Система предотвращения вторжений является достойным дополнением к межсетевому экрану. Она предлагает функции мониторинга и анализа IDS, но в отличие от этой системы может также активироваться и предотвращать опасности.
Что означает ИПС?
Для большинства пользователей межсетевой экран является проверенным методом защиты собственной системы или сети от атак извне. Во многих случаях подходящая система предотвращения вторжений (IPS) является рекомендуемым дополнением к этому механизму защиты. Система работает в два этапа. Во-первых, он выполняет задачи системы обнаружения вторжений (IDS) и — в зависимости от типа — контролирует хост, сеть или и то, и другое, чтобы быстро выявить несанкционированные действия. Для этого он создает шаблоны и сравнивает их с реальным трафиком данных. Второй шаг происходит, когда система предотвращения вторжений обнаруживает угрозу. Затем IPS может инициировать соответствующие контрмеры.
В этом также большая разница с чистым IDS, который отправляет только предупреждение администратору. С другой стороны, система предотвращения вторжений активно вмешивается, блокирует пакеты данных или прерывает уязвимые соединения. Во-первых, важно, чтобы система предотвращения вторжений была настроена соответствующим образом, чтобы все опасности были предотвращены и не затруднялся рабочий процесс, соответствующий требованиям. Во-вторых, IPS должен тесно сотрудничать с межсетевым экраном, чтобы обеспечить наилучшую защиту. Для этой цели система предотвращения вторжений обычно размещается непосредственно за межсетевым экраном и использует датчики для максимально полной оценки системных данных и пакетов в сети.
Какие типы систем предотвращения вторжений существуют?
Существуют разные типы систем предотвращения вторжений, которые различаются, прежде всего, своим расположением.
- Системы предотвращения вторжений на базе хоста. IPS на базе хоста (HIPS) устанавливаются непосредственно на устройство и только отслеживают, какие данные туда входят и выходят. Соответственно, вы можете только активизироваться на соответствующем устройстве и отразить атаку. Поэтому HIPS часто комбинируют с другими методами, основанными на более широком подходе. В этом случае система предотвращения вторжений на хосте действует лишь как последняя защитная мера.
- Сетевые системы предотвращения вторжений : Сетевые IPS (NIPS) используются в различных точках сети и предназначены для проверки, если это возможно, всех пакетов данных, отправляемых внутри сети. Для этого они устанавливаются через отдельное устройство или в фаервол. Все системы, подключенные к сети, можно сканировать и защищать.
- Беспроводные системы предотвращения вторжений : WIPS (беспроводная система предотвращения вторжений) специально разработаны для работы в сети Wi-Fi. В случае несанкционированного доступа IPS обнаруживает соответствующее устройство и удаляет его из среды.
- Системы предотвращения вторжений на основе поведения. Для борьбы с DDoS-атаками рекомендуется использовать анализ поведения сети (NBA). Это проверяет весь трафик данных и, таким образом, может заранее обнаружить и предотвратить атаки.
Как работает система предотвращения вторжений?
Область действия системы предотвращения вторжений разделена на две части. Прежде всего, система должна обнаруживать, предварительно фильтровать, анализировать и сообщать о возможных угрозах. В этом отношении IPS более или менее эквивалентна системе обнаружения вторжений. Кроме того, в случае угрозы система предотвращения вторжений сама становится активной и инициирует собственную защиту от угроз. В обоих случаях IPS доступны разные методы.
Методы анализа ИПС
- Обнаружение аномалий. При обнаружении аномалий поведение внутри сети или на устройстве сравнивается с указанным стандартом. При наличии серьезных отклонений от нормы система предотвращения вторжений может инициировать соответствующие контрмеры. В зависимости от настроек этот метод также довольно часто вызывает ложные срабатывания. По этой причине современные системы все чаще полагаются на искусственный интеллект, чтобы значительно снизить уровень ошибок.
- Обнаружение неправильного использования. С помощью этого метода пакеты данных проверяются на наличие известных форм атак. Этот тип системы предотвращения вторжений обеспечивает убедительные показатели обнаружения старых угроз и идентифицирует их с высокой степенью вероятности. Однако этот подход не подходит для новых типов атак, которые еще не были задокументированы.
- IPS на основе политик : система предотвращения вторжений на основе политик используется гораздо реже, чем два метода, уже представленные выше. Для этого сначала необходимо настроить специальные и индивидуальные правила безопасности. Затем они формируют основу для мониторинга соответствующей системы.
Защитные механизмы IPS
Система предотвращения вторжений работает в режиме реального времени и не замедляет поток данных. Если угроза была обнаружена с помощью представленных выше методов мониторинга, IPS предлагает различные варианты. В безобидных случаях, как в случае с IDS, администратор уведомляется. После этого они смогут принять решение о дальнейших шагах. Однако в более серьезных случаях система предотвращения вторжений также активируется сама. Например, он может прерывать и сбрасывать пути передачи, блокировать источники или пункты назначения или даже полностью отбрасывать пакеты данных.
Какие преимущества дает система предотвращения вторжений?
Целенаправленное использование системы предотвращения вторжений дает пользователям множество преимуществ. В частности, внедрение такой системы обеспечивает дополнительную безопасность. IPS может обнаружить многие риски, которые не могут обнаружить другие инструменты. Благодаря предварительной фильтрации система предотвращения вторжений также снижает нагрузку на другие механизмы и, таким образом, защищает всю архитектуру. Параметры конфигурации также помогают, гарантируя, что вы сможете адаптировать IPS точно под свои нужды. Если эта конфигурация успешна, система работает независимо и, таким образом, также снижает временные затраты.
Каковы недостатки системы предотвращения вторжений?
При правильном использовании система предотвращения вторжений предоставляет ценные услуги и значительно повышает безопасность сети. Однако у этого метода есть и несколько (потенциальных) недостатков. Помимо уже упомянутых уязвимостей Anomaly Detection и Misuse Detection, это особенно влияет на аппаратные требования. Требования к ресурсам системы предотвращения вторжений обычно очень высоки и увеличиваются с размером сети. Таким образом, реальная добавленная стоимость возникает только в том случае, если мощности соответствуют потребностям. К тому же настройка не такая уж и простая, особенно для непрофессионалов. Если это не идеально, внутри сети возникнут проблемы.
DenyHosts: лучший IPS против грубой силы
DenyHosts — полезный вариант, особенно при борьбе с атаками грубой силы. Система предотвращения вторжений написана на Python и имеет открытый исходный код. Он отслеживает попытки входа в систему SSH и блокирует соответствующие адреса, если у них слишком много неудачных попыток. Это официальный репозиторий DenyHosts на GitHub.
