SEGURIDAD PERIMETRAL-IDS

Sistemas para Detección de Intrusos

Un IDS (Intruder Detection System) o Sistema para Detección de Intrusos es una herramienta o sistema de seguridad que monitorea el tráfico en una red y los eventos ocurridos en un determinado sistema informático, para así poder identificar los intentos de ataques o amenazas que puedan comprometer la seguridad y el desempeño de dicho sistema. El desempeño de los IDS se basa en la búsqueda y análisis de patrones previamente definidos que impliquen cualquier tipo de actividad sospechosa o maliciosa sobre una red o host.

Los IDS aportan a la seguridad una capacidad de prevención y de alerta anticipada ante cualquier actividad sospechosa. Los IDS incrementan la seguridad de algún sistema o red vigilando el tráfico, examinando los paquetes en busca de datos sospechosos que puedan afectar a los elementos de la red.

Para que un IDS pueda funcionar correctamente en una red establecida detectando posibles amenazas o intrusiones se deben tener en cuenta los siguientes elementos :

·          Fuentes de recolección de datos: Su propósito es conseguir de una manera eficiente todos los datos necesarios durante el proceso de detección de intrusos. Estas fuentes pueden ser un log o el software de base de datos.

·          Reglas de contenido de datos: Contienen los patrones para detectar anomalías de seguridad en el sistema.

·          Filtros: Para analizar y comparar el tráfico monitoreado en la red de acuerdo a las reglas de contenido de datos.

·          Detectores de eventos anormales en el tráfico de red: Permite al IDS desempeñar su función como detector de intrusos y amenazas para que posteriormente se evite algún ataque a la red.

• Dispositivo generador de informes y alarmas: El IDS cuenta con sensores y dispositivos que le permiten avisar al administrador de la red sobre posibles amenazas que puedan afectar el desempeño y funcionamiento de los elementos en la red.

Un log es el registro de actividad de un sistema que generalmente se guarda en un fichero o base de datos y al que se le van añadiendo información a medida que se realizan acciones sobre el sistema

Clasificación de los IDS

Dada la función que desempeñan los IDS existen dos enfoques que los permiten clasificarse, el primero en función de los sistemas que vigilan y el segundo en función de cómo es que realizan dicha función. La primera de estas clasificaciones se enfoca en sistemas que analizan actividades de un host o una máquina en busca de posibles ataques o los que lo hacen en una subred. Por lo que surge una siguiente clasificación dentro de este primer enfoque: Los IDS basados en Red y los IDS basados en Host.

IDS basados en Red.

Un IDS basado en Red monitorea los paquetes o datos que transitan en la red en busca de elementos que se caractericen por ser una posible amenaza contra alguno de los sistemas ubicados en la misma red; el IDS puede situarse en cualquiera de los hosts o en un elemento que analice todo el tráfico tal como en un switch o un router.

Estos sistemas de seguridad actúan sobre una red capturando y analizando paquetes de red a través de un sniffer que es un sistema (Hardware o software) que sensa el tráfico de la red, posteriormente el sistema analiza los paquetes capturados buscando patrones que supongan algún tipo de ataque. El análisis del tráfico es en tiempo real, dada esta función los IDS basados en red no sólo trabajan a nivel TCP/IP o transporte si no también a nivel de aplicación

IDS basados en Host

Por otra parte, los IDS basados en Host realizan su función protegiendo un único sistema buscando patrones que puedan denotar un intento de intrusión, alertando o tomando las medidas oportunas en caso de que uno de estos intentos sea detectado. Entre más información se le otorgue al administrador de red sobre los ataques o amenazas mejor será su desempeño para el lanzar una alerta oportuna de posibles ataques en la red.

Detección de anomalías.

La base del funcionamiento de estos sistemas es suponer que una intrusión se puede ver como una anomalía, ya que el sistema de detección de intrusos es capaz de establecer el comportamiento habitual de los sistemas ante una o varias amenazas establecidas, siendo capaz de detectar las intrusiones en base a estadística.

Detección de usos indebidos.

El funcionamiento de los IDS basados en la detección de usos indebidos presupone que se pueden establecer patrones para los diferentes ataques conocidos y algunas de sus variaciones; mientras que la detección de anomalías conoce lo que sólo fue establecido sin las respectivas variaciones

Tanto el sistema IDS (Intrusion Detection System) como el sistema IPS (Intrusion Prevention System) aumentan la seguridad de nuestras redes, vigilando el tráfico, examinando y analizando los paquetes en busca de datos sospechosos. Ambos sistemas basan sus detecciones principalmente en firmas ya detectadas y reconocidas.

La principal diferencia entre un sistema y otro es el tipo de acción que llevan a cabo al detectar un ataque en sus primeras fases (análisis de red y barrido de puertos).

El Sistema de Detección de Intrusos (IDS) aporta a la red un grado de seguridad de tipo preventivo ante de cualquier actividad sospechosa. El sistema IDS consigue este objetivo a través de alertas anticipadas dirigidas a los administradores de sistemas. Sin embargo, a diferencia del sistema IPS, no está diseñado para detener ataques.