نظام كشف التسلل القائم على المضيف

يواجه العديد من مستخدمي الحاسوب أدوات تراقب سلوك النظام الديناميكي، مثل برامج مكافحة الفيروسات . ورغم أن هذه البرامج تراقب حالة النظام أيضاً، إلا أنها تُركز بشكل كبير على تحديد الأنشطة التي يقوم بها كل برنامج داخل الحاسوب، وما إذا كان ينبغي لبرنامج معين الوصول إلى موارد النظام أم لا. وهنا تتداخل وظائف العديد من هذه الأدوات.

تحمي بعض أنظمة منع الاختراق من هجمات تجاوز سعة المخزن المؤقت على ذاكرة النظام ويمكنها فرض سياسة أمنية . ^{[ 6 ]}

يعتمد مبدأ عمل نظام كشف التسلل المستند إلى المضيف (HIDS) على حقيقة أن المتسللين الناجحين ( الهاكرز ) يتركون عادةً أثراً لأنشطتهم. في الواقع، غالباً ما يرغب هؤلاء المتسللون في امتلاك الحاسوب الذي هاجموه، ويثبتون "ملكيتهم" بتثبيت برامج تمنحهم صلاحية الوصول مستقبلاً لتنفيذ أي نشاط يخططون له (مثل تسجيل ضغطات المفاتيح ، وسرقة الهوية ، وإرسال الرسائل المزعجة ، ونشاط شبكات الروبوتات ، واستخدام برامج التجسس، إلخ).

من الناحية النظرية، يمتلك مستخدم الكمبيوتر القدرة على اكتشاف أي تعديلات من هذا القبيل، ويحاول نظام كشف التسلل القائم على المضيف القيام بذلك بالضبط والإبلاغ عن النتائج التي توصل إليها.

من الناحية المثالية، يعمل نظام كشف التسلل المستند إلى المضيف (HIDS) بالتنسيق مع نظام كشف التسلل المستند إلى الشبكة (NIDS)، بحيث يكتشف نظام HIDS أي شيء يتجاوز نظام NIDS. غالبًا ما تربط حلول البرامج المتوفرة تجاريًا بين نتائج نظامي NIDS وHIDS لتحديد ما إذا كان المتسلل قد نجح في اختراق المضيف المستهدف أم لا.

معظم المتسللين الناجحين، عند دخولهم إلى جهاز مستهدف، يطبقون على الفور أفضل ممارسات الأمان لتأمين النظام الذي تسللوا إليه، تاركين فقط بابهم الخلفي مفتوحًا، حتى لا يتمكن المتسللون الآخرون من الاستيلاء على أجهزة الكمبيوتر الخاصة بهم .

عادةً ما يبذل نظام كشف التسلل المستند إلى المضيف (HIDS) جهودًا كبيرة لمنع أي شكل من أشكال التلاعب بقاعدة بيانات الكائنات وقاعدة بيانات التحقق من المجموع الاختباري وتقاريرها. ففي نهاية المطاف، إذا نجح المتسللون في تعديل أي من الكائنات التي يراقبها نظام HIDS، فلن يمنعهم شيء من تعديل نظام HIDS نفسه، إلا إذا اتخذ مسؤولو الأمن الاحتياطات اللازمة. على سبيل المثال، تحاول العديد من الديدان والفيروسات تعطيل أدوات مكافحة الفيروسات.

إلى جانب تقنيات التشفير، قد تسمح أنظمة كشف التسلل المستندة إلى المضيف (HIDS) للمسؤولين بتخزين قواعد البيانات على قرص مضغوط أو على أجهزة ذاكرة أخرى للقراءة فقط (وهذا عامل آخر يُرجّح التحديثات غير المتكررة...)، أو تخزينها في ذاكرة خارجية. وبالمثل، غالبًا ما تُرسل أنظمة كشف التسلل المستندة إلى المضيف سجلاتها إلى خارج النظام فورًا، عادةً باستخدام قنوات VPN إلى نظام إدارة مركزي.

يمكن القول بأن وحدة النظام الأساسي الموثوق به تُشكل نوعًا من أنظمة كشف التسلل المستندة إلى المضيف (HIDS). ورغم اختلاف نطاقها عن نطاق أنظمة كشف التسلل المستندة إلى المضيف في جوانب عديدة، إلا أنها توفر أساسًا وسيلة لتحديد ما إذا كان أي شيء أو أي شخص قد عبث بجزء من جهاز الكمبيوتر. ومن الناحية المعمارية، يوفر هذا الحل الأمثل (على الأقل في الوقت الحالي).) اكتشاف التسلل القائم على المضيف، لأنه يعتمد على أجهزة خارجية لوحدة المعالجة المركزية نفسها، مما يجعل من الصعب على المتسلل إتلاف قواعد بيانات الكائنات والمجموعات الاختبارية الخاصة به.