Τι είναι τα συστήματα ανίχνευσης εισβολής (IDS) και πώς λειτουργούν;

Ένα σύστημα ανίχνευσης εισβολής είναι μια δικτυωμένη συσκευή ή λογισμικό που παρακολουθεί την κυκλοφορία του δικτύου για ύποπτα μοτίβα ή συμπεριφορά. Όταν εντοπίζεται δυνητικά κακόβουλη συμπεριφορά ή δραστηριότητα, εγείρει μια ειδοποίηση και καταγράφει εγκληματολογικές πληροφορίες για διερεύνηση.

Γιατί είναι σημαντικό ένα σύστημα ανίχνευσης εισβολής;

Τα συστήματα ανίχνευσης εισβολών είναι σημαντικά για τα σύγχρονα δίκτυα επειδή συμβάλλουν στη βελτίωση της ασφάλειας του διακομιστή, στην καταγραφή συμβάντων και στην ειδοποίηση των διαχειριστών του δικτύου για ύποπτη συμπεριφορά. Ένα IDS μπορεί επίσης να ανιχνεύσει κακόβουλες επικοινωνίες που ένα τείχος προστασίας απέτυχε να σταματήσει, καθώς και την κυκλοφορία εντολών και ελέγχου, επιθέσεις zero-day, ακόμη και απειλές από το εσωτερικό ενός οργανισμού.

Το IDS βοηθά επίσης στην παροχή της συνεχούς καταγραφής και παρακολούθησης που απαιτούνται από πολλά πλαίσια και πρότυπα συμμόρφωσης με την ασφάλεια στον κυβερνοχώρο. Η διεξοδική καταγραφή είναι σημαντική στην εγκληματολογία της κυβερνοασφάλειας, επειδή βοηθά τις ομάδες ασφαλείας να επαληθεύουν πότε συνέβη ένα περιστατικό και ποιος ήταν υπεύθυνος.

Οι αξιόπιστες ειδοποιήσεις από ένα σύστημα ανίχνευσης εισβολής επιτρέπουν σε έναν οργανισμό να γνωρίζει σχεδόν αμέσως εάν δέχεται επίθεση, περιορίζοντας τις πιθανές ζημιές.

Ποια είναι η διαφορά μεταξύ IDS και IPS;

Το IPS είναι ένα σύστημα αποτροπής εισβολής. Αν και σχετίζεται στενά με ένα σύστημα ανίχνευσης εισβολής, εξυπηρετούν διαφορετικούς ρόλους στην ασφάλεια του δικτύου. Ενώ ένα IDS εντοπίζει και ειδοποιεί, ένα IPS εντοπίζει και αποτρέπει πιθανές απειλές. Και οι δύο παρακολουθούν παρόμοια επισκεψιμότητα και οι οργανισμοί χρησιμοποιούν συχνά ένα IDS και IPS ταυτόχρονα για ασφάλεια σε επίπεδα — το IDS για ορατότητα και το IPS για ενεργή προστασία.

Μια άλλη βασική διαφορά μεταξύ IDS και IPS είναι το πού βρίσκονται στο δίκτυο. Λειτουργεί ένα IDSεκτός μπάντας, που σημαίνει ότι παρακολουθεί ένα αντίγραφο της κυκλοφορίας του δικτύου χωρίς να το χειρίζεται απευθείας. Αυτό του επιτρέπει να αναλύει δεδομένα χωρίς να επιβραδύνει ή να διακόπτει την απόδοση του δικτύου. Ένα IPS, από την άλλη πλευρά, κάθεταιενσωματωμένη, απευθείας στη ροή της κυκλοφορίας, ώστε να μπορεί να μπλοκάρει κακόβουλη δραστηριότητα όπως συμβαίνει.

Και τα δύο συστήματα μπορούν να αναγνωρίσουν γνωστά μοτίβα επίθεσης μέσωανίχνευση με βάση την υπογραφήκαι εντοπίστε ασυνήθιστη συμπεριφορά μεανίχνευση που βασίζεται σε ανωμαλίες, αλλά ένα IPS μπορεί επίσης να χρησιμοποιήσει ανίχνευση βάσει πολιτικής για την αυτόματη επιβολή συγκεκριμένων κανόνων ασφαλείας.

Ακολουθεί ένας πίνακας που περιγράφει τις βασικές διαφορές μεταξύ ενός IDS και ενός IPS:

Ποια είναι η διαφορά μεταξύ ενός IDS και ενός τείχους προστασίας;

Ένα IDS και ένα τείχος προστασίας είναι συμπληρωματικά στοιχεία ασφάλειας δικτύου. Ένα τείχος προστασίας λειτουργεί ως gatekeeper, ελέγχοντας τη ροή της κυκλοφορίας με βάση προκαθορισμένους κανόνες, όπως διευθύνσεις IP, θύρες ή πρωτόκολλα. έχει σχεδιαστεί κυρίως για να μπλοκάρει τη μη εξουσιοδοτημένη πρόσβαση και είναι τοποθετημένο μεταξύ ενός δρομολογητή και του εσωτερικού δικτύου.

Αντίθετα, ένα IDS λειτουργεί περισσότερο σαν φύλακας, παρακολουθώντας την κυκλοφορία του δικτύου για ύποπτη ή κακόβουλη δραστηριότητα που μπορεί να περάσει από ένα τείχος προστασίας, όπως μολύνσεις κακόβουλου λογισμικού, επιθέσεις ωμής βίας ή ασυνήθιστα μοτίβα συμπεριφοράς.

Πώς λειτουργούν τα συστήματα ανίχνευσης εισβολών;

Τα συστήματα ανίχνευσης εισβολών τοποθετούνται σε στρατηγικά σημεία του δικτύου για την παρακολούθηση της κυκλοφορίας που κινείται μέσα ή μεταξύ των δικτύων. Ένα IDS συνήθως δημιουργεί ένα αντικατοπτρισμένο αντίγραφο της κυκλοφορίας και το επιθεωρεί για ενδείξεις κακόβουλης δραστηριότητας, ενώ επιτρέπει στα αρχικά δεδομένα να ρέουν αδιάκοπα. Εάν το IDS εντοπίσει κάτι ύποπτο στο αντίγραφο του καθρέφτη, δημιουργεί μια ειδοποίηση.

Υπάρχουν δύο κύριες μέθοδοι ανίχνευσης στα συστήματα ανίχνευσης εισβολής που χρησιμοποιούνται για τον εντοπισμό απειλών: συστήματα ανίχνευσης που βασίζονται σε υπογραφές και συστήματα ανίχνευσης που βασίζονται σε ανωμαλίες.

Συστήματα ανίχνευσης εισβολής που βασίζονται σε υπογραφές (SIDS)

Τα συστήματα ανίχνευσης εισβολών που βασίζονται σε υπογραφές λειτουργούν ελέγχοντας την κυκλοφορία του δικτύου σε σχέση με μια συνεχώς ενημερωμένη βάση δεδομένων γνωστού κακόβουλου λογισμικού, μοτίβων κειμένου, byte και συμπεριφορών. Εάν εντοπιστεί ομοιότητα, το IDS δημιουργεί μια ειδοποίηση για την ομάδα κυβερνοασφάλειας, η οποία στη συνέχεια αποφασίζει εάν η απειλή είναι πραγματική ή όχι. Τα SIDS είναι η πιο κοινή μορφή IDS.

Συστήματα ανίχνευσης εισβολής που βασίζονται σε ανωμαλίες (AIDS)

Ένα σύστημα ανίχνευσης εισβολής που βασίζεται σε ανωμαλίες λειτουργεί συλλέγοντας πληροφορίες σχετικά με την κανονική συμπεριφορά του δικτύου και δημιουργώντας μια γραμμή βάσης. Μόλις καθοριστεί αυτή η βασική γραμμή, το AIDS ελέγχει για συμπεριφορές στο δίκτυο που αποκλίνουν από τον κανόνα, ειδοποιώντας την ομάδα ασφάλειας στον κυβερνοχώρο όταν εντοπίζονται ανωμαλίες. Στη συνέχεια, οι ειδικοί στον τομέα της κυβερνοασφάλειας εξακριβώνουν εάν η ανώμαλη συμπεριφορά είναι κακόβουλη ή εάν πρόκειται για νόμιμη δραστηριότητα δικτύου που απλά δεν έχει παρατηρηθεί στο παρελθόν — επίσης γνωστή ως ψευδώς θετική.

Τύποι IDS

Ένα σύστημα ανίχνευσης εισβολής μπορεί να πάρει διάφορες μορφές. Για παράδειγμα, ένα σύστημα ανίχνευσης εισβολής δικτύου (NIDS) παρακολουθεί τα δεδομένα που ταξιδεύουν στο δίκτυο, όπως ένα σημείο ελέγχου που επιβλέπει την κυκλοφορία που ρέει μεταξύ συσκευών. Εν τω μεταξύ, ένα σύστημα ανίχνευσης εισβολής που βασίζεται σε κεντρικό υπολογιστή (HIDS) εκτελείται απευθείας σε έναν υπολογιστή ή διακομιστή, παρακολουθώντας τοπικά αρχεία, αρχεία καταγραφής συστήματος και διεργασίες για ύποπτες αλλαγές.

Δείτε πώς λειτουργεί το καθένα με περισσότερες λεπτομέρειες:

Συστήματα ανίχνευσης εισβολής δικτύου (NIDS)

Ένα σύστημα ανίχνευσης εισβολής δικτύου παρακολουθεί όλη την κίνηση που εισέρχεται ή εξέρχεται από ένα δίκτυο. Συνήθως τοποθετείται σε ένα σημείο εισόδου δικτύου, δηλαδή στο σημείο όπου ένα δίκτυο συνδέεται στο διαδίκτυο.

Φανταστείτε ένα υποδίκτυο με πολύτιμα δεδομένα αποθηκευμένα μέσα σε αυτό, με ένα τείχος προστασίας μεταξύ της περιμέτρου του δικτύου και των πολύτιμων δεδομένων. Η ομάδα κυβερνοασφάλειας μπορεί να τοποθετήσει ένα NIDS αμέσως μετά το τείχος προστασίας για να ανιχνεύσει τυχόν κακόβουλη κίνηση που παρήλθε, λαμβάνοντας πιθανώς πολύτιμες πληροφορίες σχετικά με επιθέσεις στη διαδικασία.

Ένα παράδειγμα δημοφιλούς NIDS είναι το Snort, ένα δωρεάν λογισμικό ανοιχτού κώδικα που αναπτύχθηκε από τη Cisco. Είναι σε θέση να λειτουργεί είτε ως NIDS, δημιουργώντας ειδοποιήσεις όταν εμφανίζεται κακόβουλη δραστηριότητα, είτε ως IPS, που αποκλείει ενεργά τη δραστηριότητα που θεωρεί κακόβουλη σε ένα δίκτυο.

Συστήματα ανίχνευσης εισβολής που βασίζονται σε κεντρικό υπολογιστή (HIDS)

Σε αντίθεση με το NIDS, τα συστήματα ανίχνευσης εισβολής που βασίζονται σε κεντρικό υπολογιστή λειτουργούν απευθείας σε μεμονωμένες συσκευές ή διακομιστές. Παρακολουθούν για αλλαγές στο μητρώο στα Windows, σαρώνουν αρχεία καταγραφής, πραγματοποιούν ελέγχους ακεραιότητας αρχείων σε κρίσιμα αρχεία συστήματος, αναζητούν εξερχόμενες συνδέσεις δικτύου από τον κεντρικό υπολογιστή και παρακολουθούν κλήσεις συστήματος και επεξεργάζονται τη συμπεριφορά για οτιδήποτε ύποπτο.

Όταν ένα HIDS εντοπίζει ύποπτη συμπεριφορά, δημιουργεί μια ειδοποίηση για την έρευνα της ομάδας κυβερνοασφάλειας.

Άλλοι τύποι IDS

Υπάρχουν μερικοί άλλοι τύποι IDS. Αν και είναι λιγότερο κοινά, εξυπηρετούν σημαντικούς σκοπούς σε ορισμένα είδη δικτύων. Ακολουθούν μερικοί άλλοι τύποι συστημάτων ανίχνευσης εισβολής που μπορεί να συναντήσετε:

• Σύστημα ανίχνευσης εισβολής που βασίζεται σε πρωτόκολλο (PIDS):Αυτό το είδος IDS συνήθως βρίσκεται μπροστά από έναν διακομιστή ιστού ή διακομιστή DNS και παρακολουθεί για κατάχρηση πρωτοκόλλου, όπως λανθασμένες κεφαλίδες ή απροσδόκητες ακολουθίες αιτημάτων.

• Συστήματα ανίχνευσης εισβολής που βασίζονται σε ροή (FIDS):Αντί να εξετάζει το περιεχόμενο του ίδιου του πακέτου, το FIDS εξετάζει τα μεταδεδομένα ροής δικτύου, όπως χρονικές σημάνσεις, διευθύνσεις προέλευσης και προορισμού, πρωτόκολλο και μετρήσεις πακέτων και byte. Ένα FIDS μπορεί να είναι χρήσιμο για την ανίχνευση επιθέσεων που ενδέχεται να χάσουν άλλα συστήματα ανίχνευσης, όπως η δηλητηρίαση DNS.

• Σύστημα ανίχνευσης εισβολής που βασίζεται στη συμπεριφορά (BBIDS):Ένα BBIDS δημιουργεί μια βασική γραμμή συμπεριφοράς των χρηστών με τη συλλογή δεδομένων όπως τυπικούς χρόνους σύνδεσης, εκκινήσεις διεργασιών και ακολουθίες εντολών. Εάν παρουσιαστούν αποκλίσεις από τον κανόνα, δημιουργούνται ειδοποιήσεις.

• Σύστημα ανίχνευσης εισβολής που βασίζεται σε εφαρμογές (AIDS):Αυτά τα IDS παρακολουθούν για τυχόν αποκλίσεις από τον κανόνα σε επίπεδο εφαρμογής. Δραστηριότητες όπως κλήσεις API, συμπεριφορά χρήστη σε μια εφαρμογή και ερωτήματα δεδομένων σε μια εφαρμογή μπορούν να παρακολουθούνται για ενδείξεις ύποπτης δραστηριότητας.

• Ασύρματο σύστημα ανίχνευσης εισβολής (WIDS):Το WIDS είναι ένα αποκλειστικό σύστημα που σαρώνει για απειλές ειδικά για περιβάλλοντα Wi-Fi, όπως αδίστακτα σημεία πρόσβασης, πλαστά (πλαστογραφημένα) ονόματα δικτύων και επιθέσεις κατά τον έλεγχο ταυτότητας που προσπαθούν να αποσυνδέσουν τους χρήστες από το δίκτυο.

Περιορισμοί συστημάτων ανίχνευσης εισβολών

Ενώ τα IDS αποτελούν σημαντικό μέρος της ασφάλειας στα σύγχρονα δίκτυα, δεν είναι καθόλου στεγανά. Η συχνότητα των μεγάλων εισβολών, των παραβιάσεων δεδομένων και των παραβιάσεων της ασφάλειας στις ειδήσεις είναι απόδειξη αυτού. Ακολουθούν ορισμένοι περιορισμοί των συστημάτων ανίχνευσης εισβολών:

• Ανίχνευση, όχι προστασία:Τα συστήματα ανίχνευσης εισβολής υπάρχουν μόνο για παρακολούθηση και ειδοποίηση. Ένα υβριδικό μοντέλο IPS ή IDS/IPS είναι απαραίτητο για να σταματήσουν οι επιθέσεις.

• Zero-day exploits:Η ανίχνευση με βάση την υπογραφή βασίζεται σε μια βάση δεδομένων γνωστών μοτίβων επίθεσης. Εάν η επίθεση δεν είναι γνωστή, τότε αυτού του είδους η μέθοδος ανίχνευσης δεν θα λειτουργήσει.

• Εσφαλμένα θετικά:Η νόμιμη κυκλοφορία δικτύου μπορεί εύκολα να εκληφθεί ως ύποπτη δραστηριότητα. Για παράδειγμα, ένας διαχειριστής δικτύου που εκτελεί μια σάρωση δικτύου μπορεί να επισημανθεί από ένα IDS ως ύποπτος.

  Διαβάστε περισσότερα:Πώς να διορθώσετε το σφάλμα εγκατάστασης AMD για μη υποστηριζόμενα λειτουργικά συστήματα

• Κρυπτογραφημένη κίνηση δικτύου:Σε πολυάσχολα δίκτυα, το υπολογιστικό κόστος της αποκρυπτογράφησης και της κρυπτογράφησης της κυκλοφορίας του δικτύου μπορεί να είναι υψηλό και απαιτεί πολύπλοκο χειρισμό πιστοποιητικών. Οι επιθέσεις μπορεί να χαθούν εάν οι επικοινωνίες είναι κρυπτογραφημένες.

• Φορτίο διαχείρισης IDS:Τα IDS απαιτούν συνεχείς ενημερώσεις στις βάσεις δεδομένων και τους κανόνες τους. Πρέπει επίσης να είναι προσαρμοσμένα στις συγκεκριμένες απαιτήσεις δικτύου κάθε οργανισμού. Η συνεχής προσοχή που απαιτεί ένα IDS για να λειτουργήσει ιδανικά σε ένα δίκτυο μπορεί να γίνει δυσκίνητη.

Τακτικές υπεκφυγής που χρησιμοποιούν οι επιτιθέμενοι

Οι ειδικευμένοι εισβολείς μπορούν να αποφύγουν τον εντοπισμό τους από ένα IDS. Ακολουθούν μερικοί από τους τρόπους με τους οποίους οι κακόβουλοι παράγοντες ενδέχεται να παρακάμψουν τον εντοπισμό και να παραβιάσουν ένα IDS χωρίς να ειδοποιήσουν την ομάδα ασφαλείας:

• Πλημμυρίζοντας τη συσκευή με πακέτα UDP ή ICMP:Τα IDS έχουν υπολογιστικό κόστος και μπορούν να κατακλυστούν με αρκετά δεδομένα. Αυτό μπορεί να έχει ως αποτέλεσμα το IDS να χάνει κακόβουλα πακέτα ή να κατακλύζεται από ειδοποιήσεις η ομάδα κυβερνοασφάλειας.

• Κατακερματισμός ωφέλιμου φορτίου:Τα ωφέλιμα φορτία μπορούν να χωριστούν σε πολλά διαφορετικά τμήματα IP που ανακατασκευάζονται στον προορισμό. Εάν το IDS δεν συναρμολογήσει ξανά όλα τα τμήματα, οι υπογραφές ενδέχεται να μην συλληφθούν, πράγμα που σημαίνει ότι οι επιθέσεις μπορούν να παρακάμψουν τον εντοπισμό.

• Προεπιλεγμένη αποφυγή χρήσης θύρας:Ορισμένα βασικά IDS δεν διαθέτουν προηγμένη ανίχνευση και βασίζονται σε προεπιλεγμένες αντιστοιχίσεις θυρών για κοινές υπηρεσίες. Ως αποτέλεσμα, μπορεί να χάσουν επιθέσεις όπου ένας εισβολέας εκτελεί μια υπηρεσία σε μια μη τυπική θύρα για να διατηρήσει την πρόσβαση ή να μετακινηθεί πλευρικά μέσω του δικτύου.

• Παραπλάνηση διεύθυνσης ή διαμεσολάβηση:Όταν οι εισβολείς πλαστογραφούν διευθύνσεις ή χρησιμοποιούν διακομιστή μεσολάβησης για να αποφύγουν τον εντοπισμό, η σωστή απόδοση μπορεί να γίνει πιο δύσκολη. Εάν οι αναλυτές δεν μπορούν να προσδιορίσουν σωστά από πού προέρχονται οι επιθέσεις, οι οργανισμοί θα δυσκολευτούν να αμυνθούν εναντίον τους.

• Συσκότιση:Οι εισβολείς μπορούν να χρησιμοποιήσουν απλή κωδικοποίηση για να αποφύγουν τον εντοπισμό υπογραφής σε ορισμένες περιπτώσεις. Ή, μπορούν να χρησιμοποιήσουν κρυπτογράφηση για να αποκρύψουν εντελώς κακόβουλο περιεχόμενο από ένα IDS.

• Αλλαγή προτύπου υπογραφής / πολυμορφισμός:Σε ορισμένες περιπτώσεις, τα ωφέλιμα φορτία μπορούν να τροποποιηθούν ελαφρώς, οι συμβολοσειρές στον κώδικα μπορούν να αλλάξουν και οι συναρτήσεις μπορούν να αντικατασταθούν με παρόμοιες αλλά όχι πανομοιότυπες συναρτήσεις για την επίτευξη του ίδιου τελικού στόχου. Αυτό σημαίνει ότι η ανίχνευση βάσει υπογραφών που βασίζεται σε στατικά μοτίβα δεν θα ταιριάζει και η επίθεση θα περάσει απαρατήρητη.

• Τεχνικές με βάση το χρόνο:Επιθέσεις όπως σαρώσεις δικτύου ή εξαγωγή δεδομένων μπορούν να εξαπλωθούν σε μεγάλες χρονικές περιόδους για να αποφευχθεί ο εντοπισμός. Αυτό σημαίνει ότι οι επιτιθέμενοι μπορούν να αποκτήσουν πολύτιμες πληροφορίες ή να αποκτήσουν ευαίσθητα δεδομένα χωρίς να ενεργοποιήσουν ειδοποιήσεις από ένα IDS που ακούει στο δίκτυο.

Είναι σημαντικό να θυμάστε ότι τα συστήματα ανίχνευσης εισβολών είναι μόνο ένα εργαλείο στο οπλοστάσιο μιας ομάδας κυβερνοασφάλειας. Υπάρχουν και άλλα εργαλεία για να σηκώσετε τη χαλάρωση όταν ένα IDS υπολείπεται. Μια ολοκληρωμένη στρατηγική κυβερνοασφάλειας παρέχει σε βάθος άμυνα που καλύπτει πολλαπλά μέτωπα.

Αποκτήστε βραβευμένη προστασία στο σπίτι με το Avast

Ενώ ένα IDS είναι ένα ισχυρό εργαλείο, μπορεί να είναι δαπανηρή η εγκατάσταση, χρονοβόρα στη συντήρηση και περιττή για τους περισσότερους καταναλωτές. Αλλά ευτυχώς, μπορείτε να ασφαλίσετε το οικιακό σας δίκτυο δωρεάν με ισχυρή προστασία που μπορείτε να εμπιστευτείτε. Εγκαταστήστε το Avast Free Antivirus σήμερα για ισχυρή ασφάλεια δικτύου Wi-Fi, ασφαλέστερη περιήγηση και αποστολή email και προστασία από ransomware.