Runall dvi

21.4.3 Intrusion Detection
It’s a good idea to assume that attacks will happen, and it’s often cheaper to
prevent some attacks and detect the rest than it is to try to prevent everything.
The systems used to detect bad things happening are referred to generically as
intrusion detection systems. The antivirus software products I discussed earlier
are one example; but the term is most usually applied to boxes that sit on
your network and look for signs of an attack in progress or a compromised
machine [1100]. Examples include:
spam coming from a machine in your network;
packets with forged source addresses — such as packets that claim to
be from outside a subnet coming from it, or packets that claim to be from
inside arriving at it;
a machine trying to contact a ‘known bad’ service such as an IRC channel
that’s being used to control a botnet.

---

21.4 Defense Against Network Attack
661
In cases like this, the IDS essentially tells the sysadmin that a particular
machine needs to be scrubbed and have its software reinstalled.
Other examples of intrusion detection, that we’ve seen in earlier chapters,
are the mechanisms for detecting mobile phone cloning and fraud by bank
tellers. There are also bank systems that look at customer complaints of credit
card fraud to try to figure out which merchants have been leaking card data,
and stock market systems that try to detect insider trading by looking for
increases in trading volume prior to a price-sensitive announcement and other
suspicious patterns of activity. And there are ‘suspect’ lists kept by airport
screeners; if your name is down there, you’ll be selected ‘at random’ for extra
screening. Although these intrusion detection systems are all performing very
similar tasks, their developers don’t talk to each other much. One sees the
same old wheels being re-invented again and again. But it’s starting slowly
to become a more coherent discipline, as the U.S. government has thrown
hundreds of millions at the problem.
The research program actually started in the mid-1990s and was prompted
by the realisation that many systems make no effective use of log and audit
data. In the case of Sun’s operating system Solaris, for example, we found in
1996 that the audit formats were not documented and tools to read them were
not available. The audit facility seemed to have been installed to satisfy the
formal checklist requirements of government systems buyers rather than to
perform any useful function. There was at least the hope that improving this
would help system administrators detect attacks, whether after the fact or even
when they were still in progress. Since 9/11, of course, there has been a great
switch of emphasis to doing data mining on large corpora of both government
and commercial data, looking for conspiracies.