Detección/prevención de intrusos

Las herramientas o Sistemas de Detección y Prevención de Intrusos (IDS/IPS) ayudan a proteger las redes de comunicaciones y dispositivos. Configurados correctamente, contribuyen a descubrir y parar intrusiones, amenazas o comportamientos no deseados que ponen en riesgo la ciberseguridad de la empresa.                                           

IDS

Un IDS es una tecnología de seguridad de red concebida inicialmente para detectar vulnerabilidades o exploits dirigidos contra una aplicación o sistema.

En sus orígenes, un IDS se colocaba al borde de nuestra red para detectar estas amenazas. Aunque aportaba a la protección de la red, su ubicación impedía una visibilidad profunda de las comunicaciones en tiempo real. El inconveniente de los IDS es que no estaban en la verdadera ruta de transmisión del tráfico a analizar. Debido a su consumo de ancho de banda y sobre todo procesador, los IDS en realidad analizan una copia del flujo de tráfico para así no impactar negativamente el rendimiento de la red.

Al ser un sistema de monitorización, un IDS analiza e informa, pero no toma medidas automáticamente para evitar que un exploit detectado comprometa el sistema. Esto hace que el IDS sea un dispositivo de prevención inadecuado.                                                            

IPS

         Los IPS ampliaron las soluciones IDS al añadir la capacidad de bloquear amenazas además de detectarlas, y se ha convertido en la opción de despliegue dominante para las tecnologías IDS/IPS. La capa añadida a IDS nos habilitó una tarea automática que hasta hace poco era muy tediosa. La realidad es que casi nos enterábamos de que teníamos una brecha de seguridad cuando el daño ya estaba hecho.

        Al contrario de un IDS, un IPS suele estar situado detrás de un cortafuegos para funcionar como otro filtro de actividades malintencionadas. Dado que se encuentran en línea, los IPS son capaces de analizar y tomar acciones automatizadas en todos los flujos de tráfico de la red. Estas acciones pueden incluir alertar a los administradores, tirar paquetes peligrosos, detener el tráfico que proviene de la dirección de origen y reiniciar las conexiones. Es importante señalar que un sistema eficaz de prevención de intrusiones debe ser eficiente para no obstaculizar el rendimiento de la red. Además, los sistemas de prevención de intrusiones deben funcionar con rapidez y precisión para detectar las actividades maliciosas en tiempo real y evitar falsos positivos.

¿Cómo funcionan?

Los dos métodos predominantes para Sistemas de Detección y Prevención de Intrusos (IDS/IPS) son la detección basada en la firma y la detección basada en las anomalías estadísticas.

 

El método de detección basado en firmas utilizado por los IPS consiste en un diccionario de firmas identificables de manera única que se encuentran en el código de cada exploit. Hay dos tipos de métodos de detección basados en la firma para los sistemas de prevención de intrusos también: los que se basan en la exploit y los que se basan en la vulnerabilidad. Los métodos orientados a exploit detectan la actividad maliciosa sobre la base de pautas de ataque comunes, mientras que los métodos orientados a la vulnerabilidad tratan de detectar la actividad maliciosa mediante la identificación de vulnerabilidades específicas.

 

Por otra parte, los sistemas de prevención de intrusos que se basan en la detección estadística basada en anomalías toman muestras aleatorias del tráfico de la red y luego las comparan con un nivel de rendimiento básico predeterminado.