Conceptos de IDS frente a IPS

El monitoreo de seguridad de red (NSM) consiste en recopilar, analizar y procesar el tráfico de red para detectar intrusiones. Dos herramientas fundamentales son el IDS y el IPS.

Ambos inspeccionan los paquetes en busca de indicios de ataque, pero se diferencian en un aspecto decisivo: un IDS observa y genera alertas, mientras que un IPS observa y bloquea. Esta diferencia determina cómo y dónde se implementa cada uno.

Un sistema de detección de intrusiones inspecciona pasivamente una copia del tráfico de red. Cuando el tráfico coincide con una firma o una anomalía, genera una alerta para que un analista la investigue. No modifica ni detiene el tráfico.

Al funcionar fuera de banda, un IDS no puede ralentizar ni interrumpir los flujos legítimos, y un fallo del IDS no deja fuera de servicio la red. La contrapartida es que detecta el ataque a posteriori, por lo que el paquete malicioso ya ha llegado a su destino.

Un sistema de prevención de intrusiones se coloca en línea, directamente en la ruta del tráfico. Cuando identifica tráfico malicioso, puede descartar el paquete, restablecer la conexión o bloquear el origen en tiempo real, deteniendo el ataque antes de que llegue a su destino.

El precio de esta capacidad es que un IPS puede convertirse en un cuello de botella y en un único punto de fallo. Un falso positivo no solo genera ruido: bloquea tráfico empresarial legítimo y puede provocar una interrupción del servicio.

La topología de implementación es la diferencia fundamental.

• IDS (fuera de banda) recibe una copia reflejada mediante un puerto SPAN o un TAP de red. Ve el tráfico, pero no puede intervenir en el flujo activo.
• IPS (en línea) reenvía el tráfico directamente. Todos los paquetes pasan por él, por lo que puede decidir si los permite o los descarta.

Muchos motores (Snort, Suricata) pueden funcionar en cualquiera de los dos modos; la diferencia está en si se colocan en la ruta del tráfico o si reciben los datos de un TAP.

Para proporcionar tráfico a un IDS, debe copiarlo.

• Un puerto SPAN/de duplicación se configura en un switch para duplicar el tráfico a un puerto de monitorización. Es económico, pero puede descartar tramas bajo carga y quizá no capture paquetes con errores.
• Un TAP de red es un dispositivo de hardware que copia físicamente el tráfico sin pérdida de paquetes. Es más fiable en enlaces de alto rendimiento.

Para un IPS en línea no se utiliza un TAP; el dispositivo se conecta directamente entre dos segmentos.

Un IPS en línea debe decidir qué ocurre cuando falla o se ve sobrecargado.

• Fail-open — el tráfico continúa fluyendo, priorizando la disponibilidad sobre la seguridad.
• Fail-closed — el tráfico se bloquea, priorizando la seguridad sobre la disponibilidad.

Se trata de una decisión de riesgo empresarial. El enlace troncal de un banco podría configurarse con fail-open para mantener el servicio activo; un segmento que proteja datos críticos podría configurarse con fail-closed. Un IDS fuera de banda no tiene este problema, ya que su fallo nunca afecta al tráfico de producción.

Tanto los IDS como los IPS detectan amenazas mediante los mismos enfoques básicos:

• Basado en firmas — busca patrones maliciosos conocidos. Es preciso frente a amenazas conocidas, pero no detecta las nuevas.
• Basado en anomalías — identifica desviaciones respecto a una línea base aprendida. Detecta amenazas desconocidas, pero genera más ruido.
• Análisis de protocolos — detecta incumplimientos del comportamiento esperado de un protocolo.

Que el resultado active una alerta (IDS) o un bloqueo (IPS) es independiente del método de detección.

Los falsos positivos importan en ambos sistemas, pero las consecuencias son muy distintas.

• En un IDS, un falso positivo desperdicia el tiempo de un analista.
• En un IPS, un falso positivo bloquea tráfico real y puede provocar una interrupción del servicio.

Por eso, los equipos suelen implementar primero una regla nueva en modo de alerta de IDS, ajustarla hasta que la tasa de falsos positivos sea aceptable y solo después pasarla al bloqueo en línea.

Ambos sistemas están limitados por el cifrado. No pueden inspeccionar la carga útil del tráfico cifrado con TLS sin descifrarla. Entre las medidas de mitigación se incluyen:

• Proxies de inspección/descifrado TLS en el perímetro
• Inspección de metadatos: huellas JA3/JA3S, campos de certificados, SNI y temporización
• Descifrado en los endpoints y monitoreo allí

La proporción de tráfico cifrado no deja de crecer, por lo que el NSM moderno depende en gran medida de los metadatos y las señales de comportamiento, no solo de las firmas de carga útil.

La detección de intrusiones también se divide según dónde reside el sensor:

• NIDS (basado en red) inspecciona el tráfico en la red; Snort y Suricata son NIDS. Ofrece una visibilidad amplia, pero no puede ver las cargas útiles cifradas ni la actividad en el host.
• HIDS (basado en host) se ejecuta en el endpoint y supervisa la integridad de los archivos, los registros y el comportamiento de los procesos; OSSEC y Wazuh son ejemplos.

Son complementarios: el NIDS observa el movimiento lateral entre hosts, mientras que el HIDS observa lo que ocurre dentro de un único host incluso cuando el tráfico está cifrado. Los programas maduros utilizan ambos.

En la práctica, se utilizan ambos en capas.

• IPS en línea en el perímetro y alrededor de los segmentos críticos para bloquear automáticamente ataques conocidos y de alta confianza.
• IDS conectado al tráfico interno mediante un TAP para obtener una visibilidad amplia, realizar búsquedas proactivas de amenazas y detectar amenazas que sería demasiado arriesgado bloquear automáticamente.

El NSM también combina estas herramientas con la captura de paquetes completos y los registros de flujo (NetFlow), para que los analistas puedan investigar lo que los sistemas automatizados señalan.

Confirme que puede distinguir los dos sistemas.

IDS e IPS son dos caras del monitoreo de red:

• IDS = fuera de banda, detecta y genera alertas, sin impacto en el flujo
• IPS = en línea, detecta y bloquea en tiempo real, y puede interrumpir el tráfico
• Proporcione tráfico a un IDS mediante puertos SPAN o TAP; conecte un IPS en la ruta
• Un IPS en línea requiere decidir entre fail-open y fail-closed
• Ambos utilizan detección basada en firmas, anomalías y protocolos
• Los falsos positivos del IPS provocan interrupciones, por lo que primero debe ajustarse en modo de alerta
• El cifrado limita la inspección de cargas útiles; apóyese en los metadatos
• Combine ambos en capas para obtener prevención y visibilidad amplia

A continuación: escribir las reglas de firmas que ejecutan estos motores.