IDS kontra IPS

Et system til indtrængningsforebyggelse sidder i trafikvejen, direkte i trafikkens forløb. Når det identificerer skadelig trafik, kan det i realtid kassere pakken, nulstille forbindelsen eller blokere kilden og dermed stoppe angrebet, før det rammer.

Prisen for denne styrke er, at et IPS kan blive en flaskehals og et enkelt fejlpunkt. En falsk positiv skaber ikke kun støj; den blokerer legitim forretningstrafik og kan forårsage et driftsstop.

Implementeringstopologien er den centrale forskel.

• IDS (uden for trafikvejen) modtager en spejlet kopi via en SPAN-port eller en netværks-TAP. Det kan se trafikken, men kan ikke påvirke det aktive trafikforløb.
• IPS (i trafikvejen) videresender selv trafikken. Hver pakke passerer gennem det, så det kan afgøre, om pakken skal passere eller kasseres.

Mange motorer (Snort, Suricata) kan køre i begge tilstande; forskellen er, om du placerer dem i trafikvejen eller forsyner dem med trafik fra en TAP.

For at forsyne et IDS med trafik skal du kopiere trafikken til det.

• En SPAN-/spejlport konfigureres på en switch, så trafikken kopieres til en overvågningsport. Det er billigt, men porten kan tabe rammer under belastning og går måske glip af pakker med fejl.
• En netværks-TAP er en hardwareenhed, der fysisk kopierer trafikken uden pakketab. Den er mere pålidelig på forbindelser med høj gennemstrømning.

Til et IPS i trafikvejen bruger du ikke en TAP; enheden forbindes direkte mellem to segmenter.

Et IPS i trafikvejen skal beslutte, hvad der sker, når det går ned eller bliver overbelastet.

• Åben ved fejl — trafikken fortsætter med at flyde, så tilgængelighed prioriteres over sikkerhed.
• Lukket ved fejl — trafikken blokeres, så sikkerhed prioriteres over tilgængelighed.

Det er en beslutning om forretningsrisiko. En banks kerneforbindelse kan være åben ved fejl for at holde banken online; et segment, der beskytter de mest kritiske data, kan være lukket ved fejl. Et IDS uden for trafikvejen har ikke denne udfordring, da en fejl aldrig påvirker produktionstrafikken.

Både IDS og IPS detekterer ved hjælp af de samme grundlæggende metoder:

• Signaturbaseret — match kendte skadelige mønstre. Præcis ved kendte trusler, men blind over for nye trusler.
• Afvigelsesbaseret — marker afvigelser fra en indlært baseline. Opdager ukendte trusler, men genererer mere støj.
• Protokolanalyse — opdager brud på, hvordan en protokol bør fungere.

Om afgørelsen udløser en alarm (IDS) eller en blokering (IPS), er uafhængigt af detektionsmetoden.

Falske positiver har betydning i begge systemer, men konsekvenserne er markant forskellige.

• På et IDS spilder en falsk positiv analytikerens tid.
• På et IPS blokerer en falsk positiv reel trafik og kan forårsage et driftsstop.

Derfor implementerer teams ofte en ny regel først i IDS-/alarmtilstand, finjusterer den, indtil FP-andelen er acceptabel, og gør den først derefter til en aktiv blokeringsregel i trafikvejen.

Begge systemer begrænses af kryptering. De kan ikke undersøge indholdet i TLS-krypteret trafik uden dekryptering. Modforanstaltninger omfatter:

• TLS-inspektion/dekrypteringsproxyer ved netværksgrænsen
• Undersøgelse af metadata: JA3/JA3S-fingeraftryk, certifikatfelter, SNI og tidsmønstre
• Dekryptering ved slutpunkterne og overvågning dér i stedet

En stadig større andel af trafikken er krypteret, så moderne NSM er i høj grad afhængig af metadata og adfærdssignaler, ikke kun af signaturer i indholdet.

Indtrængningsdetektion opdeles også efter, hvor sensoren befinder sig:

• NIDS (netværksbaseret) undersøger trafik på netværket; Snort og Suricata er NIDS. Det giver bred synlighed, men kan ikke se krypteret indhold eller aktivitet på værten.
• HIDS (værtsbaseret) kører på slutpunktet og overvåger filintegritet, logge og procesadfærd; OSSEC og Wazuh er eksempler.

De supplerer hinanden: NIDS ser lateral bevægelse mellem værter, mens HIDS ser, hvad der sker på en enkelt vært, selv når trafikken er krypteret. Modne sikkerhedsprogrammer bruger begge.

I praksis bruger du begge i en lagdelt opbygning.

• IPS i trafikvejen ved perimeteren og omkring kritiske segmenter for automatisk at blokere kendte angreb med høj sikkerhed.
• IDS, der modtager trafik fra interne forbindelser for bred synlighed, trusselsjagt og detektioner, der er for risikable til automatisk blokering.

NSM kombinerer også disse med fuld pakkeopsamling og flowposter (NetFlow), så analytikere kan undersøge det, som de automatiske systemer markerer.

IDS og IPS er to sider af netværksovervågning:

• IDS = uden for trafikvejen, detekterer og alarmerer, ingen påvirkning af trafikforløbet
• IPS = i trafikvejen, detekterer og blokerer i realtid, kan afbryde trafik
• Forsyn et IDS via SPAN-porte eller TAP'er; forbind et IPS direkte i trafikvejen
• Et IPS i trafikvejen kræver en beslutning om åben ved fejl kontra lukket ved fejl
• Begge bruger signatur-, afvigelses- og protokolbaseret detektion
• IPS'ets falske positiver kan forårsage driftsstop, så finjustér først i alarmtilstand
• Kryptering begrænser undersøgelsen af indholdet; læg vægt på metadata
• Brug begge i lag for både forebyggelse og bred synlighed

Næste emne: at skrive de signaturregler, som disse motorer kører.