Obsah
IDS a IPS (Systémy detekce a prevence průniku)
IDS a IPS jsou bezpečnostní technologie, které monitorují síťový provoz a hledají v něm škodlivou aktivitu nebo porušení bezpečnostních pravidel. Často jsou integrovány přímo do moderních firewallů (tzv. Next-Generation Firewalls - NGFW).
Základní rozdíl: IDS vs. IPS
Hlavní rozdíl spočívá v tom, jak systém reaguje na nalezenou hrozbu:
IDS (Intrusion Detection System)
* Role: Pasivní pozorovatel (detekce). * Funkce: Monitoruje provoz a v případě detekce hrozby odešle varování (alert) správci. Samotný provoz však neblokuje. * Umístění: Obvykle připojen k zrcadlenému portu (SPAN/TAP), aby neovlivňoval propustnost sítě.
IPS (Intrusion Prevention System)
* Role: Aktivní ochránce (prevence). * Funkce: Monitoruje provoz a v případě detekce hrozby automaticky zasáhne (zahodí pakety, ukončí spojení). * Umístění: Musí být zapojen „v cestě“ (inline) – veškerý provoz přes něj fyzicky protéká.
Metody detekce hrozeb
Oba systémy využívají k odhalení útočníka několik metod:
- Signatury (Signature-based): Porovnává provoz s databází známých vzorků útoků (podobně jako antivirus). Je velmi přesný na známé hrozby, ale neumí odhalit nové (Zero-day) útoky.
- Anomálie (Anomaly-based): Učí se, jak vypadá „normální“ provoz v síti. Pokud dojde k náhlé změně (např. obrovský nárůst UDP provozu), vyhodnotí to jako útok.
- Analýza protokolů: Kontroluje, zda pakety dodržují standardy (RFC). Např. pokud se v HTTP provozu objeví nečekané binární znaky, může jít o pokus o Buffer Overflow.
Umístění v síti
Podle toho, co systémy chrání, je dělíme na:
- NIDS / NIPS (Network-based): Chrání celou síť nebo segment. Jsou umístěny na strategických bodech (např. za hraničním firewallem).
- HIDS / HIPS (Host-based): Instalovány přímo na konkrétním zařízení (serveru, endpointu). Sledují logy, systémové volání a integritu souborů.
Srovnání v tabulce
| Vlastnost | IDS | IPS |
|---|---|---|
| Akce | Pouze upozorní (Alert). | Upozorní a zablokuje (Block). |
| Vliv na síť | Žádný (běží kopie dat). | Může způsobit zpoždění (latenci). |
| Riziko chyby | Žádné (jen falešný poplach). | Kritické (může zablokovat legitimní provoz – False Positive). |
| Vhodné pro | Monitoring, analýzu, forenziku. | Aktivní obranu v reálném čase. |
Pozor na False Positives: Největší výzvou pro správce IPS je odladění pravidel tak, aby systém neblokoval běžnou práci uživatelů. Pokud je IPS nastaveno příliš přísně, může omylem odstavit důležitou podnikovou službu.