IDS ve IPS Kavramları

Ağ Güvenliği İzleme (NSM), saldırıları tespit etmek için ağ trafiğini toplama, analiz etme ve bu trafiğe göre harekete geçme uygulamasıdır. İki temel araç IDS ve IPS'dir.

Her ikisi de saldırı belirtileri için paketleri inceler, ancak aralarında belirleyici bir fark vardır: IDS izler ve uyarır, IPS ise izler ve engeller. Bu fark, her birini nasıl ve nereye yerleştireceğinizi belirler.

Bir Saldırı Tespit Sistemi, ağ trafiğinin bir kopyasını pasif biçimde inceler. Trafik bir imzayla veya anomaliyle eşleştiğinde, bir analistin araştırması için uyarı oluşturur. Trafiği değiştirmez veya durdurmaz.

Bant dışında çalıştığı için IDS, meşru akışları yavaşlatamaz veya bozmaz ve IDS arızası ağın devre dışı kalmasına neden olmaz. Ödünleşim şudur: tespit olaydan sonra gerçekleşir, dolayısıyla kötü amaçlı paket hedefine çoktan ulaşmıştır.

Bir Saldırı Önleme Sistemi, doğrudan trafik yolunun üzerinde, hat içinde çalışır. Kötü amaçlı trafiği belirlediğinde gerçek zamanlı olarak paketi düşürebilir, bağlantıyı sıfırlayabilir veya kaynağı engelleyebilir; böylece saldırıyı hedefine ulaşmadan durdurur.

Bu gücün bedeli, IPS'nin olası bir darboğaz ve tek hata noktası olmasıdır. Yanlış pozitif yalnızca gürültü oluşturmaz, aynı zamanda meşru iş trafiğini de engeller.

Dağıtım topolojisi temel ayrımdır.

• IDS (bant dışı), SPAN bağlantı noktası veya ağ TAP'i aracılığıyla yansıtılmış bir kopya alır. Trafiği görür, ancak canlı akışa müdahale edemez.
• IPS (hat içi), trafiği bizzat iletir. Her paket içinden geçtiği için geçir veya engelle kararları verebilir.

Birçok motor (Snort, Suricata) her iki modda da çalışabilir; fark, onları trafik yoluna yerleştirmeniz veya bir TAP üzerinden beslemenizdir.

Bir IDS'ye trafik sağlamak için trafiği ona kopyalarsınız.

• SPAN/yansıtma bağlantı noktası, trafiği bir izleme bağlantı noktasına çoğaltmak üzere anahtar üzerinde yapılandırılır. Ucuzdur, ancak yük altında çerçeveleri düşürebilir ve hatalı paketleri kaçırabilir.
• Ağ TAP'i, trafiği paket kaybı olmadan fiziksel olarak kopyalayan bir donanım aygıtıdır. Yüksek aktarım hızına sahip bağlantılar için daha güvenilirdir.

Hat içi bir IPS için TAP kullanmazsınız; aygıt iki kesim arasına doğrudan bağlanır.

Hat içi bir IPS, çöktüğünde veya kapasitesi aşıldığında ne olacağına karar vermelidir.

• Arıza durumunda açık — güvenlik yerine kullanılabilirliğe öncelik vererek trafiğin akmaya devam etmesini sağlar.
• Arıza durumunda kapalı — kullanılabilirlik yerine güvenliğe öncelik vererek trafiği engeller.

Bu, iş açısından bir risk kararıdır. Bir bankanın ana bağlantısı çevrimiçi kalmak için arıza durumunda açık olabilir; en kritik verileri koruyan bir kesim ise arıza durumunda kapalı olabilir. Bant dışı bir IDS için böyle bir sorun yoktur, çünkü arızası üretim trafiğini hiçbir zaman etkilemez.

Hem IDS hem de IPS aynı temel yaklaşımları kullanarak tespit yapar:

• İmza tabanlı — bilinen kötü örüntülerle eşleştirir. Bilinen tehditlerde hassastır, yeni tehditleri göremez.
• Anomali tabanlı — öğrenilmiş bir temel çizgiden sapmaları işaretler. Bilinmeyenleri yakalar, ancak daha gürültülüdür.
• Protokol analizi — bir protokolün nasıl davranması gerektiğine ilişkin ihlalleri tespit eder.

Kararın bir uyarıyı (IDS) veya engellemeyi (IPS) tetiklemesi, tespit yönteminden bağımsızdır.

Yanlış pozitifler her iki sistemde de önemlidir, ancak sonuçları belirgin biçimde farklıdır.

• Bir IDS'de yanlış pozitif, analistin zamanını boşa harcar.
• Bir IPS'de yanlış pozitif, gerçek trafiği engeller ve kesintiye neden olabilir.

Bu nedenle ekipler çoğu zaman yeni bir kuralı önce IDS/uyarı modunda devreye alır, yanlış pozitif oranı kabul edilebilir düzeye gelene kadar ayarlar ve ancak bundan sonra hat içi engellemeye geçirir.

Her iki sistemin de şifreleme nedeniyle sınırlamaları vardır. Şifre çözme olmadan TLS ile şifrelenmiş trafiğin yükünü inceleyemezler. Azaltma önlemleri şunlardır:

• Sınırda TLS inceleme / şifre çözme vekil sunucuları
• Üstveriyi inceleme: JA3/JA3S parmak izleri, sertifika alanları, SNI, zamanlama
• Uç noktalarda şifreyi çözerek trafiği orada izleme

Trafiğin giderek daha büyük bir bölümü şifreleniyor; bu nedenle modern NSM, yalnızca yük imzalarına değil, büyük ölçüde üstveriye ve davranışsal sinyallere dayanır.

Saldırı tespiti, sensörün bulunduğu yere göre de ayrılır:

• NIDS (ağ tabanlı), ağ üzerinden geçen trafiği inceler; Snort ve Suricata NIDS'dir. Görünürlüğü geniştir, ancak şifrelenmiş yükleri ve ana bilgisayar üzerindeki etkinlikleri göremez.
• HIDS (ana bilgisayar tabanlı), uç noktada çalışarak dosya bütünlüğünü, günlükleri ve süreç davranışını izler; OSSEC ve Wazuh buna örnektir.

Birbirlerini tamamlarlar: NIDS ana bilgisayarlar arasındaki yanal hareketi görür, HIDS ise trafik şifrelenmiş olsa bile tek bir ana bilgisayarın içinde gerçekleşenleri görür. Olgun programlar her ikisini de çalıştırır.

Uygulamada ikisini katmanlı biçimde kullanırsınız.

• Bilinen ve güven düzeyi yüksek saldırıları otomatik olarak engellemek için çevre sınırında ve kritik kesimlerin çevresinde hat içi IPS kullanın.
• Geniş görünürlük, tehdit avcılığı ve otomatik engelleme için fazla riskli tespitler amacıyla iç trafiği TAP ile izleyen IDS kullanın.

NSM ayrıca bunları tam paket yakalama ve akış kayıtlarıyla (NetFlow) birleştirir; böylece analistler otomatik sistemlerin işaretlediklerini araştırabilir.

İki sistemi birbirinden ayırt edebildiğinizi doğrulayın.

IDS ve IPS, ağ izlemenin iki farklı yüzüdür:

• IDS = bant dışı, tespit eder ve uyarır, akışa etkisi yoktur
• IPS = hat içi, gerçek zamanlı tespit eder ve engeller, trafiği bozabilir
• Bir IDS'ye SPAN bağlantı noktaları veya TAP'ler üzerinden trafik aktarın; bir IPS'yi trafik yoluna bağlayın
• Hat içi bir IPS için arıza durumunda açık mı yoksa kapalı mı kararı gerekir
• Her ikisi de imza, anomali ve protokol tespitini kullanır
• IPS'teki yanlış pozitifler kesintilere neden olur; bu nedenle önce uyarı modunda ayarlama yapın
• Şifreleme yük incelemesini sınırlar; üstveriye güvenin
• Önleme ile geniş görünürlüğü birlikte sağlamak için her ikisini katmanlı olarak kullanın

Sıradaki konu: Bu motorların çalıştırdığı imza kurallarını yazmak.