IDS і IPS

Що це означає

IDS і IPS - це системи виявлення й запобігання вторгненням, які відстежують мережевий трафік у пошуках ознак атаки. IDS попереджає про підозрілу активність, а IPS ще й автоматично її блокує, наприклад відхиляє з'єднання чи відкидає шкідливі пакети.

Виявлення працює двома способами: за сигнатурами, тобто відомими шаблонами атак, і за аномаліями, коли система шукає поведінку, відмінну від звичайної. Перший спосіб точний для відомих загроз, другий може впіймати й нові атаки, але частіше дає хибні спрацювання.

IDS і IPS доповнюють файрвол, що дозволяє чи блокує з'єднання за правилами, але не бачить вмісту трафіку так детально. Сучасні файрволи часто містять функції IPS, а їхні дані збирають до SIEM-системи.

Як це працює на практиці

Для невеликих компаній IPS зазвичай входить до файрвола нового покоління чи послуги безпеки інтернет-провайдера. Великі організації використовують окремі системи, а сповіщення оцінює центр моніторингу безпеки, внутрішній чи зовнішній.

Систему треба налаштувати: надто чутливі налаштування завалять адміністраторів хибними тривогами, на які перестануть реагувати, надто м'які пропустять атаки. Сигнатури треба регулярно оновлювати, щоб система знала нові загрози.

Мережевий захист поєднують із захистом кінцевих пристроїв через EDR і підходом нульової довіри, що виходить із того, що зловмисник уже може бути всередині мережі. Для суб'єктів під NIS2 моніторинг і виявлення інцидентів входять до обов'язкових заходів.

На що звернути увагу

Шифрований трафік, що сьогодні становить більшість інтернету, обмежує те, що бачать IDS та IPS. Без розшифрування на шлюзі чи захисту безпосередньо на пристроях атаки можуть пройти непоміченими, а розшифрування породжує питання приватності й продуктивності.

IPS, що помилково заблокувала легітимний трафік, може зупинити важливий застосунок чи платіжну систему. Зміни правил мають проходити тестування, а для критичних систем корисно мати змогу швидко відкотити налаштування.