El sistema de prevención de intrusiones ( IPS ) es un sistema de seguridad informática o de red de software o hardware que detecta intrusiones o brechas de seguridad y protege automáticamente contra ellas.
Los sistemas IPS pueden verse como una extensión de los sistemas de detección de intrusos (IDS) porque la tarea de rastrear ataques sigue siendo la misma. Sin embargo, difieren en que el IPS debe monitorear la actividad en tiempo real y tomar medidas rápidamente para prevenir ataques.
La historia del desarrollo de IPS modernos incluye la historia del desarrollo de varias soluciones independientes, métodos de protección proactiva que se desarrollaron en diferentes momentos para varios tipos de amenazas. Los métodos de protección proactiva que ofrece el mercado hoy en día incluyen los siguientes:
El gusano Morris , que infectó las computadoras Unix en red en noviembre de 1988, suele citarse como la primera amenaza para invadir contramedidas .
Según otra teoría, las acciones de un grupo de piratas informáticos junto con los servicios secretos de la URSS y la RDA se convirtieron en el incentivo para la creación de una nueva fortificación. Entre 1986 y 1989, el grupo, cuyo líder ideológico era Markus Hess, pasó a sus agencias nacionales de inteligencia información obtenida por ellos mediante la intrusión en las computadoras. Todo comenzó con una cuenta desconocida de apenas 75 centavos en el Laboratorio Nacional. E. Lawrence en Berkeley. [1] Un análisis de sus orígenes finalmente llevó a Hess, que trabajaba como programador para una pequeña empresa de Alemania Occidental y también pertenecía al grupo extremista Chaos Computer Club, con sede en Hamburgo. La invasión organizada por él comenzó con una llamada desde su casa a través de un simple módem, brindándole una conexión con la red europea Datex-P y luego penetrando en la computadora de la biblioteca de la Universidad de Bremen, donde el hacker recibió los privilegios necesarios y ya con ellos se dirigió al Laboratorio Nacional. E. Lawrence en Berkeley. [1] El primer registro se registró el 27 de julio de 1987, y de las 400 computadoras disponibles, pudo ingresar a unas 30 y luego obstruir silenciosamente la red cerrada de Milnet , usando, en particular, una trampa en forma de un archivo llamado Proyecto de Red de Iniciativa de Defensa Estratégica (estaba interesado en todo lo relacionado con la Iniciativa de Defensa Estratégica del presidente Reagan ) [1] . Una respuesta inmediata a la aparición de amenazas externas a la red fue la creación de firewalls , como los primeros sistemas de detección y filtrado de amenazas.
Con la llegada de nuevos tipos de amenazas, se recordaron los bloqueadores de comportamiento.
La primera generación de bloqueadores de comportamiento apareció a mediados de la década de 1990. El principio de su trabajo: cuando se detectaba una acción potencialmente peligrosa, se le preguntaba al usuario si permitía o denegaba la acción. Teóricamente, el bloqueador puede prevenir la propagación de cualquier virus , tanto conocido como desconocido . El principal inconveniente de los primeros bloqueadores de comportamiento era un número excesivo de solicitudes al usuario. La razón de esto es la incapacidad de un bloqueador de comportamiento para juzgar la nocividad de una acción. Sin embargo, en programas escritos en VBA , es posible distinguir entre acciones maliciosas y beneficiosas con una probabilidad muy alta.
La segunda generación de bloqueadores de comportamiento es diferente en que no analizan acciones individuales, sino una secuencia de acciones y, en base a esto, llegan a una conclusión sobre la nocividad de un software en particular.
En 2003, Current Analysis, dirigido por Mike Fratto, invitó a los siguientes proveedores a probar productos HIP: Argus Systems Group, Armored Server, Computer Associates (CA), Entercept Security Technologies, Harris, Network-1, Okena, Tiny Software, Tivoli ( parte de IBM ) y WatchGuard. Como resultado, solo se probaron los siguientes productos en el RealWorld Lab de la Universidad de Syracuse : PitBull LX y PitBull Protector de Argus, eTrust Access Control de CA, Web Server Edition de Entercept, STAT Neutralizer de Harris, StormWatch y StormFront de Okena, ServerLock y AppLock de Okena /Guardia de vigilancia web.
Se formularon los siguientes requisitos para los participantes:
Después de un mes y medio de pruebas, ganó el producto StormWatch de Okena (posteriormente adquirido por Cisco Systems , el producto se denominó Cisco Security Agent). [2]
En 2003 se publicó un informe de Gartner que demostraba la ineficiencia de la generación de IDS de la época y predecía su inevitable equipamiento con IPS. Después de eso, los desarrolladores de IDS comenzaron a combinar a menudo sus productos con IPS.
Los métodos se implementan después de que se haya detectado un ataque de información. Esto significa que incluso si se evita con éxito un ataque, el sistema protegido puede resultar dañado.
Bloqueo de conexiónSi se utiliza una conexión TCP para el ataque , se cierra enviando a cada uno o a uno de los participantes un paquete TCP con el indicador RST establecido. Como resultado, el atacante no puede continuar el ataque utilizando esta conexión de red. Este método se implementa con mayor frecuencia utilizando sensores de red existentes.
El método tiene dos desventajas principales:
Si varias cuentas de usuario se vieron comprometidas como resultado de un ataque o resultaron ser sus fuentes, los sensores del host del sistema las bloquean. Para bloquear los sensores se debe ejecutar bajo una cuenta con derechos de administrador.
Además, el bloqueo puede ocurrir durante un período específico, que está determinado por la configuración del Sistema de prevención de intrusiones.
Bloqueo de un host de red informáticaSi se detectó un ataque desde uno de los hosts , entonces puede ser bloqueado por los sensores del host o las interfaces de red pueden bloquearse en él o en el enrutador o conmutador con el que el host está conectado a la red. El desbloqueo puede ocurrir después de un período de tiempo específico o al activar el administrador de seguridad. El bloqueo no se cancela debido a un reinicio o desconexión de la red del host. Además, para neutralizar el ataque, puede bloquear el objetivo, el host de la red informática.
Bloqueando un ataque con un firewallIPS genera y envía nuevas configuraciones al firewall , por lo que la pantalla filtrará el tráfico del intruso. Dicha reconfiguración puede realizarse automáticamente utilizando los estándares OPSEC (p. ej ., SAMP , CPMI ). [3] [4]
Para los firewalls que no admiten los protocolos OPSEC, se puede usar un módulo adaptador para interactuar con el Sistema de prevención de intrusiones:
Para el protocolo SNMP , IPS analiza y modifica la configuración de la base de datos MIB (como tablas de enrutamiento , configuración de puerto ) mediante un agente de dispositivo para bloquear un ataque. También se pueden utilizar los protocolos TFTP , Telnet , etc.
Supresión de fuente activaEn teoría, el método se puede utilizar si otros métodos son inútiles. IPS detecta y bloquea los paquetes del intruso y ataca su nodo, siempre que su dirección esté determinada de manera única y, como resultado de tales acciones, no se dañen otros nodos legítimos.
Este método está implementado en varios software no comerciales:
Dado que es imposible garantizar el cumplimiento de todas las condiciones, la amplia aplicación del método en la práctica aún no es posible.
Los métodos implementan medidas que previenen los ataques detectados antes de que alcancen el objetivo.
Uso de sensores de redLos sensores de red se instalan en el espacio del canal de comunicación para analizar todos los paquetes que pasan. Para ello, están equipados con dos adaptadores de red que funcionan en "modo mixto", para recibir y para transmitir, escribiendo todos los paquetes que pasan en la memoria intermedia, desde donde son leídos por el módulo de detección de ataques IPS. Si se detecta un ataque, estos paquetes pueden eliminarse. [5]
El análisis de paquetes se basa en métodos de firma o de comportamiento.
Uso de sensores host