобы они много читали бесплатных электронных книг, платных электронных книг, блогов, форумов, рассылок, вели общения на форумах.

Ведь Бизнес в Интернете не стоит на месте. Если вчера являлась успешной одна методика заработка в Интернете, то вполне возможно, что на сегодняшний день данная методика вообще не будет приносить Вам доход.

Лично я рекомендую меньше внимания обращать на электронные книги, ибо их авторы в погоне за объемом книги добавляют очень много лишнего. Обратите свое внимание на блоги. На них публикуется очень полезная информация в достаточно сжатом виде. Поэтому Вы намного быстрее ее прочитаете, и не будете тратить время на чтения лишнего.

Например, в моей программе для чтения RSS-лент находится порядка 70 фидов на блоги интересующей меня тематики. Поскольку программа сама закачивает свежие новости, мне нет смысла ходить по всех блогах в поисках свежей информации. Ежедневно я получаю порядка 40 новостей, которые детально изучаю. По времени я трачу приблизительно час-полтора на изучения новой информации.

Кстати, Вы совершенно бесплатно можете скачать программу для чтения RSS -лент на этой странице: http://gnatenko.ru/2007/11/17/programma-dlya-chteniya-rss-lent/

Причина №8: Зарабатывать в Интернете может каждый

Это последняя причина, о которой я хотел бы рассказать. Об этой причине рассказывают практически в каждой популярной рассылке, на каждом большом форуме.

Начитавшись такой информации, новичок начинает действовать, но результата как такового не получает. Ведь если он хочет работать в сегменте Электронная коммерция, то ему нужно создать сайт, создать рассылку, научится привлекать посетителей на сайт, написать электронную книгу, подключить систему электронных платежей, написать рекламный текст и многое другое.

То есть, чтобы начать зарабатывать, новичок должен быть: веб-дизайнером, неплохим автором текстов для рассылки, хорошим оптимизатором, отличным копирайтером и многое другое. Новичок все эти знания не может осилить за один подход. Он не может отлично работать во всех сегментах. В некоторых ему вообще не нравится работать.

Так почему же публикуется информация, что в Инетрнете может заработать каждый? Все достаточно просто. Такая информация публикуется на больших проектах, авторы которого владеют продуктами по всех описанных категориях. И если новичок обратится с каким либо вопросом, то авторитетный Бизнесмен вместо помощи перенаправит его на страницу с электронной книгой, что он продает.

С высоты своего небольшого двухлетнего опыта я могу сказать, что зарабатывать в Интернете каждый не может. Некоторым такой вид заработка просто не подходит, другие столкнулись с первыми проблемам и сразу отказались продолжать развивать свой проект. За эти два года я видел достаточно много новичков, которые хорошо стартовали, но спустя месяц, два, пол года попросту исчезали. Изо всей обоймы новичков, которых я знал и которые пришли в Интернет в сентябре 2005 года на данный момент осталось всего-то четыре, бизнес которых набирает обороты.

В заключении я хочу сказать, что статус Новичок – это не приговор. Это статус, с которого все начинали. Никто в один момент не стал великим и могущим. Все прошли определенный путь от новичка до профессионала. Самое главное, если Вы настоятельно хотите создать Бизнес в Интернете, у Вас есть достаточно времени и просто огромное желание работать, найдите для себя человека, который будет Вас вести по жизни и помогать развивать бизнес. Нет, не просто направить на страницу с электронной книгой, а просто максимально подробно отвечать на Ваши вопросы.

Если выбранный Вами человек достаточно сухо отвечает на Ваши вопросы, либо же прямо рекламирует свои продукты, лучше поищите другого человека. Например, у меня смена человека, высот которого я хочу достичь, произошла буквально 2 месяца назад, и как результат, это вызвало рост моего дохода от Бизнеса в Интернет практически в 3 раза.

Поэтому, если Вы Новичок, изучайте бесплатные материалы, больше читайте, практикуйте, тестируйте, проводите больше времени за изучением, за практикой. И самое главное, нужно работать и еще раз работать. Только работа и упорство принесут Вам успех!

Источник: http://gnatenko.info

Tracert

Alex — Sat, 31 Jan 2009 07:13:13 GMT

Команда tracert

Команда tracert предназначена для трассировки маршрута, то есть пути прохождения пакетов до указанного хоста.
Для того, чтобы выполнить команду tracert, надо:

Войти в командную строку.
Набрать имя программы tracert с необходимыми Вам параметрами:

tracert ИМЯ_ДОМЕНА, или IP

где ИМЯ_ДОМЕНА - имя Вашего домена, например: domain.ru
Максимальное число промежуточных узлов при трассировке - 30. Для каждого промежуточного узла выполняется 3 попытки. Результат трассировки содержит адрес промежуточного маршрутизатора и время отклика для каждой попытки в миллисекундах.
Кроме того, могут появляться специальные символы, отображающие коды специфических ответов протокола ICMP:

Символ

Значение

Порт недостижим

Сеть недостижима

Узел недоступен

Недопустимый протокол

Пакет превышает допустимую длину

Административый запрет на доступ к узлу (фильтр, прокси и т.д.)

Нет отклика

Пример выполнения команды tracert:

tracert ya.ru

Трассировка маршрута к ya.ru [213.180.204.8]
с максимальным числом прыжков 30:

1 2 ms 2 ms 2 ms zakat-20.ultra.net.ru [192.168.20.1]
2 3 ms 2 ms 2 ms r0-7-3.ultra.net.ru [10.7.3.1]
3 12 ms 10 ms 9 ms gw.ultranet.ru [213.33.170.41]
4 7 ms 9 ms 7 ms border.ultranet.ru [213.33.170.35]
5 97 ms 23 ms 22 ms 213.33.134.45
6 16 ms 17 ms 17 ms cisco02.Moscow.gldn.net [194.67.17.66]
7 21 ms 20 ms 19 ms cisco13.Moscow.gldn.net [194.186.157.206]
8 20 ms 25 ms 23 ms ix1-m10.yandex.net [193.232.246.93]
9 20 ms 20 ms 19 ms ya.ru [213.180.204.8]

Трассировка завершена.

Nika вопрос по доступу сайта...

Alex — Sat, 31 Jan 2009 07:10:03 GMT

В это теме подробно расскажу как это и зачем это нужно. Рассказывать я буду все это для пользователей windows. Предполагается, что пользователи других ОС достаточно продвинуты что бы и так знать как им сделать аналогичные манипуляции, либо могут найти инструкции в интернете без моей помощи.
1. Сначала немного теории:
Quote
Трассировка (trouce route) - Процедура получения информации о маршрутизаторах (узлах), через которые проходят пакеты к интересующему компьютеру. Позволяет обнаружить ошибки маршрутизации, а также то, к какому первичному провайдеру подключен хостинг-провайдер.

Подробнее: http://ru.wikipedia.org/wiki/Traceroute
Зачем это надо?
Иногда тот или иной сайт (как правило вас волнует ваш сайт) вам недоступен.
У этого могут быть разные причины:
1. Проблемы на сервере (в том числе технические работы)
2. Проблемы вашего провайдера доступа
3. Проблемы на канале
4. Проблемы с браузером
5. Вас забанили
и некоторые другие.
Трассировка поможет идентифицировать ситуацию. И, обращаясь в службу поддержки, с проблемой о недоступности сайта вам стоит сразу присылать данные команды tracert. Это сэкономит время, и позволит быстрее начать решать проблемы по существу.
________________________________________
Так же, перед тем как писать о том, что ваш сайт недоступен, стоит попытаться определить, ваша личная это проблема, или носит глобальный характер. Если сайт недоступен полностью, скорее всего мы об этом знаем, хотя никто не запрещает вам еще раз нам напомнить об этом. Главное что бы ваши гневные письма не отвлекли нас от решение самой проблемы, переключив внимание на ответ вам.
Для того что бы ориентировочно определить с чем связана проблема вам стоит попробовать открыть сайт в другом браузере, и убедиться что в нем он так же не открывается, если в другом браузере открылся, значит это проблема с вашими настройками браузера или фаервола. Попросить кого-то из ваших знакомых, пользующихся другим провайдером, а лучше живущих в другом регионе зайти на сайт. Если им удается благополучно зайти, а вам нет, скорее всего проблемы у вашего провайдера или на канале, хотя возможно и другие варианты. В этом случае как раз и стоит сделать трассировка, она поможет идентифицировать проблему.
Так же, в качестве аналога обращения к знакомым, могу порекомендовать воспользоваться специализированными сервисами мониторинга доступности сайтов. Например:
http://host-tracker.com/
зайдя по указанной ссылке, вводите адрес сайта и нажимаете кнопку check. Спустя некоторое время сервис покажет статусы доступности проверяемого сайта из разных точек мира. Есливыдается результат "Оk". Значит опять же речь идет о вашей локальной проблеме.
________________________________________
Довольно часто я прошу сделать трассировку, что бы разобраться в сущности проблемы недоступности того или иного сайта (сервера), от того или иного пользователя.
Как же сделать трассировку?
Нажимаем "Пуск" далее нажимаем "Выполнить".
Там латинскими буквами без кавычек пишем "cmd" и нажимаем "Ок" (либо enter)

В появившемся командной строке опять же без кавычек пишем "tracert адрес интересующего сайта"
наприем если трассеруем ucoz.ru пишем "tracert ucoz.ru" и нажимаем вводу (Enter)

Далее, полученные данные вы, вероятно, захотите отправить в службу поддержки. Не надо сделать скриншот, их можно скопировать и передать ввиду текст. Для этого, наводим мышью на командную строку, в которой содержатся результаты трассеровки, нажимаем правую кнопку мыши -> выделить все. После чего нажимаем Enter. Все, теперь данные в буфере обмена.
Их можно вставить в письмо нажав правую кнопку мыши -> Вставить (либо ctr + V)

трасеровка из разных частей света:
http://www.traceroute.org/ (огромный список с сортировкой по странам)
http://www.tracert.com/trace_exe.html (более 30 точек в т.ч. РФ и Украина)
http://yoip.com.ua/tools/traceroute (украина)

Проверка сайта на доступ и анализ

Alex — Sat, 31 Jan 2009 06:54:21 GMT

Как узнать IР - адрес моего компьютера?
Чтобы узнать, какой IР - адрес присвоен компьютеру, введите команду winipcfg в диалоговом окне Run (Запуск). Щелкните на кнопке Start (Пуск) и в главном меню выберите пункт Run (Запуск).
В Windows2000\XP IP - адрес можно посмотреть в свойствах соединения, когды вы находитесь на линии или набрав в командной строке - ipconfig /all.
Ping
Используется для проверки коннективности с удаленным хостом. Действует посредством посылки IMCP пакетов и ожидания ответа в течение 1 секунды (значение по умолчанию). Посылается 4 одинаковых пакета (значение по умолчанию). На экран выводится время в миллисекундах, затраченоое на ожидание отклика.
Формат команды:
ping [-n значение1] [-w значение2] [-t] IP-address или DNS-имя удаленного хоста значение1 ключа -n - число посылаемых на удаленный хост пакетов ( значение по умолчанию -4) значение2 ключа -w - время ожидания отклика в миллисекундах (значение по умолчанию -1000) -t - установка утилиты ping в непрерывный режим действия.
Пример. C:\>ping –n 10 ftp.netscape.com
Pinging ftp.netscape.com [207.200.74.21] with 32 bytes of data:
Reply from 207.200.74.21: bytes=32 time=150ms TTL=244
Reply from 207.200.74.21: bytes=32 time=130ms TTL=244
Reply from 207.200.74.21: bytes=32 time=220ms TTL=244
Reply from 207.200.74.21: bytes=32 time=150ms TTL=244
Reply from 207.200.74.21: bytes=32 time=120ms TTL=244
Reply from 207.200.74.21: bytes=32 time=180ms TTL=244
Reply from 207.200.74.21: bytes=32 time=151ms TTL=244
Reply from 207.200.74.21: bytes=32 time=170ms TTL=244
Reply from 207.200.74.21: bytes=32 time=141ms TTL=244
Reply from 207.200.74.21: bytes=32 time=90ms TTL=244
В поле time указывается, за какое время ( в миллисекундах) посланный пакет доходит до удаленного хоста и возвращается на Ваш хост. Так как значение по умолчанию для ожидания отклика от удаленного хоста равно 1 секунде, то все значения данного поля будут меньше 1000 миллисекунд. Если Вы получаете сообщение "Request time out", то, возможно, если Вы увеличите время ожидания отклика, пакет дойдет до удаленного хоста. Вы можете увеличить время ожидания с помощью ключа - w:
Пример. C:\>ping -w 10000 bash.ac.ru
Ключ -n используется для указания числа посылаемых пакетов. Если связь между хостами плохая, Вы увидете, сколько пакетов было потеряно.
К сожалению, хосты некоторых организаций не принимают IMCP пакеты (которые используются утилитами, подобными ping) с помощью маршрутизаторов и брэндмауэров. Например, ftp.microsoft.com не пингуется, хотя зайти на этот сервер не составляет труда. Так как некоторые вирусы атакуют удаленные хосты с помощью ping , возможно, именно по этой причине блокируется получение ping-пакетов.
Tracert
Утилита tracert используется для отслеживания маршрута пакета, посланного текущим хостом удаленному. Она может показаться более удобной и содержательной, чем ping, особенно в тех случаях, когда удаленный хост недостижим. Вы сможете определить район проблем со связью ( у Вашего Интернет-провайдера, в опорной сети либо в сети удаленного хоста) по тому, насколько далеко будет отслежен маршрут. Если Вы увидете строку со зведочками (*) либо с сообщениями типа "Destination net unreachable" , "Destination host unreachable" или "Request time out", возможно, Вы обнаружили район проблем со связью.
Формат команды:
tracert [-h значение1] [-w значение2 ] [-d] IP-address или DNS-имя удаленного хоста
Утилита tracert срабатывает следующим образом: посылается по3 пробных пакета на каждый хост, через который проходит маршрут до удаленного хоста. Утилита tracert использует параметр time-to-live (TTL) для ограничения времени прохождения пакета по маршруту, на котором каждый хост обнаруживается. TTL - это количество "скачков" или последовательных хостов, через которые разрешается пройти пакету. Стартуя со значения равного 1, TTL возрастает до тех пор пока, либо пакет не достигнет удаленного хоста либо не будет достигнуто максимальное значение "скачков"( 30 по умолчанию).
C:\>tracert –d –h 16 ftp.microsoft.com
Трассировка маршрута к ftp.microsoft.com [207.46.133.140] с максимальным числом переходов 16:

1 3 мс 2 мс 2 мс 212.19.2.97
2 4 мс 4 мс 5 мс 212.19.1.14
3 40 мс 12 мс 6 мс 212.19.0.41
4 8 мс 5 мс 5 мс 193.124.171.5
5 9 мс 8 мс 7 мс 193.124.171.37
6 20 мс 11 мс 25 мс 195.161.157.45
7 71 мс 28 мс 41 мс 195.161.2.217
8 226 мс 137 мс 130 мс 195.161.2.205
9 108 мс 147 мс 390 мс 195.161.0.134
10 512 мс 268 мс 277 мс 195.161.161.162
11 228 мс 433 мс 242 мс 207.45.205.29
12 267 мс 415 мс 262 мс 207.45.221.97
13 759 мс 348 мс 322 мс 207.45.222.210
14 301 мс 311 мс 283 мс 207.45.222.225
15 331 мс * 331 мс 207.45.222.233
16 346 мс 357 мс 318 мс 207.45.223.53

Трассировка завершена.
Параметр -d используется для отключения режима определения dns-имен хостов по IP-адресам для удобства чтения информации с экрана. Возможно, Вы не захотите использовать этот параметр, так как dns-имена хостов на маршруте от Вашего хоста до удаленного позволяют Вам понять, где физически эти хосты расположены.
В этом примере использован ключ -h со значением 16 с целью избежать множество надоедающих сообщений типа "Request timed out" . Значение по умолчанию - 30, оно вполне приемлемо, и , если трассировка прошла успешно, то Вы увидете всего несколько строчек, демонстрирующих маршрут.
В этом примере Вы видите, что на 10 скачке два из трех пакетов остались без отклика, возможно вследствие кратковременных сетевых проблем. Если Вы обнаружили проблему на одном из участков маршрута, то Вы можете связаться с администратором сети, которой принадлежит предыдущий участок маршрута, определив принадлежность сети по IP-адресу трассируемого хоста. В данном примере следует связаться с администраторjv сети, которой принадлежит IP-адрес 131.107.34.133 для того, чтобы он отследил проблему на следующем участке маршрута. Дальнейшее исследование проблемы с помощью утилиты nslookup ( которая будет рассмотрена ниже) показывает, что сеть класса В 131.107.0.0 принадлежит компании microsoft.com, так пожелаем ей удачи!

Для Обучения

infol — Fri, 11 Jan 2008 13:45:22 GMT

http://www.securityfocus.com/news
http://www.offensive-security.com/index.php
http://milw0rm.com/

Практические аспекты выявления атак

infol — Sat, 15 Dec 2007 19:00:27 GMT

Прежде всего необходимо подчеркнуть, что обнаружение атак системами обнаружения атак должно выполняться на различных уровнях ИС . Так, на самом нижнем уровне СОА способны выявлять атаки на конкретных узлах ИС - рабочих станциях, серверах и маршрутизаторах. Следующий уровень обнаружения - сетевые сегменты ИС, состоящие из нескольких хостов. Обнаружение атак также возможно и в более крупных объединениях элементов ИС - в локальных, территориально распределенных и глобальных системах. При этом в зависимости от инфраструктуры защищаемой ИС на разных уровнях могут использоваться разные методы выявления атак.

Рассмотрим, как можно использовать сигнатурный и поведенческий методы для обнаружения различных стадий информационных атак.

Следует отметить, что на стадии рекогносцировки, когда осуществляется сбор информации, эффективны лишь сигнатурные методы выявления атак. Дело в том, что все операции получения необходимой нарушителю информации в большинстве случаев не вызывают никакого отклонения работы ИС от штатного режима. Для этого этапа характерны такие признаки, как формирование запроса к DNS-серверу, получение информации из базы данных SNMP MIB или многократные TCP-запросы на установление соединения с различными портами. На стадии рекогносцировки могут использоваться как сетевые, так и хостовые датчики (см. таблицу).

Применимость сигнатурного и поведенческого методов для обнаружения различных стадий атак

Стадия атаки	Сигнатурный метод	Поведенческий метод
Рекогносцировка	+, СХ	-
Вторжение в ИС	+, СХ	+, СХ
Атакующее воздействие	-	+, Х
Развитие атаки	-	+, Х
Примечание: + - метод применим; - - метод неприменим; СХ - используются сетевые и хостовые датчики; Х - только хостовые датчики

На стадии вторжения обнаружить атаку можно при помощи как сигнатурных, так и поведенческих методов. Любое вторжение характеризуется определенными признаками, которые, с одной стороны, можно представить в виде сигнатуры, а с другой - описать как некое отклонение от штатного поведения ИС. Наиболее эффективно сочетание обоих методов, при этом для получения необходимых исходных данных применимы любые (хостовые или сетевые) датчики.

Эффективное выявление атак на этапах атакующего воздействия и развития атаки возможно только при помощи поведенческих методов, поскольку действия нарушителей зависят от целей проводимой атаки и фиксированным множеством сигнатур атак однозначно не определяются. Учитывая тот факт, что на двух последних стадиях жизненного цикла информационной атаки самые характерные объекты - это хосты, в данном случае наиболее целесообразно применение хостовых датчиков.

***

Итак, каков же ответ на поставленный в начале вопрос: "Можно ли выявить вторжение в информационную систему?". Да, можно, однако следует понимать, что обнаружение информационных атак на ресурсы ИС - весьма сложный технологический процесс, который связан со сбором немалых объемов информации о функционировании ИС, анализом этих данных и, наконец, выявлением факта атаки. Для эффективного обнаружения атаки на всех стадиях ее жизненного цикла требуется совместное применение как поведенческих, так и сигнатурных методов. И только комплексный подход к данной проблеме может значительно снизить риск вторжения в информационную систему и исключить потерю производственных и иных секретов.

Источники дополнительной информации

Y. Ho, D. Frinke, D. Tobin. Planning, Petri-Nets and Intrusion Detection, 1998.
Theuns Verwoerd, Ray Hunt. Intrusion detection techniques and approaches. Computer Communications, No 25, 2002.
Herve Debar, Marc Dacier, Andreas Wespi. Towards a taxonomy of intrusion detection systems. Computer Networks, No 31, 1999.
M. Ludovic. GASSATA, a Genetic Algorithm as an Alternative Tool for Security Audit Trails Analysis, 1998.

Поведенческие методы

infol — Sat, 15 Dec 2007 18:58:59 GMT

Поведенческие методы
базируются не на моделях информационных атак, а на моделях штатного
функционирования (поведения) ИС. Принцип работы любого из таких методов состоит
в обнаружении несоответствия между текущим режимом работы ИС и режимом работы,
отвечающим штатной модели данного метода. Любое несоответствие рассматривается
как информационная атака. Преимущество методов данного типа - возможность
обнаружения новых атак без модификации или обновления параметров модели. К
сожалению, создать точную модель штатного режима функционирования ИС очень
сложно.

Среди поведенческих методов
наиболее распространены те, что базируются на статистических
моделях. Такие модели определяют статистические показатели,
характеризующие параметры штатного поведения системы. Если с течением времени
наблюдается определенное отклонение данных параметров от заданных значений, то
фиксируется факт обнаружения атаки. Как правило, в качестве таких параметров
могут выступать уровень загрузки процессора, нагрузка на каналы связи, штатное
время работы пользователей системы, количество обращений к сетевым ресурсам и т.
д.

Примерами подобных
статистических моделей могут служить пороговая модель, модель среднего значения
и среднеквадратичного отклонения или ее "расширение" - многовариационная
модель.

В пороговой модели, как
явствует из названия, для каждого статистического параметра определены пороговые
величины. Если наблюдаемый параметр превышает заданный порог, то событие,
вызвавшее это превышение, считается признаком потенциальной атаки. Например,
превышение заданного количества запросов на доступ к ресурсам ИС может
свидетельствовать о факте атаки типа "отказ в обслуживании".

Модель среднего значения и
среднеквадратичного отклонения для каждого статистического параметра на основе
математического ожидания и дисперсии определяет доверительный интервал, в
пределах которого должен находиться данный параметр. Если текущее значение
параметра выходит за эти границы, то фиксируется осуществление атаки. Например,
если для каждого пользователя ИС определен доверительный интервал для времени
его работы в системе, то факт регистрации пользователя вне этого интервала может
рассматриваться как попытка получения несанкционированного доступа к ресурсам
системы.

Многовариационная модель
аналогична модели среднего значения и среднеквадратичного отклонения, но
позволяет одновременно учитывать корреляцию между большим количеством
статистических показателей.

Поведенческие методы также
реализуются при помощи нейросетей и экспертных
систем. В последнем случае база правил экспертной системы описывает
штатное поведение ИС. Так, при помощи экспертной системы можно точно
специфицировать взаимодействие между хостами ИС, которое всегда осуществляется
по определенным протоколам в соответствии с действующими стандартами. Если же в
процессе обмена информацией между хостами будет выявлена неизвестная команда или
нестандартное значение одного из параметров, это может считаться признаком
атаки.

Сигнатурные методы

infol — Sat, 15 Dec 2007 18:57:44 GMT

Сигнатурные методы описывают каждую атаку особой моделью или сигнатурой, в качестве которой могут применяться строка символов, семантическое выражение на специальном языке, формальная математическая модель и т. д. Суть сигнатурного метода в следующем: в исходных данных, собранных сетевыми и хостовыми датчиками СОА, с использованием специализированной базы данных сигнатур атак выполняется процедура поиска сигнатуры атаки. Преимущество данных методов - высокая точность определения факта атаки, а очевидный недостаток - невозможность обнаружения атак, сигнатуры которых пока не определены.

Среди сигнатурных методов выявления атак наиболее распространен метод контекстного поиска, который заключается в обнаружении в исходной информации определенного множества символов. Так, для выявления атаки на Web-сервер, направленной на получение несанкционированного доступа к файлу паролей, проводится поиск последовательности символов "GET */etc/passwd" в заголовке HTTP-запроса. Для расширения функциональных возможностей контекстного поиска в некоторых случаях используются специализированные языки, описывающие сигнатуру атаки. Ниже приведен пример сигнатуры атаки Land, описанной при помощи языка N-code системы NFR.

filter pptp ip ()
{
# Если IP-адрес отправителя пакета 
# данных совпадает с IP-адресом
# получателя, то в журнал записывается 
# информация об атаке Land
 if (ip.src == ip.dest)
 {
 system.time, eth.src, ip.src, sth.dst to land_recrdr;
 }
}

С помощью контекстного поиска эффективно выявляются атаки на основе анализа сетевого трафика, поскольку данный метод позволяет наиболее точно задать параметры сигнатуры, которую необходимо выявить в потоке исходных данных.

В ряде академических СОА были реализованы еще два сигнатурных метода: анализа состояний и метод, базирующийся на экспертных системах.

Метод анализа состояний основан на формировании сигнатуры атак в виде последовательности переходов ИС из одного состояния в другое. По сути, каждый такой переход определяется по наступлению в ИС определенного события, а набор этих событий задается параметрами сигнатуры атаки. Как правило, сигнатуры атак, созданные на основе анализа состояний, описываются математическими моделями, базирующимися на теории конечных автоматов или сетей Петри. Cеть Петри, описывающая сигнатуру атаки, которая выполняет подбор пароля для получения несанкционированного доступа к ресурсам ИС. Каждый переход ИС в новое состояние в этой сети Петри связан с попыткой ввода пароля. Если пользователь в течение 1 мин четыре раза подряд введет неправильный пароль, то метод зафиксирует факт осуществления атаки.

Методы, базирующиеся на экспертных системах, позволяют описывать модели атак на естественном языке с высоким уровнем абстракции. Экспертная система, лежащая в основе методов этого типа, состоит из двух баз данных: фактов и правил. Факты представляют собой исходные данные о работе ИС, а правила - алгоритмы логических решений о факте атаки на основе поступившего набора фактов. Все правила экспертной системы записываются в формате "если <...>, то <...>". Результирующая база правил должна описывать характерные признаки атак, которые обязана обнаруживать СОА.

Одна из наиболее перспективных сигнатурных групп - методы, основанные на биологических моделях. Для их описания могут использоваться генетические или нейросетевые алгоритмы. Первые предназначены для поиска оптимального решения на основе механизма естественного отбора в популяции. Популяция атак (как и в биологическом мире) представляется как множество хромосом, каждая из которых моделируется битовой строкой. Популяция развивается на основе трех генетических операций - скрещивания, селекции и мутации, и ее развитие продолжается до тех пор, пока не будет достигнут заданный критерий оптимальности (он определяется в виде специальной функции). При использовании генетических алгоритмов для выявления атак в качестве хромосом популяции выступают векторы определенной длины, каждый элемент которых соответствует определенной атаке. В результате развития такой популяции можно получить оптимальный вектор, который будет указывать, какие атаки происходят в системе в текущий момент времени.

Нейросетевой метод основан на создании сети взаимосвязанных друг с другом искусственных нейронов, каждый из которых представляет собой пороговый сумматор атак. После создания нейросеть проходит период "обучения", в течение которого она учится распознавать определенные типы атак: на ее вход подаются данные, указывающие на определенную атаку, после чего параметры нейросети настраиваются таким образом, чтобы на выходе она смогла определить тип этой атаки. Проблема данного метода состоит в том, что, прежде чем использующее его средство СОА сможет выявлять большое количество атак, необходим чрезвычайно длительный период обучения на большом количестве примеров. На сегодняшний день все методы, базирующиеся на биологических моделях, находятся в стадии исследования и коммерческого применения не имеют.

Способы обнаружения атак

infol — Sat, 15 Dec 2007 18:55:44 GMT

Процесс выявления
информационных атак, как и атака, начинается со сбора данных, необходимых для
определения факта атаки на ИС . В частности, можно
анализировать сведения о пакетах данных, поступающих в ИС, производительность
программно-аппаратных средств (вычислительная нагрузка на хосты, загруженность
оперативной памяти, скорость работы прикладного ПО), сведения о доступе к
определенным файлам системы и т. д. Полезно также иметь полную информацию о
регистрации пользователей при входе в ИС.

Для сбора исходной информации
традиционно используют специализированные датчики СОА, размещаемые на разных
элементах ИС. Напомним, что существуют два типа таких датчиков - сетевые и
хостовые. Первые предназначены для сбора информации о пакетах данных,
передаваемых в тех сегментах ИС, где они установлены. Хостовые же датчики
размещаются на определенных компьютерах и собирают информацию о событиях,
возникающих на этих компьютерах (например, сведения о сетевом трафике,
поступающем на хост, или системных событиях, регистрируемых в журналах аудита
ОС). При этом один узел может отслеживаться сразу несколькими хостовыми
датчиками, каждый из которых предназначен для сбора определенной информации.

Анализ данных, собранных
сетевыми и хостовыми датчиками, проводится в СОА с использованием специальных
методов выявления атак. Существуют две основные группы таких методов -
сигнатурные и поведенческие. Для того, чтобы лучше понять специфику обоих
методов, рассмотрим их конкретные примеры, реализованные в современных СОА.