Intrusion detection system (IDS, system wykrywania włamań) oraz intrusion prevention system (IPS, system zapobiegania włamaniom) – urządzenia lub oprogramowanie zwiększające bezpieczeństwo sieci komputerowych przez wykrywanie ataków w czasie rzeczywistym (IDS) lub wykrywanie połączone z ich blokowaniem (IPS).

Zasada działania Systemy wykrywania włamań działają przez analizę ruchu sieciowego za pomocą dwóch metod: analiza heurystyczna – polegająca na defragmentacji, łączeniu pakietów w strumienie danych, analizie nagłówków pakietów oraz analizie protokołów aplikacyjnych. Pozwala wytypować pakiety mogące doprowadzić do zdestabilizowania docelowej aplikacji w razie obecności w niej błędów implementacyjnych. Stosowane są różne nazwy handlowe – np. (np. IBM ISS) czy (Snort). W większości systemów IDS analiza heurystyczna odbywa się równocześnie z normalizacją danych przed poddaniem ich analizie sygnaturowej. analiza sygnaturowa – polegająca na wyszukiwaniu w pakietach ciągów danych charakterystycznych dla znanych ataków sieciowych. Kluczowym elementem jest baza sygnatur, budowana wraz z pojawianiem się nowych ataków i odpowiednio często aktualizowana.

Elementy systemu IDS/IPS Typowe elementy systemu IDS/IPS to: sonda () – element analizujący ruch sieciowy i wykrywający ataki, baza danych – zbierająca informacje o atakach z grupy sensorów, analizator logów – umożliwiający wizualizację i analizę logów z grupy sensorów.

Architektura W zależności od lokalizacji sensora oraz zakresu analizowanych zdarzeń wyróżnia się następujące rodzaje systemów IDS: hostowe – HIDS () – działają jako aplikacja w jednym, ochranianym systemie operacyjnym, analizując zdarzenia pochodzące z logu systemowego oraz z lokalnych . sieciowe – NIDS () – analizujące ruch sieciowy dla wszystkich systemów w segmencie sieci, do którego są podłączone. NIDS potrafi rozpoznawać ataki skierowane przeciwko systemom, które nie mają zainstalowanych HIDS. Równocześnie jednak ma ograniczone zdolności analizowania ruchu przesyłanego w kanałach SSL lub zdarzeń zachodzących lokalnie w systemie (np. brak pamięci, ataki lokalne z konsoli).

Sieciowe systemy IPS mogą działać w następujących topologiach sieciowych:

pasywna sonda – sonda podłączona do portu monitorującego przełącznika analizuje kopie wszystkich pakietów w danym segmencie sieci. Sonda w tej topologii ma ograniczone możliwości reagowania na ataki. Stosowane są dwie techniki blokowania ataków w topologii pasywnej – wysyłanie fałszywych pakietów TCP RST do obu stron komunikacji i zerwanie połączenia oraz dynamiczna rekonfiguracja zapory, z którą sonda może współpracować. W pierwszym przypadku blokowaniu może podlegać tylko ruch TCP, w drugim reakcja może być spóźniona. – sonda umieszczona pomiędzy dwoma segmentami sieci, pozbawiona adresów IP i działająca w trybie przezroczystego mostu analizuje i bezpośrednio uczestniczy w przekazywaniu wszystkich pakietów w sieci. W tym trybie sonda ma możliwość blokowania 100% pakietów rozpoznanych jako niebezpieczne (fałszywe pakiety TCP RST nadal są wysyłane dla uniknięcia retransmisji). Działanie w tym trybie nakłada na oprogramowanie sondy znacznie wyższe wymagania co do wydajności i stabilności.

Przykłady systemów IDS/IPS Otwarte: Snort (NIDS), ACID (analiza), Snortalog (analiza) (NIDS, do 2018 pod nazwą Bro) Snort-Prelude (NIDS), Prelude-lml (HIDS), Prewikka (analiza) (HIDS) GesWall (NIDS)

Komercyjne: IBM ISS Proventia (NIDS), Proventia Server (HIDS), Site Protector (zbieranie i analiza zdarzeń) 3COM Tipping Point Juniper IDP DefenseWall HIPS (dostępny także w polskiej wersji) Safe'n'Sec Pro (+Rootkit Detector)

Linki zewnętrzne

Kategoria:Bezpieczeństwo sieciowe Kategoria:Oprogramowanie zabezpieczające Kategoria:Sprzęt sieciowy