Mitkä ovat IDS:n ja IPS:n yh­tä­läi­syy­det ja erot?

Paras tapa suojata yk­sit­täi­nen tietokone tai verkko on havaita ja estää hyök­käyk­set ennen kuin ne ehtivät aiheuttaa vahinkoa. Siksi tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­mät (IDS) ja tun­keu­tu­mi­sen es­to­jär­jes­tel­mät (IPS) voivat olla hyvä lisä pa­lo­muu­ril­le. Lue lisää IDS- ja IPS-jär­jes­tel­mis­tä, niiden yh­tä­läi­syyk­sis­tä ja eroista.

Ennen kuin sy­ven­nym­me IDS- ja IPS-jär­jes­tel­mien eroihin, esit­te­lem­me lyhyesti nämä kaksi jär­jes­tel­mää. IDS tar­koit­taa tun­keu­tu­mi­sen ha­vait­se­mis­jär­jes­tel­mää (Intrusion Detection System), joka tunnistaa asia­kas­ko­nee­seen tai verkkoon koh­dis­tu­vat hyök­käyk­set mah­dol­li­sim­man var­hai­ses­sa vaiheessa. Jos IDS havaitsee ana­lyy­sis­sään epä­ta­val­lis­ta da­ta­lii­ken­net­tä, se lähettää va­roi­tuk­sen jär­jes­tel­män­val­vo­jal­le. IDS-jär­jes­tel­miä on kahta eri tyyppiä: isän­tä­poh­jai­sia ja verk­ko­poh­jai­sia. IPS tar­koit­taa tun­keu­tu­mi­se­nes­to­jär­jes­tel­mää (intrusion pre­ven­tion system), joka paitsi tunnistaa ja raportoi mah­dol­li­set hyök­käyk­set, myös torjuu ne ak­tii­vi­sil­la vas­ta­toi­mil­la. IPS käyttää myös isän­tä­poh­jai­sia ja verk­ko­poh­jai­sia antureita jär­jes­tel­mä­tie­to­jen ja verk­ko­pa­ket­tien ar­vioi­mi­seen.

Mitä yhteistä IDS:llä ja IPS:llä on?

On varmaan jo selvää, että IDS ja IPS eivät ole toi­sis­taan kaukana. Näillä kahdella jär­jes­tel­mäl­lä on useita yhteisiä piirteitä. Tar­kas­te­lem­me muutamia niistä seu­raa­vas­sa.

Analyysi

Monissa ta­pauk­sis­sa näiden kahden jär­jes­tel­män käyttämät ana­lyy­si­me­ne­tel­mät ovat lähes tai täysin samat. Sekä IDS että IPS käyttävät isän­tä­ko­nees­sa, verkossa tai mo­lem­mis­sa si­jait­se­via antureita tar­kis­taak­seen jär­jes­tel­mä­tie­to­ja ja verkon da­ta­pa­ket­te­ja sekä et­siäk­seen uhkia. Ne käyttävät kiinteitä pa­ra­met­re­jä, jotta ne voivat havaita poik­kea­mat ja samalla tunnistaa vaa­rat­to­mat poik­kea­mat sel­lai­sik­si kuin ne ovat. Analyysi suo­ri­te­taan vää­rin­käy­tön ha­vait­se­mi­sen tai poik­kea­mien ha­vait­se­mi­sen avulla. Tämä tar­koit­taa kuitenkin myös, että niillä on yhteisiä po­ten­ti­aa­li­sia heik­kouk­sia. Yksi niistä on, että vää­rin­käy­tön ha­vait­se­mi­ses­sa tun­te­mat­to­mat uhat voivat jäädä huo­maa­mat­ta. Poik­kea­mien ha­vait­se­mi­ses­sa puo­les­taan ra­por­toi­daan usein vaa­rat­to­mia da­ta­pa­ket­te­ja.

Tie­to­kan­ta

Sekä IDS että IPS käyttävät tie­to­kan­taa, jonka avulla uhat voidaan tunnistaa nopeammin ja tarkemmin. Mitä kat­ta­vam­pi tie­to­kan­ta on, sitä parempi tun­nis­tus­tark­kuus kum­mal­la­kin jär­jes­tel­mäl­lä on. Siksi IDS:ää ja IPS:ää ei voida pitää staat­ti­si­na jär­jes­tel­mi­nä, vaan ne ovat itse asiassa muuttuvia ja mu­kau­tu­via jär­jes­tel­miä, jotka ke­hit­ty­vät päi­vi­tys­ten myötä.

Tekoälyn käyttö

Tekoäly on erittäin tärkeää sekä IDS- että IPS-jär­jes­tel­mil­le. Ny­ky­ai­kai­set jär­jes­tel­mät pa­ran­ta­vat uhkien ha­vait­se­mis­ta ja laa­jen­ta­vat tie­to­kan­to­jaan ko­neop­pi­mi­sen avulla. Tämän ansiosta ne pystyvät ym­mär­tä­mään uusia hyök­käys­mal­le­ja paremmin, tun­nis­ta­maan ne ai­kai­sem­min ja ra­por­toi­maan vähemmän vaa­rat­to­mia paketteja.

Asetukset

Sekä IDS- että IPS-jär­jes­tel­mät voidaan rää­tä­löi­dä ja mukauttaa verkon tai jär­jes­tel­män tar­pei­siin. Oi­kean­lai­nen kon­fi­gu­roin­ti varmistaa, että prosessit eivät häiriinny ja että kaikki kom­po­nen­tit toimivat sujuvasti val­von­nas­ta huo­li­mat­ta. Tämä on erittäin tärkeää, sillä sekä IDS- että IPS-jär­jes­tel­mät suo­rit­ta­vat tar­kis­tuk­sia ja ana­ly­soi­vat ti­lan­net­ta re­aa­lia­jas­sa.

Au­to­maa­tio

Sekä IDS että IPS toimivat au­to­maat­ti­ses­ti ja it­se­näi­ses­ti. Kun ne on mää­ri­tet­ty, niitä ei tarvitse valvoa ma­nu­aa­li­ses­ti. Ne hoitavat teh­tä­vän­sä ja antavat pa­lau­tet­ta vain uh­ka­ti­lan­teis­sa.

Uhkien ha­vait­se­mi­nen ja va­roit­ta­mi­nen

Mo­lem­mil­la jär­jes­tel­mil­lä on myös sama pe­rus­toi­min­to: ne ha­vait­se­vat uhat ja il­moit­ta­vat asiasta vä­lit­tö­mäs­ti jär­jes­tel­män­val­vo­jal­le. Varoitus voidaan lähettää säh­kö­pos­ti­na, äly­pu­he­li­men tai tabletin il­moi­tuk­se­na tai jär­jes­tel­mä­hä­ly­tyk­se­nä. Sen jälkeen vas­tuu­hen­ki­löt voivat päättää, miten asiassa edetään.

Pro­to­kol­lan omi­nai­suus

Sekä IDS:llä että IPS:llä on pro­to­kol­lao­mi­nai­suus. Sen ansiosta ne eivät ai­noas­taan ilmoita uhkista tai torju niitä, vaan myös tal­len­ta­vat ne omiin tie­to­kan­toi­hin­sa. Tämä parantaa niiden suo­ri­tus­ky­kyä ajan myötä ja auttaa niitä tun­nis­ta­maan ja kor­jaa­maan heik­kouk­si­aan.

Yh­dis­tel­mä pa­lo­muu­rien kanssa

Sekä IDS:ää että IPS:ää tulisi pitää pa­lo­muu­rin li­sä­omi­nai­suuk­si­na. Jotta jär­jes­tel­mä­si olisi mah­dol­li­sim­man hyvin suojattu hyök­käyk­sil­tä, sinun tulisi yhdistää useita tur­va­toi­men­pi­tei­tä. Jos käytät vain yhtä IDS- tai IPS-jär­jes­tel­mää, verkkoasi tai tie­to­ko­net­ta­si ei ole suojattu riit­tä­väl­lä tavalla.

Mikä erottaa IDS:n ja IPS:n toi­sis­taan?

Kuten edellä on todettu, näillä kahdella jär­jes­tel­mäl­lä on paljon yhteistä. Niitä erottaa toi­sis­taan kuitenkin myös useita seikkoja. Seu­raa­vas­sa selitämme joitakin tär­keim­piä eroja IDS:n ja IPS:n välillä.

Rea­goi­mi­nen uhkiin

Kuten edellä mai­nit­tiin, sekä IDS että IPS valvovat jär­jes­tel­mää ja ra­por­toi­vat sekä kirjaavat uhat. IDS:n tehtävä päättyy kuitenkin tähän, kun taas IPS menee pi­dem­mäl­le. IPS on ak­tii­vi­nen tie­to­tur­va­jär­jes­tel­mä, joka reagoi uhkiin it­se­näi­ses­ti. Tähän voi kuulua yh­teyk­sien kat­kai­se­mi­nen tai da­ta­pa­ket­tien py­säyt­tä­mi­nen ja hä­vit­tä­mi­nen, jos niissä havaitaan poik­kea­mia. IDS puo­les­taan on pas­sii­vi­nen jär­jes­tel­mä, joka vain valvoo ja raportoi uhkia.

Si­joit­tu­mi­nen

IDS- ja IPS-jär­jes­tel­mät eroavat toi­sis­taan myös si­joi­tus­pai­kan suhteen. IDS si­joi­te­taan joko tie­to­ko­neel­le tai verkon reunaan, missä saapuvien ja lähtevien da­ta­pa­ket­tien seuranta on helpointa. IPS puo­les­taan si­joi­te­taan pa­lo­muu­rin taakse, missä se voi paitsi ilmoittaa uhista myös estää ne.

Tyypit

Molemmat ratkaisut voivat olla isän­tä­ko­ne­poh­jai­sia (HIPS) tai verk­ko­poh­jai­sia (NIPS). Toisin kuin IDS-jär­jes­tel­mät, IPS-ratkaisut voivat kuitenkin olla myös WiFi-pohjaisia (WIPS).

It­se­näi­syys

IPS toimii pääosin it­se­näi­ses­ti ja löytää rat­kai­su­ja eri­lai­siin uhkiin. IDS valvoo myös da­ta­pa­ket­te­ja it­se­näi­ses­ti, mutta ei voi toimia oma­toi­mi­ses­ti ha­vait­tu­aan uhkia. Jos jär­jes­tel­mä lähettää va­roi­tuk­sen, jär­jes­tel­män­val­vo­ja käyn­nis­tää vas­ta­toi­met.

Asetukset

IDS toimii yleensä linjassa verkon kanssa, joten sillä ei ole hai­tal­li­sia vai­ku­tuk­sia verkon suo­ri­tus­ky­kyyn. Sen asetusten mää­rit­tä­mi­nen vaatii kuitenkin jonkin verran harkintaa. IDS voi esi­mer­kik­si välittää ha­vait­se­man­sa uhan suoraan rei­tit­ti­meen tai pa­lo­muu­riin ja ilmoittaa asiasta jär­jes­tel­män­val­vo­jal­le. IPS puo­les­taan voi vaikuttaa ne­ga­tii­vi­ses­ti verkon suo­ri­tus­ky­kyyn. Siksi jär­jes­tel­män tarkka kon­fi­gu­roin­ti on sitäkin tär­keäm­pää. Jos se päästää vaa­ral­li­sia da­ta­pa­ket­te­ja läpi, se ei enää suojaa jär­jes­tel­mää­si. Mutta jos se estää vaa­ra­ton­ta lii­ken­net­tä, koko verkko voi kärsiä.