Un Sistema de Detecció d'Intrusos o SDI (o IDS de les seves sigles en anglès Intrusion Detection System) és un programa de detecció d'accessos no autoritzats a un computador o a una xarxa.
El SDI sol tenir sensors virtuals (per exemple, un sniffer o analitzador de paquets de xarxa) amb els quals el nucli de l'SDI pot obtenir dades externes (generalment sobre el tràfic de xarxa). L'SDI detecta, gràcies a aquests sensors, les anomalies que poden ser indici de la presència d'atacs i falses alarmes.[1]
Els tipus IDS abasten des del punt de vista d'ordinadors individuals a xarxes grans.[2] Les classificacions més comunes són sistemes de detecció d'intrusió de xarxa (NIDS) i sistemes de detecció d'intrusions basats en host (HIDS). Un sistema que monitoritza importants fitxers del sistema operatiu és un exemple d'HIDS, mentre que un sistema que analitza el trànsit de xarxa entrant és un exemple d'un NIDS. També es pot classificar l'IDS mitjançant l'enfocament de detecció: les variants més conegudes són la detecció basada en la signatura (reconeixent patrons defectes, com ara el programari maliciós); i detecció basada en anomalies (detecció de desviacions d'un model de trànsit "bo", que sovint es basa en l'aprenentatge automàtic).[3] Alguns productes IDS tenen la capacitat de respondre a intrusions detectades. Els sistemes amb capacitats de resposta es denominen normalment un sistema de prevenció d'intrusions. Els sistemes de detecció d'intrusos també poden servir propòsits específics, augmentant-los amb eines personalitzades, com ara utilitzar un honeypot per atreure i caracteritzar trànsit maliciós.[4]
El funcionament d'aquestes eines es basa en l'anàlisi detallada del tràfic de xarxa, el qual en entrar a l'analitzador és comparat amb signatures d'atacs coneguts, o comportaments sospitosos, com pot ser l'escaneix de ports, paquets malformats, etc. El SDI no només analitza què tipus de tràfic és, sinó que també revisa el contingut i el seu comportament.
Normalment aquesta eina s'integra amb un tallafoc. El detector d'intrusos és incapaç de detenir els atacs per si només, excepte els quals treballen conjuntament en un dispositiu de porta d'enllaç amb funcionalitat de tallafoc, convertint-se en una eina molt poderosa, ja que s'uneix la intel·ligència del SDI i el poder de bloqueig del tallafoc, a l'ésser el punt on forçosament han de passar els paquets i poden ser bloquejats abans de penetrar a la xarxa.
Els SDI solen disposar d'una base de dades de “signatures” d'atacs coneguts.
Aquestes signatures permeten al SDI distingir entre l'ús normal del PC i l'ús fraudulent, i/o entre el tràfic normal de la xarxa i el tràfic que pot ser resultat d'un atac o intent del mateix.[5]
Existeixen dos tipus de sistemes de detecció d'intrusos:
- HIDS (HostIDS): el principi de funcionament d'un HIDS, depèn de l'èxit dels intrusos, que generalment deixessin rastres de les seves activitats en l'equip atacat, quan intenten ensenyorir-se del mateix, amb propòsit de dur a terme altres activitats. El HIDS intenta detectar tals modificacions en l'equip afectat, i fer un reporti de les seves conclusions.
- NIDS (NetworkIDS): un SDI basat en la xarxa, detectant atacs a tot el segment de la xarxa. La seva interfície ha de funcionar en manera promíscua capturant així tot el tràfic de la xarxa.
En un sistema passiu, el sensor detecta una possible intrusió, emmagatzema la informació i mana un senyal d'alerta que s'emmagatzema en una base de dades. En un sistema reactiu, el SDI respon a l'activitat sospitosa reprogramant el tallafocs perquè bloquegi tràfic que prové de la xarxa de l'atacant. Un sistema que reacciona davant l'atac prevenint que aquest continuï, es denomina IPS per les seves sigles en anglès de "intrusion prevention system".
Si ben tots dos estan relacionats amb seguretat en xarxes d'informació, un SDI, difereix d'un tallafocs, que aquest últim generalment examina exteriorment per intrusions per evitar que aquestes ocorrin. Un tallafocs limita l'accés entre xarxes, per prevenir una intrusió, però no determina un atac que pugui estar ocorrent internament a la xarxa. Un SDI, avalua una intrusió quan aquesta pren lloc, i genera una alarma. Un SDI a més observa atacs que s'originen dins del sistema. Aquest normalment s'aconsegueix examinant comunicacions, i identificant mitjançant heurística, o patrons (coneguts com a signatures), atacs comuns ja classificats, i presa una acció per alertar a un operador.[5]
Un SDI usa alguna de les dues següents tècniques per determinar que un atac es troba en curs:
Patró
Un SDI basat en patrons, analitza paquets a la xarxa, i els compara amb patrons d'atacs coneguts, i preconfigurats. Aquests patrons es denominen signatures. A causa d'aquesta tècnica, existeix un període entre el descobriment de l'atac i el seu patró, fins que aquest és finalment configurat en un SDI. Durant aquest temps, l'SDI serà incapaç d'identificar l'atac.[6]
Heurística
Un SDI basat en heurística, determina activitat normal de xarxa, com l'ordre d'ample de banda usat, protocols, ports i dispositius que generalment s'interconnecten, i alerta a un administrador o usuari quan aquest varia d'aquell considerat com a normal, classificant-ho com a anòmal.[7]
Per posar en funcionament, un sistema de detecció d'intrusos s'ha de tenir en compte que és possible optar per una solució maquinari, programari o fins i tot una combinació d'aquests dos. La possibilitat d'introduir un element maquinari és a causa de l'alt requeriment de processador en xarxes amb molt tràfic. Al seu torn els registres de signatures i les bases de dades amb els possibles atacs necessiten gran quantitat de memòria, aspecte a tenir en compte.[8][9]
En xarxes és necessari considerar el lloc de col·locació del SDI. Si la xarxa està segmentada amb hub (capa 1 del model OSI) no hi ha problema a analitzar tot el tràfic de la xarxa realitzant una connexió a qualsevol port. En canvi, si s'utilitza un commutador (capa 2 del model OSI), és necessari connectar el SDI a un port SPAN o Nimby (Switch Port Analiser) per poder analitzar tot el tràfic d'aquesta xarxa.[10][11][12]
Wikiwand in your browser!
Seamless Wikipedia browsing. On steroids.
Every time you click a link to Wikipedia, Wiktionary or Wikiquote in your browser's search results, it will show the modern Wikiwand interface.
Wikiwand extension is a five stars, simple, with minimum permission required to keep your browsing private, safe and transparent.