IDS и IPS

Что это значит

IDS и IPS - это системы обнаружения и предотвращения вторжений, которые отслеживают сетевой трафик в поисках признаков атаки. IDS предупреждает о подозрительной активности, а IPS ещё и автоматически её блокирует, например отклоняет соединение или отбрасывает вредоносные пакеты.

Обнаружение работает двумя способами: по сигнатурам, то есть известным шаблонам атак, и по аномалиям, когда система ищет поведение, отличное от обычного. Первый способ точен для известных угроз, второй может поймать и новые атаки, но чаще даёт ложные срабатывания.

IDS и IPS дополняют файрвол, который разрешает или блокирует соединения по правилам, но не видит содержимое трафика так подробно. Современные файрволы часто включают функции IPS, а их данные собираются в SIEM-систему.

Как это работает на практике

Для небольших компаний IPS обычно входит в файрвол нового поколения или в услугу безопасности интернет-провайдера. Крупные организации используют отдельные системы, а оповещения оценивает центр мониторинга безопасности, внутренний или внешний.

Систему нужно настроить: слишком чувствительные настройки завалят администраторов ложными тревогами, на которые перестанут реагировать, слишком мягкие пропустят атаки. Сигнатуры нужно регулярно обновлять, чтобы система знала новые угрозы.

Сетевая защита сочетается с защитой конечных устройств через EDR и подходом нулевого доверия, исходящим из того, что злоумышленник уже может быть внутри сети. Для субъектов под NIS2 мониторинг и обнаружение инцидентов входят в обязательные меры.

На что обратить внимание

Шифрованный трафик, который сегодня составляет большую часть интернета, ограничивает то, что видят IDS и IPS. Без расшифровки на шлюзе или защиты прямо на устройствах атаки могут пройти незамеченными, а расшифровка порождает вопросы приватности и производительности.

IPS, ошибочно заблокировавшая легитимный трафик, может остановить важное приложение или платёжную систему. Изменения правил должны проходить тестирование, а для критичных систем полезно иметь возможность быстро откатить настройки.