Eserv IDS — система обнаружения и блокировки сетевых атак

Eserv IDS — компонент EservFireWall, занимающийся выявлением "подозрительных" сетевых клиентов и автоматической блокировкой запросов с этих IP-адресов. Блокировка может быть простейшей — немедленное закрытие TCP-соединения, иницированного с атакующего IP-адреса (без запуска потока его обработки). Либо более жесткой — блокировка всего трафика, исходящего от атакующих IP, на уровне пакетного фильтра в EservFireWall.

Универсальным для всех серверов (независимым от протокола) способом выявления атакующих IP является только один: посчет частоты соединений с этого IP и сравнение с заданным пороговым значением. Причем это и единственный тип атак, который не является эксплуатацией какой-то конкретной уязвимости (ошибки) в конкретном серверном ПО, а направлен на создание ситуации перегрузки атакуемого сервера запросами и невозможности обслуживания им обычных клиентов — DoS, "denial of service", "отказ в обслуживании". Таким образом простой установкой исправленной версии серверного ПО, как было с используемой вирусами уязвимостью RPC в Windows, с такой ситуацией не справиться. При DDoS-атаке серверу остается только распознать атакующий IP и стараться как можно меньше компьютерных ресурсов тратить на обработку обращений с этого IP, чтобы "нормальные" клиенты могли продолжать работать с сервером. Это достигается установкой блокировок на IP-адреса, входящие в такой динамически формируемый "черный список". В идеале такие блокировки должны останавливать "вражеские" пакеты на дальних подступах к атакуемому серверу (чтобы не перезагрузить его каналы связи). Но в реальной жизни чужие роутеры обычно неподвластны администратору атакуемого сервера, и ему остается держать оборону своими силами. При включенном Eserv IDS серверы из комплекта Eserv/3 могут просто стараться "не обращать внимания" на запросы от атакующих IP в течение заданного времени с момента обнаружения факта атаки.

При простейшей блокировке (закрытии соединения) атакующая программа не сможет посылать команды протокола — сразу получит код ошибки 10054 "соединение разорвано" при попытках чтения/записи в сокет. При блокировке в EservFireWall атакующая программа вообще не сможет больше устанавливать соединения с Eserv — будет получать код ошибки 10060 "таймаут" при попытке подключения.

См. также Snort — Snort IDS.