Detekce nepříznivých událostí na základě signatur a anomálií, Systémy IDS/IPS Flashcards
Co je IDS?
Intrusion Detection Systems -Systém sloužící pouze k detekci útoků nebo podezřelých aktivit. Neprovádí žádné aktivní zásahy.
Host-based IDS (HIDS): Sleduje aktivity na jednotlivých hostitelských systémech (např. přístup k souborům, změny konfigurací).
Network-based IDS (NIDS): Monitoruje provoz v síti na základě paketů.
Co je IPS?
Intrusion Prevention Systystems - Rozšiřuje funkčnost IDS o aktivní ochranu, tedy schopnost zasahovat při detekci hrozby (např. blokování škodlivého provozu).
Funguje jako in-line zařízení, což znamená, že zpracovává a filtruje provoz v reálném čase.
Hlavní výstupy: Blokování útoků, změna pravidel firewallu.
Jaký je vzájemný vztah IDS a IPS?
IDS a IPS často spolupracují. IDS může sloužit k monitorování a analýze, zatímco IPS provádí zásahy. IPS může být považován za pokročilejší verzi IDS, protože zahrnuje detekci i prevenci.
Typicky jsou nasazeny „inline“ jako síťové firewally. Umístění je rozhodující pro jejich správnou funkčnost, často to bývá mezi komponentnami síťové infrastruktury.
Další možnost umístění je na hostiteli (na koncové stanici) – takové IDS/IPS jsou softwarovými řešeními. Na jednotlivá zařízení lze rozmístit agenty, kteří budou komunikovat
s manažerem.
Varianty IDS/IPS
1) Komplexní zařízení je hardware a software vytvořený k efektivnímu odchytávání a analýze provozu
2) Softwarová zařízení jsou speciální
programy nainstalované na server (Snort, Suricata)
3) cloudová jsou dostupná od ISP (Radware, F5).
Jednovrstvá a vícevrstvá architektura IPS/IDS
V jednovrstvé architektuře je IPS/IDS tvořen jedinou komponentou, která obstarává všechny funkce.
Ve vícevrstvé architektuře (zpravidla třívrstvé) existuje jeden manažer (analyzuje hlášení a realizuje opatření), kterému náleží agenti (analyzují protokoly a služby), kteří využívají senzory (monitorující provoz a předávající data)
Základní architektura IDS/IPS
1) Sběr dat: Zachytávání síťového provozu nebo monitorování systémových logů.
2) Analýza: Porovnání provozu se signaturami nebo modely anomálního chování.
3) Reakce:
IDS: Upozornění a reportování.
IPS: Aktivní zásahy, například blokování paketů.
4) Správa a aktualizace: Centrální konzole pro správu pravidel, aktualizaci signatur a monitoring stavu systému.
