Domain Name System (DNS) Servers
All host names and addresses stored in an external DNS server are supposed to be exposed to public. Hence, the external DNS server should not hold information about the internal network. The external DNS server may be hosted at the Internet Service Provider (ISP).
• A separate internal DNS server could be set up and placed in the internal network if internal domain information is needed, but the information should not be disclosed to the Internet.
Intrusion Detection and Monitoring
As mentioned above, the intrusion detection and monitoring function can be performed either manually or automatically by using some intrusion detection and monitoring tools.
ドメインネームシステム（DNS）サーバ
外部DNSサーバに格納されているホスト名とアドレスはすべて、公開されることになっている。したがって、外部DNSサーバーは、内部ネットワークに関する情報を保持すべきではない。外部DNSサーバは、インターネットサービスプロバイダ（ISP）にホストすることは可能だ。
•内部ドメイン情報が必要な場合、別の内部DNSサーバーが設定され、内部ネットワークに配置されることがあるが、この情報はインターネットに公開すべきではない。
侵入検知とモニタリング
先述のように、侵入検知およびモニタリング機能は、侵入検知および監視ツールをいくつか使用することで、手動または自動で行うことができる。
If performed manually, system and application logs should be properly kept, reviewed and analysed for all critical components. Reviewing and monitoring procedures should be properly established and followed. If performed automatically, network IDS or IPS tools can be used.
An IDS passively monitors traffic by listening to and examining the packets within a network. Signatures of known attack attempts will be compared against traffic pattern to trigger an alert.
An IPS provides a more proactive approach beyond an IDS because it can be configured to stop the attack from damaging or retrieving data from the target victim upon detection of an attack pattern.
手動で行う場合は、すべての重要なコンポーネントのために、システムおよびアプリケーションログを適切に記録、見直し、分析をすること。手順の見直しおよびモニタリングを適切にエスタブリッシュ、フォローすること。自動で行う場合は、ネットワークIDSまたはIPSツールを使用することができる。
普通IDSは、ネットワーク内のパケットを傾聴・調査することで、トラフィックを受動的に監視する。既知攻撃を試みるシグニチャーは、アラートをトリガするトラフィックパターンと比較される。
普通IPSは、IDS以上に積極的なアプローチを行う。攻撃パターンを検出すると同時に、標的データの攻撃・取得を停止するよう設定でるからだ。
Similar to a firewall, an IPS can intercept and forward packets and can thus block attacks in real-time.
These tools reside in the networks or hosts to detect any suspicious activities, and monitor the network traffic or system activities. Some suggestions are listed as follows:
• IDS/IPS should be placed in the DMZ to detect external attacks. Additional IDS/IPS can be placed in the internal network to detect internal attacks if required.
• The operation of the IDS/IPS should be as stealth as possible. It should be hidden and protected by the firewall system to protect it from attacks.
ファイアウォール同様、IPSはパケットの傍受、転送が可能で、したがってリアルタイムで攻撃をブロックすることもできる。
疑わしい活動を検出するため、こうしたツールをネットワーク内あるいはホスト内に常駐させる。また、ネットワークトラフィックまたはシステムアクティビティを監視する。以下に提案をいくつか。
•IDS/ IPSは、外部攻撃を検出するためにDMZに配置すること。必要に応じて、内部攻撃を検出するために内部ネットワークにIDS/ IPSを追加配置することができる。
•IDS/ IPSの動作はできるだけひた隠しにすること。攻撃から保護するために、ファイアウォールシステムによって隠匿、保護すること。
