Koncepcje IDS i IPS

Monitorowanie bezpieczeństwa sieciowego (NSM) to praktyka zbierania, analizowania i wykorzystywania ruchu sieciowego do wykrywania włamań. Dwa podstawowe narzędzia to IDS i IPS.

Oba analizują pakiety pod kątem oznak ataku, ale różnią się w jednej decydującej kwestii: IDS monitoruje i generuje alerty, natomiast IPS monitoruje i blokuje. Ta różnica wpływa na sposób i miejsce wdrożenia każdego z nich.

System wykrywania włamań pasywnie analizuje kopię ruchu sieciowego. Gdy ruch pasuje do sygnatury lub anomalii, generuje alert dla analityka, który powinien go zbadać. System nie zmienia ani nie zatrzymuje ruchu.

Ponieważ działa poza pasmem, IDS nie może spowolnić ani przerwać prawidłowych przepływów, a jego awaria nie powoduje przestoju sieci. Kompromis polega na tym, że wykrycie następuje po fakcie — złośliwy pakiet dotarł już do celu.

System zapobiegania włamaniom jest umieszczony inline, bezpośrednio na ścieżce ruchu. Po wykryciu złośliwego ruchu może w czasie rzeczywistym odrzucić pakiet, zresetować połączenie lub zablokować źródło, zatrzymując atak, zanim dotrze on do celu.

Ceną za te możliwości jest to, że IPS może stać się wąskim gardłem i pojedynczym punktem awarii. Fałszywie dodatni wynik nie tylko generuje szum, lecz także blokuje prawidłowy ruch biznesowy.

Topologia wdrożenia stanowi podstawowe rozróżnienie.

• IDS (poza pasmem) otrzymuje kopię ruchu przez port SPAN lub network TAP. Widzi ruch, ale nie może ingerować w aktywny przepływ.
• IPS (inline) sam przekazuje ruch dalej. Każdy pakiet przechodzi przez ten system, dzięki czemu może on decydować o przepuszczeniu lub odrzuceniu pakietu.

Wiele silników, takich jak Snort i Suricata, może działać w obu trybach. Różnica polega na tym, czy zostaną umieszczone na ścieżce ruchu, czy otrzymają go z TAP-u.

Aby dostarczyć ruch do IDS, należy go skopiować.

• Port SPAN/mirror konfiguruje się na przełączniku, aby duplikować ruch na port monitorujący. Jest tani, ale przy dużym obciążeniu może gubić ramki i może pomijać pakiety z błędami.
• TAP sieciowy to urządzenie sprzętowe, które fizycznie kopiuje ruch bez utraty pakietów. Jest bardziej niezawodne w przypadku łączy o dużej przepustowości.

W przypadku IPS działającego inline nie stosuje się TAP-u; urządzenie podłącza się bezpośrednio między dwoma segmentami.

IPS działający inline musi rozstrzygnąć, co stanie się po awarii lub przeciążeniu systemu.

• Fail-open — ruch nadal przepływa, a dostępność ma priorytet przed bezpieczeństwem.
• Fail-closed — ruch zostaje zablokowany, a bezpieczeństwo ma priorytet przed dostępnością.

Jest to decyzja dotycząca ryzyka biznesowego. Główne łącze banku może działać w trybie fail-open, aby utrzymać dostępność, natomiast segment chroniący najważniejsze dane może działać w trybie fail-closed. IDS działający poza pasmem nie ma tego problemu, ponieważ jego awaria nigdy nie wpływa na ruch produkcyjny.

IDS i IPS wykorzystują te same podstawowe metody wykrywania:

• Oparte na sygnaturach — dopasowują znane złośliwe wzorce. Są precyzyjne w przypadku znanych zagrożeń, ale nie wykrywają nowych.
• Oparte na anomaliach — wskazują odchylenia od wyuczonego profilu bazowego. Wykrywają nieznane zagrożenia, ale generują więcej szumu.
• Analiza protokołów — wykrywa naruszenia zasad działania protokołu.

To, czy wynik oceny wyzwoli alert (IDS), czy blokadę (IPS), nie zależy od zastosowanej metody wykrywania.

Fałszywie dodatnie wyniki mają znaczenie w obu systemach, ale ich konsekwencje znacznie się różnią.

• W przypadku IDS fałszywie dodatni wynik marnuje czas analityka.
• W przypadku IPS fałszywie dodatni wynik blokuje rzeczywisty ruch i może spowodować awarię.

Dlatego zespoły często wdrażają nową regułę najpierw w trybie IDS generowania alertów, dostrajają ją do momentu uzyskania akceptowalnego wskaźnika fałszywie dodatnich wyników, a dopiero potem przenoszą ją do trybu blokowania inline.

Oba systemy mają ograniczoną widoczność z powodu szyfrowania. Bez odszyfrowania nie mogą analizować treści ruchu zaszyfrowanego za pomocą TLS. Możliwe środki zaradcze obejmują:

• Serwery proxy do inspekcji i odszyfrowywania TLS na granicy sieci
• Analizowanie metadanych: odcisków JA3/JA3S, pól certyfikatów, SNI i sygnatur czasowych
• Odszyfrowywanie ruchu na punktach końcowych i monitorowanie go bezpośrednio tam

Coraz większy odsetek ruchu jest szyfrowany, dlatego współczesne NSM w dużej mierze opiera się na metadanych i sygnałach behawioralnych, a nie wyłącznie na sygnaturach treści.

Systemy wykrywania włamań dzieli się również według miejsca, w którym znajduje się sensor:

• NIDS (sieciowy) analizuje ruch w sieci; Snort i Suricata to przykłady NIDS. Zapewnia szeroką widoczność, ale nie widzi zaszyfrowanej treści ani aktywności na hoście.
• HIDS (hostowy) działa na punkcie końcowym i monitoruje integralność plików, logi oraz zachowanie procesów; przykładami są OSSEC i Wazuh.

Systemy te wzajemnie się uzupełniają: NIDS widzi ruch boczny między hostami, a HIDS pokazuje, co dzieje się wewnątrz pojedynczego hosta, nawet gdy ruch jest szyfrowany. Dojrzałe rozwiązania wykorzystują oba typy.

W praktyce stosuje się oba systemy warstwowo.

• IPS inline na brzegu sieci oraz wokół krytycznych segmentów, aby automatycznie blokować znane ataki o wysokim poziomie pewności.
• IDS z podłączonym TAP-em do ruchu wewnętrznego, aby zapewnić szeroką widoczność, polowanie na zagrożenia i wykrywanie zdarzeń, których automatyczne blokowanie byłoby zbyt ryzykowne.

NSM łączy te rozwiązania także z przechwytywaniem pełnych pakietów i rejestrami przepływów (NetFlow), aby analitycy mogli badać zdarzenia wskazane przez systemy automatyczne.

IDS i IPS to dwa aspekty monitorowania sieci:

• IDS = poza pasmem, wykrywanie i generowanie alertów, brak wpływu na przepływ ruchu
• IPS = inline, wykrywanie i blokowanie w czasie rzeczywistym, możliwość zakłócenia ruchu
• Ruch do IDS dostarcza się przez porty SPAN lub TAP-y, a IPS podłącza się bezpośrednio na ścieżce ruchu
• W przypadku IPS działającego inline trzeba podjąć decyzję między fail-open a fail-closed
• Oba systemy wykorzystują wykrywanie sygnaturowe, oparte na anomaliach i oparte na analizie protokołów
• Fałszywie dodatnie wyniki IPS powodują awarie, dlatego najpierw należy dostrajać reguły w trybie generowania alertów
• Szyfrowanie ogranicza analizę treści, dlatego należy polegać na metadanych
• Oba systemy należy stosować warstwowo, aby połączyć zapobieganie z szeroką widocznością

Następnie: tworzenie reguł sygnaturowych, które uruchamiają te silniki.