HIPS
HIPS, yanlışlıkla veya saldırılar sonucu ortaya çıkan sistem değişiklikleri ve yapılandırma dosyalarındaki oynamalar yaparak ,sistemdeki işlemlerin izlemesi yoluyla saptanıp, yerlerinin bulunmasında görev yapmaktadır. Değişikliklerin hızlıca saptanması potansiyel zarar riskini, arıza arama ve kurtarma süresini azaltıp, genel sistem etkileri en aza indirerek sistemin güvenlik ve çalışabilirliğini korur.HIPS; Host Intrusion Prevention System biçimde İngilizce açılımı olan ve ''Host Tabanlı İzinsiz Giriş Saptama Sistemi'' anlamına gelen yeni bir güvenlik teknolojisidir. Bu yeni teknoloji ile sisteminize yapılması muhtemel tüm kötü niyetli girişler tespit edilip engellenmektedir. Yani güvenlik duvarınızı ve diğer güvenlik yazılımlarınızı atlatmayı başaran zararlılar, bu korunma yöntemi ile etkisiz hale getirilebilmektedir. Sistem üzerindeki tüm giriş-çıkışları, izleyen, çalışmakta olan tüm uygulamaları (özellikle gizli çalışanları) gerçek-zamanlı olarak takip eden HIPS yazılımı kullanmak günümüzde bir zorunluluk haline gelmiştir.Güvenlik duvarları (Firewall) ve Anti-Virüs yazılımları kurulu oldukları bilgisayarları (ev sahiplerini yani "Hostları") korumak için iletişim verilerinden oluşan paketleri izleyip inceleyerek anlık iletişimi ve verileri iyi veya kötü olarak tanımlamaya çalışırlar. Bazı güvenlik duvarlarının ve anti-virüs yazılımlarının tamamlayıcı bir unsuru ise atak tespit ve önleme sistemleridir.Benzer tekniği kullanan sistemler için; IDS (Intrusion Detection System - Atak Tespit Sistemi), IPS (Intrusion Prevention Systems - Atak Önleme Sistemi), HIDS (Host-based Intrusion Detection Systems - Bilgisayar tabanlı Atak Tespit Sistemi), HIPS (Host-based Intrusion Prevention Systems - Bilgisayar tabanlı Atak Önleme Sistemi) gibi benzer isimler kullanılmıştır. Aralarında teknik olarak bazı ufak farklılıklar olsa da, temel çalışma mantıkları, kullandıkları yöntem, amaç ve hedefleri benzerdir. Dolayısı ile, bu gruba "Atak Tespit ve Önleme Sistemleri" (IDPS - Intrusion Detection and Prevention Systems) demek doğru olacaktır.Masaüstü bilgisayarlarda HIPS, NIPS(Network Intrusion Prevention System - İletişim ağı Atak Önleme Sistemi);Sezgisel(heuristic)tanımlama gibi teknikleri artık "pro-aktif güvenlik" başlığı altında tanımlamak gerekiyor. Çünkü, artık gelişen teknoloji, yeni atak türlerinin ve güvenlik açıklarının ortaya çıkması ile birlikte bu kavramlar iyice birbiri içine girmeye başladı. Nereye kadar HIPS, nereye kadar sezgisel(heuristic) tanımlama, nereye kadar NIPS olduğunu ayırmak gittikçe güçleşiyor veya gereksiz olmaya başlıyor. Zaten HIPS içinde kullanılan tekniklerde farklılıklar gösteriyor, her yazılım genel HIPS özelliklerinin sadece bir kısmını kullanıyor. Bu doğrultuda güvenlik sektöründe gelişmeler genel olarak "pro-aktif güvenlik" başlığı altında toparlayabileceğimiz bir alanda daha fazla hissediliyor. Birçok firewall ve antivirüs gibi üründe bu teknikleri kullanan ürünler var ve gün geçtikçe daha fazla karşımıza çıkıyor. Elbette bir kişisel güvenlik duvarında veya antivirüs yazılımında HIPS veya NIPS özelliklerinin olması bilgi güvenliği için önemlidir. Kişisel güvenlik duvarlarında NIPS özelliği olmalı, HIPS ise ayrı bir yazılım olarak ve/veya yine kişisel güvenlik duvarı ve/veya antivirüs yazılımının bir özelliği olarak yer almalıdır. Pro-aktif güvenlik özellikleri, birçok güvenlik yazılımının bir bileşeni veya yazılımın temel çalışma tekniği olarak karşımıza çıkıyor. Yani artık güvenlik alanında daha çok "pro-aktif güvenlikten" bahsedeceğimiz bir dönemi yaşıyoruz ve yaşayacağız.
HIPS YAZILIMLARININ GENEL ÖZELLİKLERİ
Host Tabanlı Saldırı Önleme Sistemleri Ne Yapar?
Bilgisayarımızda kurulu Anti-Virus yazılımlarının içinde listelenen binlerce tanım(signature) var. Bir dosyaya denk geldiğinde buradakilerden biriyle aynı mı diye kontrol ediyor ve eğer tanımlarda varsa izin verilmiyor, yoksa devam ediyor. HIPS buna yakın bir özelliği kullanıyor. Sistemde normalin dışında bir aktivite gördüğünde sizi uyarıyor ve engelliyor.HIPS yazılımları bazı yazılımlara karşı kısıtlama koyabilir fakat kullandığımız HIPS yazılımının popüler programların yanında severek kullandığımız bazı yazılımlarda uyum içinde çalışabilir olmasına dikkat etmeliyiz. O tür programları engelleme durumu var.Birçok HIPS yazılımı önceden ayarlanmış kurallar ile birlikte yüklenir. Bilinen açıklara ve zararlılara karşı korumayı bu şekilde yapar. Bilinmeyen saldırılara karşı kural yaratılabilir. Bir HIPS kullanıyorsak kendi kuralımızı mutlaka oluşturmalıyız. Zor görünse de bu bir gerekliliktir.Ne kadar dikkatli olursanız olun, gözünüzden kaçan birçok şey olabilir. HIPS yazılımı aktiviteleri raporlar halinde saklar ve gerektiğinde siz bu raporları inceleyerek sıra dışı bir işlem olup olmadığını kontrol edebilirsiniz. Bazı sorunlar durumunda uzmanlardan bu raporlar sayesinde yardım alabilirsiniz.Bir HİPS yazılımı Davranış-tabanlı olduğu ve imza-tabanlı olmadığı için;sizi hem bilinen, hem bilinmeyen, veya"sıfır-gün" tehditlerine karşı korur ve günümüzün bilgisayar güvenliği tehditlerine karşı anında etkilidir.HİPS'in sizi koruması için, diğer antivirüs ve anti-spyware programları gibi tarama yapmaya ihtiyacı yoktur.Davranış-tabanlı koruması,herhangi bir zararlının (virüs, solucan, trojan,rootkit,keylogger'lar ve buffer overflow atakları da dahil olmak üzere tüm tehditleri) davranışıyla tutarlı bir davranışı bloke etmek ve engellemek amacıyla; dosyaların, arka plan görevlerinin ve işlemlerin gerçek davranışlarını inceler ve gözlemler.Bu şekilde bir PC'yi aktif olarak savunur.O hep arka planda aktiftir, kötü niyetli davranışlara gözcülük ederek sizi daima gerçek-zamanlı olarak korumaktadır. Şayet bir tehdit tesbit ederse, hemen sizi uyaracaktır ve tehditi sisteminizden temizleyecektir.Davranış-tabanlı yaklaşım,geleneksel imza-tabanlı antivirüs yazılımlarına göre daha üstündür.Çünkü geleneksel programlar kesinlikle ''reaktif koruma'' sağlarlar.Ancak tehdit keşfedildikten ve tehdide karşı korunmak için yeni imzaların geliştirilme,test edilme, güncellemelere katılma aşamaları bittikten sonra, geleneksel programlar sizi yeni bir tehdite karşı koruyabilirler.HİPS ise sizi korumak için imzalara güvenmez; onun yerine bir PC'nin güvenliğini zedeleyebilecek herhangi bir aktivite ya da davranışı proaktif olarak kapatır.Tehdit ne kadar yeni olursa olsun, sisteminiz daima korunmaktadır.Ayrıca bazı HİPS yazılımlarının çekirdek davranış-tabanlı korumasına ilaveten; gizli rootkit'leri derinlemesine aramak,bulmak için özel bir rootkit-tarayıcısı da bulunmaktadır. Rootkit'ler,sisteminizin derinlerinde saklanmasıyla ve zor tesbit edilebilir olmalarıyla bilinen özel bir tehdit kategorisidir.İyi saklanabildiklerinden dolayı, tesbitleri için bazen extra bir çalışma gerekir.Bir HİPS'in sessiz olması, sizi korumak için sıkı çalışmadığı anlamına gelmez.O sürekli olarak sessizce arka planda çalışır,kötü niyetli davranış işaretleri için, sürekli olarak tüm aktiviteleri analiz eder.Eğer herşey normal görünüyorsa, canınızı sıkmanız için bir sebep yoktur. Ancak şüpheli herhangi bir şey tesbit ettiği anda, uyarı alacaksınızdır.HİPS yazılımlarının''ActiveDefense teknolojisi'',bugün mevcut olan en zeki davranış-tabanlı analiz teknolojisidir.Sürekli olarak PC'nizdeki tüm aktiviteleri çok düşük bir sistem seviyesinde gözetler ve analitik, risk algoritmaları, program geçmişleri ve tolerans eşiklerinden oluşan özel bir kombinasyonu; tehditleri tanımak ve engellemek için kullanır. Bazı HİPS yazılımı (örnğ.ThreatFire gibi) bir yandan, potansiyel yanlış alarm sayısını düşürmek için bir beyaz-liste barındırırken, diğer yandan bu beyaz-listedeki uygulamalara da körü körüne güvenmez.O yine daimi olarak bir sistemde gerçekleşen tüm davranışları inceleyecek ve herhangi bir şüpheli durum oluşmaya başladığında, beyaz listede olup olmadığına bakmaksızın uyarısını yine yapacaktır.Herhangi bir uygulamanın tehlikeli olabilme olasılığı olduğu için, herhangi bir uygulamaya güvenmek de esasen bir güvenlik yazılımı için tehlikeli ve etkisiz bir yaklaşımdır.Genel olarak HİPS yazılımları herhangi bir kullanıcı ayarları ya da yapılandırması gerektirmezler.Tamamen yapılandırılmış olarak paketlenmişlerdir ve yapılması güç herhangi bir ayar veya kullanıcının teknik bilgisini gerektirmezler. Ayrıca bazı HİPS yazılımı (örnğ.ThreatFire gibi)gerçekte zararlı olmayan "iz sürücü çerezler" (tracking cookies) gibi maddelere karşı da sizi uyarmayacaktır.Bunlar, diğer imza-tabanlı Antivirüs ya da Anti-Spyware taramalarında tesbit edilebilecek;"uykudaki" veya zararlı olmayan tehditlerdir.Bu yüzdendir ki, "davranış-tabanlı" ve "imza-tabanlı" yazılım türleri, birbirlerinden çok farklı şekillerde çalışırlar.Fakat bir çok kullanıcı güvenlik yazılımından, bu tür tehditlerin de taranmasını beklediğinden;ThreatFire'a kurulum-öncesi bir tarayıcı ilave edilmiştir(rootkit-tarayıcısı).Bu "PC Güvenlik Kontrolü" (PC Security Check); ThreatFire kurulumundan önce sisteminizin hızlı ve temel bir taramasını yapacaktır; ve herhangi bir tehdit ya da çerez tesbit ettiğinde sizi uyaracaktır. İşin özü, bir adet HIPS yazılımı kurup, bir iki haftanızı harcayarak ne işe yaradığına ve nasıl kullanıldığını öğrenmeniz gelecek için çok faydalı olacaktır.
HIPS YAZILIMI NEDEN KULLANMALIYIZ:
Kurduğumuz programın ne işe yaradığını bilmemiz gerekiyor. Bir CD den program yüklerken bedava diye yüklemeyin. Programın ne olduğunu iyi bilin.Programın adına güvenip de hemen indirmeyin. İlk başta araştırın. Programları resmi sitelerinden indirmeye özen gösterin.HIPS yazılımı kullanmak günümüzde gereklilik haline gelmiş bulunuyor.Bu özellik ,modern Anti-Virus ve Firewall programlarının çoğunda bulunuyor ,ama güvenliğe önem veriyorsanız ayrı bir HIPS yazılımı kullanmanızda fayda var. HIPS programları davranış-tabanlı tesbiti kullandığından, diğer imza-tabanlı ürünlerinizle çakışmayacaktır.Diğer imza-tabanlı güvenlik programlarınıza mükemmel bir tamamlayıcıyı oluştururlar.Çoğu geleneksel antivirüs programlarıyla tamamen uyumludur, ve bu programlarla herhangi bir çakışma olmadan yanyana çalışabilirler.Bazı durumlar haricinde programların içinde bulunan, Anti-Virus programlarıyla çakışma yapmamaları için ayarlama bölümü yapmışlardır.Firewall veya Security Suite gibi belirli bazı türdeki programlarla,çalışabilmeleri için bazı izinlerin verilmesi gerekebilir.Herkes güvenli bir bilgisayar kullanımı hakkına sahip olmalıdır.Kötü niyetli tehditler ve casus yazılımlarda son yıllarda görülen muazzam artış, güvenliği sağlamanın tecrübeli bilgisayar kullanıcıları için bile bir savaş niteliğinde olabileceğini kanıtladı.Büyük miktarlardaki zararlı yazılımların gün be gün meydana getiriliyor olması, geleneksel imza-tabanlı yazılımların bunlara yetişebilmesini de zorlaştırıyor.Tüm bu yeni ve bilinmeyen tehditler daha büyük bir risk unsurudur, çünkü daha hızlı yayılmaktadırlar ve daha tehlikelidirler.
HİPS YAZILIMI ÇEŞİTLERİ:
1-HIDS(Host Based Intrusion Detection System)
2-HIPS(Host Based Intrusion Prevention System)
3-IDPS(Intrusion Detection and Prevention System)
4-NIPS(Network Based Intrusion Prevention System)
5-CBIPS(Content Based Intrusion Prevention System)
6-RBIPS(Rate Based Intrusion Prevention System)
HIPS YAZILIMLARI HANGİLERİDİR:
Mamutu
http://www.mamutu.com/en/software/mamutu/
http://www.emsisoft.com/en/software/mamutu/
http://www.softpedia.com/get/Security/Firewall/Mamutu.shtml
CyberHawk[yeni ismi: ThreatFire]
http://www.novatix.com/
http://www.novatix.com/cyberhawk/
http://www.wilderssecurity.com/showthread.php?t=183020
Dynamic Security Agent[DSA]
http://www.privacyware.com/DSA_UserGuide.pdf
Arovax Shield
http://www.arovaxshield.com/
Comodo Defense +
http://www.wilderssecurity.com/showthread.php?t=230896
http://www.pctools.com/forum/showthread.php?t=50032
http://doctus.org/showthread.php?t=49728
http://www.techsupportalert.com/ ... ut-disabling-it.htm
DefenseWall
http://www.softsphere.com/
http://www.softpedia.com/get/Antivirus/DefenseWall.shtml
http://doctus.org/showthread.php?t=33925
Real Secure [ve Network]
http://windowsitpro.com/Windows/ ... /realsecure-30.html
http://www.b2net.co.uk/iss/iss_realsecure_network_sensor.htm
http://www.b2net.co.uk/iss/iss_realsecure_guard.htm
http://www.scmagazineus.com/realsecure-network-sensor/review/568/
Cisco Net Range
Malware Defender ,
http://malware-defender.en.softonic.com/
CyberCOP
https://cybercop.esportals.com/
http://www.cybercopportal.org/
NetProwler
http://seclists.org/ids/2001/May/0004.html
http://www.c2000.com/products/sec_netp.htm#contact
Snort veya Snort for IIS
http://www.securityfocus.com/infocus/1315
Pakemon(Packet Monster)
http://www.securityfocus.com/tools/1307
Firestorm
http://www.codefutures.com/products/firestorm/
AntiHook
http://www.infoprocess.com.au/antihook.php
NeovaGuard
http://www.neoava.com/
Parador Security
http://www.neoava.com/
http://www.wilderssecurity.com/showthread.php?t=116080
ProcessGuard
http://www.diamondcs.com.au/processguard/
http://www.diamondcs.com.au/processguard/download.php
System Safety Monitor
http://syssafety.com/
Winpooch
http://winpooch.free.fr/page/home.php?lang=en&page=home
RegRun Sec.Sui.Pro
http://www.greatis.com/security/
Zemana Antilogger
http://www.zemana.com/list/list.aspx?ktgr_id=354
Firestarter
http://www.fs-security.com/
ProSecurity
http://www.proactive-hips.com/
Abtrusion Protector
http://www.abtrusion.com/
Winpatrol
http://www.winpatrol.com/
http://www.winpatrol.com/setuptr.exe
https://www.chip.com.tr/forum/Win ... ee-trkc_t97324.html
http://doctus.org/showthread.php?p=409336#post409336
Ghost Security Suite
http://www.ghostsecurity.com/
http://www.ghostsecurity.com/products/
Geek SuperHero
http://www.geeksuperhero.com/index.shtml
AbuseShield
http://www.globesoft.com/software_products_expand.asp?productID=9
Abtrusion Protector
http://www.abtrusion.com/
All-Seeing Eye
http://www.fortego.com/en/ase.html
Anti exe
http://anti-exe.qarchive.org/
AppDefend
http://www.ghostsecurity.com/appdefend/
Blink
http://www.eeye.com/html/products/blink/personal/index.html
Coreforce
http://force.coresecurity.com/index.php?module=base&page=main
DriveSentry[HIPS technologies]
http://www.drivesentry.com/
Geek SuperHero
http://www.geeksuperhero.com/index.shtml
Online Armor
http://www.tallemu.com/Online-Armor.php
http://www.tallemu.com/products-online-armor-free.php
Ossurance Desktop
http://www.ossecurity.ca/product ... e=ossurance_desktop
Prevx 1.0\2.0
http://www.prevx.com/
http://www.prevx.com/antimalware.asp
SafePC
http://www.visioninn.com/ais/AIS_Product_SafePC.asp
http://www.shareup.com/SafePC-download-20489.html
Safe'n'Sec [Personal or Deluxe]
http://www.safensoft.com/
SoftClan Integrity
http://www.gtpcc.org/gtpcc/softclanintegrity2.htm
http://www.downloadsetup.com/indir.asp?id=12654
SecuriTask
http://www.gtpcc.org/gtpcc/softclanintegrity2.htm
http://www.brothersoft.com/securitask-38443.html
ThreatMon
http://www.antirootkit.com/software/ThreatMon.htm
Trust-No-Exe
http://www.beyondlogic.org/solut ... xe/trust-no-exe.htm
http://www.softpedia.com/get/Sys ... /Trust-No-Exe.shtml
http://download.cnet.com/Trust-No-Exe/3000-2248_4-10549450.html
ViGuard
http://kareldjag.over-blog.com/6-categorie-69553.html
http://viguard.en.softonic.com/
Winsonar
http://digilander.libero.it/zancart/winsonar.html
http://www.fewbyte.com/winsonar.html
http://www.softpedia.com/get/System/System-Info/Winsonar.shtml
Netchina S3 HIPS
http://www.netchina.com.cn/users/0/155.html
http://www.wilderssecurity.com/showthread.php?t=199207&page=2
http://doctus.org/showthread.php?t=31715
Geswall Professional v2.9
http://www.gentlesecurity.com/
http://www.gentlesecurity.com/download.html
HIPS yazılımları kullandıkları tekniklere göre aşağıda ki gibi sınıflandırılabilir :
I-Anormallik analizi yapanlar;
- AbuseShield
- AllSeeingEye
- AntiHook
- AppDefend/GhostSecurity Suite
- BrowserSentinel
- CyberHawk
- Dynamic Security Agent
- NeovaGuard
- Ossurance Desktop
- Parador Security
- Primary Response SafeConnect
- ProSecurity
- ProcessGuard
- Safe'n'Sec
- SafePC
- Securitask2005
- SensiveGuard
- Softclan Integrity/Softclan Security Suite
- System Safety Monitor
- ThreatMon
- WinPooch
II-İz/imza veritabanı (signature) kullanıp anormallik analizi yapanlar;
- A2 (A-Squared)
- Online Armor
- Safe'n'Sec Plus
- SpyWall
- WinPooch (ClamWin)
- KAV6 ve KIS6 'daki HIPS'de bu sınıfa sokulabilir.
III-Beyaz liste (White list), suistimal ve anormallik analizi yapanlar;
-PrevX
IV-Sadece beyaz liste analizi yapanlar;
- Abtrusion Protector
- Anti-Executables
- Zorro PC Protector
V-Bütünlük/doğruluk kontrolü ve anormallik analizi yapanlar;
- Invircible
- Viguard
VI-Beyaz liste ve/veya virtualization (kaynakların özelliklerinin gizlenmesi) ve/veya sandboxing (çalışma ortamı için sınırlanmış bir alan yaratılması) ve/veya politika kısıtlamaları tekniklerini kullananlar;
- CoreForce
- DefenseWall
- GesWall
- SandBoxie
VII-Sadece virtualization (kaynakların özelliklerinin gizlenmesi) tekniğini kullananlar;
- BufferZone
- GreenBorder
- V-Elite
- Virtual Sandbox
VIII-Bunların dışında sadece; "rootkit" (kritik sistem dosyalarını değiştirip bilgisayara dışardan erişilmesini sağlayan ve gizleyen zararlılar), "zero day attack" (sıfır gün atağı), "buffer overflow" (tampon bellek taşmaları), "data theft attacks" (bilgi/veri çalma atakları) v.b. gibi özel durumlara ve risklere yönelik HIPS yazılımları da vardır.
a)Rootkit'ler için;
- Helios
- Gmer
b)Sıfır gün atakları veya güvenliği için "zero day attack" ;
- SocketShield
- PreEmpt
c)Tampon bellek taşmaları için"buffer overflow";
- AttackShield
- BufferShield
- BoWall
- DefensePlus
- StackDefender
- WehnTrust
d)Bilgi/veri çalma atakları için"data theft attacks";
- DeviceLock
- DeviceWall
- MobileGov
HIPS yazılımlarının ücretsiz olanları içinde en ilgi çekici olanları;
- AntiHook
- Prevx1R
- ProcessGuard Free
- System Safety Monitor Free Edition
- WinPatrol Free
- Winsonar
- Geswall Free
Türkçe Hips'ler :
http://winpooch.free.fr/page/home.php?lang=en&page=home
http://www.winpatrol.com/download.html
http://www.winpatrol.com/setuptr.exe
http://www.zemana.com/TR/Default.aspx
hatta diye düşünüyorum ben. hatta diye düşünüyorum ben bilmiyorum (bunu da diyenler var) örnek: yaani, bilmoorum, bence üniveersitemizin kantini fazla ucuoz... yaani... bir sürü saçma sapan insanla birlikte sıra bekliyorrooaaz yaani... bence kantindeki fiyatlar arttırılmalı... diye düşünüoorruım ben, bilmiyorom...
ne kadar sakız olursa o kadar mutasyona uğruyor diye düşünüyorum ben şahsen yani bilmiyorum sen ne düşünüyon ama ben böyle düşünorum :)
