¿Qué es un intrusion pre­ve­n­tion system?

Añadir un sistema de pre­ve­n­ción de in­tru­sio­nes (IPS) a un firewall es una opción in­te­re­sa­n­te. Este combina las ca­pa­ci­da­des de su­pe­r­vi­sión y análisis de un sistema de detección de in­tru­sio­nes (IDS) y, además, co­n­tra­rre­s­ta y neu­tra­li­za de forma proactiva las amenazas.

¿Qué significa IPS?

Para la mayoría de los usuarios, el firewall es un método de probada eficacia para proteger el propio sistema o red contra ataques desde el exterior. Un sistema de pre­ve­n­ción de in­tru­sio­nes (IPS) eficaz es un co­m­ple­me­n­to re­co­me­n­da­ble para este mecanismo de pro­te­c­ción. El sistema funciona en dos pasos. En primer lugar, realiza las tareas de un sistema de detección de in­tru­sio­nes (IDS) y supervisa el host, la red o ambos para ide­n­ti­fi­car rá­pi­da­me­n­te las ac­ti­vi­da­des no au­to­ri­za­das creando patrones y co­m­pa­rá­n­do­los con el tráfico en tiempo real. Cuando el sistema de pre­ve­n­ción de in­tru­sio­nes ide­n­ti­fi­ca una amenaza, se pasa al segundo paso, tomando las medidas apro­pia­das para co­n­tra­rre­s­tar­la.

El intrusion detection system y el intrusion pre­ve­n­tion system se di­fe­re­n­cian en que el sistema de pre­ve­n­ción de in­tru­sio­nes solo envía un aviso al ad­mi­ni­s­tra­dor. El sistema de pre­ve­n­ción de in­tru­sio­nes, en cambio, in­te­r­vie­ne ac­ti­va­me­n­te, bloquea paquetes de datos o in­te­rru­m­pe co­ne­xio­nes vu­l­ne­ra­bles. En primer lugar, es im­po­r­ta­n­te que el sistema de pre­ve­n­ción de in­tru­sio­nes esté co­n­fi­gu­ra­do ade­cua­da­me­n­te para que se eviten todas las amenazas sin en­to­r­pe­cer el flujo de trabajo. Además, la estrecha co­la­bo­ra­ción entre el IPS y el firewall es crucial para conseguir una pro­te­c­ción óptima. No­r­ma­l­me­n­te, el intrusion detection system se coloca di­re­c­ta­me­n­te detrás del co­r­ta­fue­gos, uti­li­za­n­do sensores para evaluar a fondo los datos del sistema y los paquetes de red.

¿Qué tipos de intrusion pre­ve­n­tion systems existen?

Existen distintos tipos de sistemas de pre­ve­n­ción de in­tru­sio­nes, que se di­fe­re­n­cian pri­n­ci­pa­l­me­n­te por el lugar en el que se implantan.

• Sistemas de pre­ve­n­ción de in­tru­sio­nes basados en el host: los IPS basados en el host (HIPS) se instalan di­re­c­ta­me­n­te en di­s­po­si­ti­vos finales in­di­vi­dua­les, donde su­pe­r­vi­san ex­clu­si­va­me­n­te los datos entrantes y salientes. Como resultado, sus ca­pa­ci­da­des de defensa activa se limitan al di­s­po­si­ti­vo es­pe­cí­fi­co en el que están in­s­ta­la­dos. Los HIPS se utilizan fre­cue­n­te­me­n­te junto con métodos de seguridad más amplios, y el sistema de pre­ve­n­ción de in­tru­sio­nes basado en el host actúa como última línea de defensa.
• Sistemas de pre­ve­n­ción de in­tru­sio­nes basados en la red: los IPS basados en la red (NIPS) se colocan es­tra­té­gi­ca­me­n­te en varias ubi­ca­cio­nes dentro de una red para examinar grandes volúmenes de paquetes de datos que circulan por ella. Pueden de­s­ple­gar­se mediante di­s­po­si­ti­vos dedicados o dentro de los firewalls. Esta co­n­fi­gu­ra­ción permite un escaneo y pro­te­c­ción exhau­s­ti­vos de todos los sistemas co­ne­c­ta­dos a la red.
• Sistemas in­alá­m­bri­cos de pre­ve­n­ción de in­tru­sio­nes: los WIPS (Wireless Intrusion Pre­ve­n­tion System) están es­pe­cia­l­me­n­te diseñados para funcionar en una red WLAN. En caso de acceso no au­to­ri­za­do, el IPS localiza el di­s­po­si­ti­vo co­rre­s­po­n­die­n­te y lo expulsa del entorno.
• Sistemas de pre­ve­n­ción de in­tru­sio­nes por co­m­po­r­ta­mie­n­to: para luchar contra los ataques DDoS se re­co­mie­n­da el Network Behavior Analysis (NBA). Este sistema comprueba todo el tráfico de datos y así puede detectar y prevenir los ataques con an­te­la­ción.

¿Cómo funciona un sistema de pre­ve­n­ción de in­tru­sio­nes?

La función de un sistema de pre­ve­n­ción de in­tru­sio­nes abarca dos aspectos pri­n­ci­pa­les. En primer lugar, debe detectar, pre­fi­l­trar, analizar e informar de las amenazas po­te­n­cia­les, bá­si­ca­me­n­te como un sistema de detección de in­tru­sio­nes. Además, el sistema de pre­ve­n­ción de in­tru­sio­nes toma medidas proac­ti­vas en respuesta a una amenaza, im­pu­l­sa­n­do sus propias medidas de pre­ve­n­ción. En ambos casos, el IPS tiene varios métodos a su di­s­po­si­ción.

Métodos de análisis del IPS

• Detección de anomalías: la detección de anomalías consiste en comparar el co­m­po­r­ta­mie­n­to de la red o del di­s­po­si­ti­vo final con una norma pre­de­fi­ni­da. Las de­s­via­cio­nes si­g­ni­fi­ca­ti­vas de esta norma hacen que el sistema de pre­ve­n­ción de in­tru­sio­nes tome las co­n­tra­me­di­das adecuadas. Sin embargo, de­pe­n­die­n­do de la co­n­fi­gu­ra­ción, este método también puede dar lugar a numerosas falsas alarmas. También por este motivo, los sistemas modernos recurren cada vez más a la IA para reducir si­g­ni­fi­ca­ti­va­me­n­te los po­r­ce­n­ta­jes de error.
• Detección de abusos: en este método, se examinan los paquetes de datos en busca de formas conocidas de ataques. Este tipo de sistema de pre­ve­n­ción de in­tru­sio­nes demuestra fuertes tasas de detección de amenazas es­ta­ble­ci­das, ide­n­ti­fi­cá­n­do­las con un alto grado de certeza. Sin embargo, es menos eficaz contra ataques novedosos, no ide­n­ti­fi­ca­dos pre­via­me­n­te.
• IPS basado en pro­to­co­los: Este método de pre­ve­n­ción de in­tru­sio­nes basado en políticas se emplea con menos fre­cue­n­cia que los dos an­te­rio­res. Para aplicar este enfoque, primero deben co­n­fi­gu­rar­se unos pro­to­co­los de seguridad únicos y es­pe­cí­fi­cos. Estas di­re­c­tri­ces sirven de base para su­pe­r­vi­sar el sistema co­rre­s­po­n­die­n­te.

Me­ca­ni­s­mos de defensa del IPS

El sistema de pre­ve­n­ción de in­tru­sio­nes funciona en tiempo real sin in­te­r­fe­rir en el flujo de datos. Cuando se detecta una amenaza mediante los métodos de su­pe­r­vi­sión descritos an­te­rio­r­me­n­te, el IPS ofrece varias opciones de respuesta. En si­tua­cio­nes menos críticas, de forma similar a un IDS, envía una no­ti­fi­ca­ción al ad­mi­ni­s­tra­dor para que tome medidas. Sin embargo, en casos más graves, el sistema de pre­ve­n­ción de in­tru­sio­nes actúa de forma autónoma. Puede in­te­rru­m­pir y reiniciar las rutas de tra­n­s­mi­sión, bloquear fuentes o destinos, o incluso rechazar co­m­ple­ta­me­n­te paquetes de datos.

¿Cuáles son las ventajas de un sistema de un intrusion pre­ve­n­tion system?

El de­s­plie­gue es­tra­té­gi­co de un sistema de pre­ve­n­ción de in­tru­sio­nes ofrece numerosas ventajas a los usuarios. La más notable es que mejora la seguridad general al detectar riesgos que podrían pasar des­ape­r­ci­bi­dos a otras he­rra­mie­n­tas. Mediante el pre­fi­l­tra­do, el sistema de pre­ve­n­ción de in­tru­sio­nes también alivia la carga de otros me­ca­ni­s­mos de seguridad, sa­l­va­gua­r­da­n­do toda la in­frae­s­tru­c­tu­ra. Las opciones de co­n­fi­gu­ra­ción permiten pe­r­so­na­li­zar con precisión el IPS para cumplir re­qui­si­tos es­pe­cí­fi­cos. Una vez co­n­fi­gu­ra­do co­rre­c­ta­me­n­te, el sistema funciona de forma autónoma, lo que supone un im­po­r­ta­n­te ahorro de tiempo.

¿Cuáles son los in­co­n­ve­nie­n­tes de un intrusion pre­ve­n­tion system?

Utilizado co­rre­c­ta­me­n­te, un sistema de pre­ve­n­ción de in­tru­sio­nes mejora su­s­ta­n­cia­l­me­n­te la seguridad de la red. Sin embargo, también hay algunos in­co­n­ve­nie­n­tes po­te­n­cia­les asociados a este enfoque. Además de las li­mi­ta­cio­nes ya me­n­cio­na­das de la detección de anomalías y usos indebidos, existe una preo­cu­pa­ción notable en relación con los re­qui­si­tos de hardware. Los sistemas de pre­ve­n­ción de in­tru­sio­nes suelen exigir recursos co­n­si­de­ra­bles, que aumentan pro­po­r­cio­na­l­me­n­te según el tamaño de la red. Por tanto, su valor real se obtiene cuando sus ca­pa­ci­da­des se alinean con las demandas de la red. Además, la co­n­fi­gu­ra­ción puede ser un reto, sobre todo para las personas no expertas. Las co­n­fi­gu­ra­cio­nes in­e­fi­ca­ces pueden provocar problemas en la red.

DenyHosts: el mejor IPS contra la fuerza bruta

En la guerra contra los ataques de fuerza bruta, DenyHosts es una opción que merece la pena tener en cuenta. El sistema de pre­ve­n­ción de in­tru­sio­nes está escrito en Python y es de código abierto. Mo­ni­to­ri­za los intentos de inicio de sesión SSH y bloquea las di­re­c­cio­nes co­rre­s­po­n­die­n­tes si tienen de­ma­sia­dos intentos fallidos. Este es el re­po­si­to­rio GitHub oficial de DenyHosts.