Seguridad de Datos IDS e IPS

Ataques y orígenes Para una correcta distinción hay que tener en cuenta las tres distintas posibilidades que existen en un ataque, atendiendo a quién es el que lo lleva a cabo: Ingresos externos. Que se define como la intrusión que se lleva a cabo a partir un usuario o un sistema de computadores no autorizado desde otra red. Ingresos internos. Son aquellos que llevan a cabo por usuarios internos que no están autorizados al acceso.

Ataques y orígenes Abuso de recursos. Se define como el abuso que un usuario lleva a cabo sobre unos datos o recursos de un sistema al que está autorizado su acceso.

Intrusion Detection System IDS Intrusion Detection System

IDS - Intrusion Detection System Sistema de Detección de Intrusos Es un programa o dispositivo usado para detectar accesos desautorizados a un computador o a una red.

Tipos de IDS HIDS (Host IDS): un IDS vigilando un único ordenador y por tanto su interfaz corre en modo no promiscuo. La ventaja es que la carga de procesado es mucho menor. NIDS (Network IDS): un IDS basado en red, detectando ataques a todo el segmento de la red. Su interfaz debe funcionar en modo promiscuo capturando así todo el tráfico de la red.

IDS basados en Hosts

IDS basados en Red

IDS basados en la red Los sistemas de detección de intrusos basados en la red operan de una forma diferente que aquellos IDSes basados en host. La filosofía de diseño de un IDS basado en la red es escanear los paquetes de red al nivel del router o host, auditar la información de los paquetes y registrar cualquier paquete sospechoso en un archivo de registros especial con información extendida.

IDS basados en la red Basándose en estos paquetes sospechosos, un IDS basado en la red puede escanear su propia base de datos de firmas de ataques a la red y asignarles un nivel de severidad para cada paquete.

IDS basados en la red Los IDSes que son capaces de escanear grandes volúmenes de actividad en la red y exitósamente etiquetar transmisiones sospechosas. Debido a la inseguridad inherente de los protocolos TCP/IP, se ha vuelto imperativo desarrollar escaners, huzmeadores y otras herramientas de auditoria y detección para así prevenir violaciones de seguridad por actividades maliciosas en la red, tales como:

Qué pueden detectar Fasificación de direcciones IP (IP Spoofing) Ataques de Negación de servicio (DoS) Corrupción de nombres DNS Ataques de hombre en el medio (sniffer)

Características deseables de un IDS Debe ejecutarse continuamente sin intervención o supervisión de un operador humano. Debe ser confiable, lo suficiente como para ejecutarse en background, pero no debe ser una caja negra, es decir, que su funcionamiento interno pueda ser examinado.

Características deseables de un IDS Debe ser ligero, es decir su ejecución no debe cargar al sistema de una manera tal que le impida ejecutar otras tareas con relativa normalidad Debe ser capaz de tolerar fallas, en el sentido de que pueda sobrevivir a una caída del sistema, sin tener que reconstruir su base de datos de conocimientos al reiniciarse.

Características deseables de un IDS Debe observar desviaciones del comportamiento estándar. Debe poder adaptarse al comportamiento cambiante del sistema, es decir, si la configuración del sistema cambia, el SDI se adaptará. Debe ser difícil de engañar.

Intrusion Prevention Systems IPS Intrusion Prevention Systems

IPS - Intrusion Prevention Systems Los IPS tienen la capacidad de parar ataques contra la red y debe proporcionar los siguientes mecanismos de defensa activos : Detección - identifica ataques contra recursos de la red y los hosts.

IPS - Intrusion Prevention Systems Prevención – Detección en tiempo real del ataque detectado. Reacción - inmuniza el sistema de los ataques futuros de una fuente en específico.

Respuestas del IPS Alarmar - envía una notificación a un servidor de logs interno o externo y después remite el paquete a través del dispositivo. Reset – Puede reiniciar la conexión TCP o UPD.

Respuestas del IPS Eliminación – Puede eliminar automáticamente el paquete o los paquetes relacionados con el ataque Bloqueo – Puede evitar el ingreso de los paquetes que provienen de una fuente no confiable.

IPS Host based vs. network Los HIPS pueden manejar todos los tipos de redes cifradas y pueden analizar todo el código. NIPS no usa los recursos de los hosts. NIPS son un punto de la falla, que se considera una desventaja; sin embargo, esta característica también lo hace más simple de mantener.

Funcionamiento de los IPS/IDS Los sistemas de detección y prevención de intrusos están basados en 2 tipos motores de detección: Basados en Firmas Basados en comportamiento anormal.

IDS / IPS Basados en firmas Son similares a los programas antivirus, ya que los vendedores de IDs crean firmas para poder que se utilizan para detectar ataques. Existen según el tipo de ataque tipos de firmas en específico

IDS / IPS Basados en firmas Según la gravedad del ataque Firmas informacionales: Detectan aquellas actividades de reconocimiento como escaneo de puertos o el ping sweep. Firmas de Ataques: Detectan actividad maliciosa como comandos ilegales de algunos protocolos o ataques de negación de servicio.

IDS / IPS Basados en firmas Según la complejidad del ataque Firmas Atómicas: Detectan simples patrones como un ataque a un host específico o con un simple paquete. Firmas Compuestas: Detectan patrones de ataque compuestos en multiples hosts por periodos de tiempo largos con múltiples paquetes

IDS/IPS Basados en comportamiento anormal Se basan en establecer patrones de comportamiento positivos de los usuarios Es necesario tener un alto conocimiento sobre protocolos y tipos de tráfico. Son complejos de configurar. En algunos casos puede detectar ataques no reportados.

Host IDS Open Source: TRIPWIRE http://www.tripwire.com/products/enterprise/ost/# SWATCH http://sourceforge.net/projects/swatch/ LIDS http://www.lids.org

NIDS Open Source: SNORT:es un sniffer capaz de actuar como sistema de detección de intrusos en redes de tráfico moderado http://www.snort.org/

IDS/IPS Comerciales: Basados en Software: Symantec Gateway Security 3.0 ISA Server 2006

IDS/IPS Comerciales: Hardware Cisco IP Sensor 4200 McAfee IntruShield Network IPS Appliances