El Sistema de Detección de Intrusos ( IDS [1] ) es una herramienta de software o hardware diseñada para detectar los hechos de acceso no autorizado a un sistema o red informática o el control no autorizado de los mismos principalmente a través de Internet . El término inglés correspondiente es Sistema de detección de intrusos (IDS) . Los sistemas de detección de intrusos proporcionan una capa adicional de protección para los sistemas informáticos.
Los sistemas de detección de intrusos se utilizan para detectar ciertos tipos de actividad maliciosa que pueden comprometer la seguridad de un sistema informático. Dicha actividad incluye ataques de red contra servicios vulnerables , ataques de escalada de privilegios , acceso no autorizado a archivos importantes y actividades de software malicioso ( virus informáticos , troyanos y gusanos )
Por lo general, una arquitectura IDS incluye:
Hay varias formas de clasificar los IDS según el tipo y la ubicación de los sensores, así como los métodos utilizados por el subsistema de análisis para detectar actividades sospechosas. En muchos IDS simples, todos los componentes se implementan como un solo módulo o dispositivo.
En un IDS en red , los sensores están ubicados en puntos de interés de la red para la vigilancia, a menudo en una zona desmilitarizada , o en el borde de la red. El sensor intercepta todo el tráfico de la red y analiza el contenido de cada paquete en busca de componentes maliciosos. Los IDS de protocolo se utilizan para rastrear el tráfico que viola las reglas de ciertos protocolos o la sintaxis de un lenguaje (como SQL ). En host IDS , el sensor suele ser un agente de software que supervisa la actividad del host en el que está instalado. También hay versiones híbridas de los tipos de IDS enumerados.
En un IDS pasivo , cuando se detecta una violación de seguridad, la información sobre la violación se registra en el registro de la aplicación y las señales de peligro se envían a la consola y/o al administrador del sistema a través de un canal de comunicación específico. En un sistema activo , también conocido como Sistema de prevención de intrusiones ( IPS ) , el IDS responde a una infracción interrumpiendo la conexión o reconfigurando el firewall para bloquear el tráfico del atacante. Las acciones de respuesta se pueden realizar automáticamente o por orden del operador.
Aunque tanto IDS como firewall son herramientas de seguridad de la información, un firewall difiere en que restringe ciertos tipos de tráfico a un host o subred para evitar intrusiones y no rastrea las intrusiones que ocurren dentro de la red. El IDS, por el contrario, permite el paso del tráfico, analizándolo y señalando cuando se detecta actividad sospechosa. La detección de una brecha de seguridad generalmente se lleva a cabo utilizando reglas heurísticas y análisis de firmas de ataques informáticos conocidos.
El primer concepto de IDS surgió gracias a James Anderson y el artículo [2] . En 1984, Fred Cohen (ver Detección de intrusiones ) afirmó que todas las intrusiones son indetectables y que los recursos necesarios para la detección de intrusiones aumentarán con el grado de tecnología informática que se utilice.
Dorothy Denning, con la ayuda de Peter Neumann, publicó el modelo IDS en 1986, que constituyó la base de la mayoría de los sistemas modernos. [3] Su modelo utilizaba métodos estadísticos para la detección de intrusos y se llamaba IDES (Sistema experto en detección de intrusos). El sistema se ejecutó en estaciones de trabajo Sun y analizó tanto el tráfico de la red como los datos de las aplicaciones de los usuarios. [cuatro]
IDES utilizó dos enfoques para la detección de intrusiones: utilizó un sistema experto para identificar tipos conocidos de intrusiones y un componente de detección basado en métodos estadísticos y perfiles de usuarios y sistemas de la red protegida. Teresa Lunt [5] sugirió utilizar una red neuronal artificial como tercer componente para mejorar la eficiencia de detección. Después de IDES, se lanzó NIDES (Sistema experto en detección de intrusos de próxima generación) en 1993.
MIDAS ( sistema de alerta y detección de intrusos Multics ), un sistema experto que utiliza P-BEST y LISP , se desarrolló en 1988 basándose en el trabajo de Denning y Neumann. [6] En el mismo año, se desarrolló el sistema Haystack basado en métodos estadísticos. [7]
W&S (Wisdom & Sense - sabiduría y sentimiento), un detector de anomalías basado en estadísticas, fue desarrollado en 1989 en el Laboratorio Nacional de Los Álamos . [8] W&S creó reglas basadas en análisis estadísticos y luego usó estas reglas para detectar anomalías.
En 1990, TIM (Máquina inductiva basada en el tiempo) implementó la detección de anomalías mediante el aprendizaje inductivo basado en patrones secuenciales del usuario en el lenguaje Common LISP . [9] El programa fue desarrollado para el VAX 3500. Casi al mismo tiempo, NSM (Network Security Monitor) fue desarrollado para comparar matrices de acceso para la detección de anomalías en estaciones de trabajo Sun-3/50. [10] También en 1990, se desarrolló ISOA (Asistente del oficial de seguridad de la información), que contiene muchas estrategias de detección, incluidas estadísticas, verificación de perfiles y un sistema experto. [11] ComputerWatch, desarrollado en AT&T Bell Labs, utilizó métodos y reglas estadísticos para la validación de datos y la detección de intrusos. [12]
Además, en 1991, los desarrolladores de la Universidad de California desarrollaron un prototipo del sistema distribuido DIDS (Sistema de detección de intrusos distribuido), que también era un sistema experto. [13] También en 1991, el sistema NADIR (detección de anomalías en la red y reportero de intrusos) fue desarrollado por el Laboratorio Nacional de Redes de Computación Embebida (ICN). La creación de este sistema estuvo muy influenciada por el trabajo de Denning y Lunt. [14] NADIR utilizó un detector de anomalías estadísticas y un sistema experto.
En 1998, el Laboratorio Nacional. Lawrence en Berkeley presentó Bro , que utiliza su propio lenguaje de reglas para analizar datos de libpcap . [15] NFR (Network Flight Recorder), desarrollado en 1999, también se basó en libpcap. [16] En noviembre de 1998, se desarrolló APE, un rastreador de paquetes que también usa libpcap. Un mes después, APE pasó a llamarse Snort . [17]
ADAM IDS (Análisis de datos de auditoría e IDS de minería) se desarrolló en 2001. El sistema utilizó los datos de tcpdump para crear las reglas. [Dieciocho]
| Software malicioso | |
|---|---|
| Malware infeccioso | |
| Ocultar métodos | |
| Malware con fines de lucro |
|
| Por sistemas operativos |
|
| Proteccion |
|
| contramedidas |
|