IDS a IPS

Čo to znamená

IDS a IPS sú systémy na detekciu a prevenciu prienikov, ktoré sledujú sieťovú prevádzku a hľadajú známky útoku. IDS na podozrivú aktivitu upozorní, IPS ju navyše automaticky zablokuje, napríklad odmietne spojenie či zahodí škodlivé pakety.

Detekcia funguje dvoma spôsobmi: podľa signatúr, teda známych vzorov útokov, a podľa anomálií, keď systém hľadá správanie odlišné od bežného. Prvý spôsob je presný pri známych hrozbách, druhý dokáže zachytiť aj nové útoky, no častejšie hlási falošné poplachy.

IDS a IPS dopĺňajú firewall, ktorý povoľuje alebo blokuje spojenia podľa pravidiel, no nevidí do obsahu prevádzky tak podrobne. Moderné firewally často IPS funkcie obsahujú priamo, a výstupy sa zbierajú do SIEM systému.

Ako to funguje v praxi

Pre menšie firmy býva IPS súčasťou firewallu novej generácie či bezpečnostnej služby poskytovateľa internetu. Väčšie organizácie prevádzkujú samostatné systémy a výstrahy vyhodnocuje bezpečnostné operačné centrum, interné alebo externé.

Systém treba vyladiť: príliš citlivé nastavenie zahltí správcov falošnými poplachmi, ktoré prestanú sledovať, príliš voľné prepustí útoky. Signatúry sa musia pravidelne aktualizovať, aby systém poznal nové hrozby.

Sieťová ochrana sa kombinuje s ochranou koncových zariadení cez EDR a s prístupom zero trust, ktorý predpokladá, že útočník už môže byť vo vnútri siete. Pre subjekty pod NIS2 je monitorovanie a detekcia incidentov súčasťou povinných opatrení.

Na čo si dať pozor

Šifrovaná prevádzka, ktorá dnes tvorí väčšinu internetu, obmedzuje, čo IDS a IPS vidia. Bez dešifrovania na bráne či ochrany priamo na zariadeniach môžu útoky prejsť nepozorovane, a dešifrovanie zas prináša otázky súkromia a výkonu.

IPS, ktorý chybne zablokuje legitímnu prevádzku, môže zastaviť dôležitú aplikáciu či platobný systém. Zmeny pravidiel by mali prechádzať testovaním a pre kritické systémy je dobré mať možnosť rýchlo vrátiť nastavenie.