Detector de Intrusos
Estrategias de implementacin de IDS de red y de IPS
Deteccin de IntrusosIntroduccinEn la actualidad la seguridad
informtica se ha vuelto una necesidad tanto a nivel personal como a
nivel empresarial, ya que la tecnologa se vuelve cada vez ms
esencial para realizar actividades por Internet.Se han implementado
varias metodologas de seguridad como la implementacin de Firewalls,
los cuales deniegan o permiten el paso de puertos.
A medida de que la tecnologa incrementa, los servicios como
compras, movimientos bancarios, por internet han salido para
facilitar la vida de las personas, pero al mismo tiempo se ha
vuelto el blanco de ataque ms comn en la actualidad.2Uso de
firewallsProporciona un nivel de seguridad dentro de las
empresas.Permite o deniega ciertos puertos de Internet.
Un ejemplo muy claro es el uso de correo en las empresas, en las
cuales al tener que sacar su servicio a la nube, el Firewall deja
desbloqueado el puerto 25 (SMTP) para pasar el trfico de
correo.
No obstante, no se tiene un conocimiento a ciencia cierta si
estos puertos no son usados por terceras personas para realizar
ataques hacia la red de la empresa, es aqu donde la Deteccin de
Intrusos entra en accin, lo cual iremos viendo en el transcurso de
la presentacin.
3
Network Intrusion Detection System (IDS)Herramienta para la
deteccin de accesos no detectados en la red.Analiza los pormenores
del trfico de red, y este es comparado con firmas de ataques
conocidos.Revisa tambin el contenido del trfico y su
comportamiento.
Normalmente esta herramienta se integra con un firewall. El
detector de intrusos es incapaz de detener los ataques por s solo,
excepto los que trabajan conjuntamente en un dispositivo depuerta
de enlacecon funcionalidad defirewall, convirtindose en una
herramienta muy poderosa ya que se une la inteligencia del IDS y el
poder de bloqueo del firewall, al ser el punto donde forzosamente
deben pasar los paquetes y pueden ser bloqueados antes de penetrar
en la red.Los IDS suelen disponer de una base de datos de firmas de
ataques conocidos.4Tipos de IDSLos IDS basados en el host (HIDS)
solo procesan informacin de las actividades de los usuarios y
servicios en una mquina determinada, por ejemplo la creacin de
archivos, los llamados al sistema operativo y los llamados a las
interfaces de red.
Los IDS basados en la red (NIDS) hacen sniffing sobre algn punto
de la red y analizan el trfico capturado en busca de
intrusiones.
Network Intrusion Prevention System (IPS)Es unsoftwareque ejerce
el control de acceso en una red para protegerla.En realidad es otro
tipo de control de acceso, ms cercano a las
tecnologascortafuegos.Funciona por medio de mdulos, pero a su vez
establece polticas de seguridad para proteger al equipo o la
red.
Deteccin basada en firmas: como lo hace un antivirus.Deteccin
basada en polticas: el IPS requiere que se declaren muy
especficamente las polticas de seguridad.Deteccin basada en
anomalas: en funcin con el patrn de comportamiento normal de
trfico.Deteccinhoney pot(jarra de miel): funciona usando un equipo
que se configura para que llame la atencin de loshackers
6Los IPS se categorizan en la forma que detectan el trfico
malicioso:Deteccin basada en firmas: como lo hace un
antivirus.Deteccin basada en polticas: el IPS requiere que se
declaren muy especficamente las polticas de seguridad.Deteccin
basada en anomalas: en funcin con el patrn de comportamiento normal
de trfico.Deteccinhoney pot(jarra de miel): funciona usando un
equipo que se configura para que llame la atencin de
loshackers.Diferencias entre IPS e IDSLa diferencia a nivel terico
entre los IDS y los IPS radica en la forma como reaccionan ante las
intrusiones: los primeros se limitan a detectar y notificar de la
intrusin mientras que los segundos toman acciones de algn tipo
frente a tales eventos.Muchas veces es deseable detener el ataque
de manera oportuna, campo en el cual los IPS son la solucin
adecuada, siempre y cuando estn debidamente configurados y puestos
a punto con el fin de maximizar su nivel de precisin.
Debido a la anterior aseveracin, se tiene que el uso de los IDS
implica un corto lapso de tiempo para enterarse, analizar y
determinar la accin correctiva a adoptar frente a la intrusin, para
finalmente reaccionar manualmente al ataque.Por esta razn, el
fuerte de los IDS radica en su utilidad a posteriori, ya que ayudan
a la reconstruccin del ataque para su posterior anlisis.
8Zonas de segregacin y Confianza en la RedGarantizar la
seguridad en toda la red, no es razonable.Por esta razn una buena
estrategia es segregar la red, en zonas de mayor influencia en la
misma.
Cada zona puede tener una poltica de seguridad diferente.Tener
un sistema de hacer cumplir la poltica es mucho ms eficaz que
esperar a los humanos a comportarse adecuadamente.Una estrategia
eficaz para equilibrar la seguridad con la funcionalidad es la
segregacin de la red. Las zonas resultantes se asocian con un nivel
de confianza basadas en la sensibilidad de los datos que se estn
procesando.9Conectar un IDSUsando un Hub o Switch que abarque un
puerto el IDS.
Usando una derivacin de la red.
Usando un IDS como sensor, antes de la LAN.
Un concentrador de red de datos intrnsecamente acciones que pasa
a travs de s mismo a todos sus puertos tales que cualquier sistema
conectado al concentrador puede ver todo el trfico proviene de
origen o destinado a cualquier otro sistema conectado al
concentrador.Haciendo uso de un hub o switch puerto SPAN es un
mtodo comn para la conexin de sensores.Los Taps son muy tiles
cuando se necesita para configurar una solucin de monitorizacin
apresurada, tal vez para solucionar un problema o desplegar
temporalmente a un IDS.10Conectar un IPSLos sistemas de prevencin
de intrusiones estn siempre conectados en lnea.En caso de fallar el
IPS, se puede mandar el trfico sin filtrado, lo cual es mejor a que
se pierda por completo la conectividad.
Los sistemas de prevencin de intrusiones estn siempre conectados
en lnea, lo cual permite al IPS seleccione los paquetes y
defenderse de un ataque antes de que se apodere de la red
interna.Contras de tener un IPS en lnea no podran pasar el trfico
cuando el IPS pierde la energa elctrica, pero actualmente empresas
dedicadas a la rama han diseado IPS para pasar el trfico, incluso
en el caso de su IPS pierde energa elctrica. 11Despliegue de IPS e
IDS Las interfaces son responsables de la recoleccin de datos para
ser analizados a continuacin, slo con escuchar en el cable y los
impulsos elctricos de recogida que representan datos que se
transmiten.
Los paquetes slo se preocupan de transporte de datos desde el
origen al destino.
Aplicaciones y funciones prcticasEs bueno que se tenga un
sistema de este tipo en el lado externo de la red, para ayudar a
otros administradores con problemas similar, de la misma manera
aprender de experiencias parecidas En cabeza ajena.Para poder
defender, primero se debe de saber como atacar.Realizar mtodos de
prueba peridicamente.
Lo que no se menciona el hecho de que tener un sistema de este
tipo en el lado externo de la red puede realmente ayudar a otros
administradores de todo el mundo.13El mantenimiento de varias IDS /
IPS emparejamientos se logra mejor mediante la utilizacin de una
base de datos central para almacenar los datos
recogidos.Aplicaciones y funciones prcticas
El uso de un sistema de este tipo se limitan slo a las
necesidades de cada empresa, y a la imaginacin del administradorEl
mantenimiento de varias IDS / IPS emparejamientos se logra mejor
mediante la utilizacin de una base de datos central para almacenar
los datos recogidos. En este caso, los sensores slo recogen datos y
los envan a una base de datos centralizada.Cada emparejamiento IDS
/ IPS tendr su propia seguridad poltica o conjunto de reglas. La
centralizacin de los esfuerzos de anlisis tambin conduce a una
interpretacin ms consistente y a reduccin de costos.14DATOSAlumna:
Veronica Serrano ContrerasGrupo: GITI5113-sMateria: Seguridad de la
Informacin
El mantenimiento de varias IDS / IPS emparejamientos se logra
mejor mediante la utilizacin de una base de datos central para
almacenar los datos recogidos. En este caso, los sensores slo
recogen datos y los envan a una base de datos centralizada.15
