Wat is een in­braak­pre­ven­tie­sys­teem?

Het toevoegen van een in­braak­pre­ven­tie­sys­teem (IPS) aan een firewall is een waar­de­vol­le keuze. Het com­bi­neert de mo­ni­to­ring- en ana­ly­se­func­ties van een in­braak­de­tec­tie­sys­teem (IDS), maar wat het on­der­scheidt, is zijn pro­ac­tie­ve vermogen om be­drei­gin­gen actief tegen te gaan en af te schrikken.

Wat betekent IPS?

Voor de meeste ge­brui­kers is de firewall een beproefde methode om hun eigen systeem of netwerk te be­scher­men tegen aanvallen van buitenaf. Een geschikt in­braak­pre­ven­tie­sys­teem (IPS) is een aan­be­vo­len aan­vul­ling op dit be­vei­li­gings­me­cha­nis­me. Het systeem werkt in twee stappen. Eerst voert het de taken van een in­braak­de­tec­tie­sys­teem (IDS) uit en bewaakt het de host, het netwerk of beide om on­ge­oor­loof­de ac­ti­vi­tei­ten on­mid­del­lijk te iden­ti­fi­ce­ren door patronen te creëren en deze te ver­ge­lij­ken met realtime verkeer. De tweede stap komt in werking wanneer het in­braak­pre­ven­tie­sys­teem een be­drei­ging iden­ti­fi­ceert, waarna het passende te­gen­maat­re­ge­len kan nemen.

Het verschil tussen een in­braak­de­tec­tie­sys­teem en een in­braak­pre­ven­tie­sys­teem is dat het in­braak­pre­ven­tie­sys­teem alleen een waar­schu­wing naar de beheerder stuurt. Het in­braak­pre­ven­tie­sys­teem daar­en­te­gen grijpt actief in, blokkeert da­tapak­ket­ten of on­der­breekt kwetsbare ver­bin­din­gen. Ten eerste is het be­lang­rijk dat het in­braak­pre­ven­tie­sys­teem op de juiste manier is ge­con­fi­gu­reerd, zodat alle be­drei­gin­gen worden afgewend zonder de workflow te hinderen. Bovendien is een nauwe sa­men­wer­king tussen het IPS en de firewall cruciaal voor een optimale be­scher­ming. Doorgaans wordt het in­braak­pre­ven­tie­sys­teem direct achter de firewall geplaatst en maakt het gebruik van sensoren om sys­teem­ge­ge­vens en net­werk­pak­ket­ten grondig te be­oor­de­len.

Welke soorten in­braak­pre­ven­tie­sys­te­men zijn er?

Er zijn ver­schil­len­de soorten in­braak­pre­ven­tie­sys­te­men, die voor­na­me­lijk ver­schil­len in hun plaats van inzet.

• Host­ge­ba­seer­de in­braak­pre­ven­tie­sys­te­men: Host­ge­ba­seer­de IPS (HIPS) worden recht­streeks op in­di­vi­du­e­le eind­ap­pa­ra­ten ge­ïn­stal­leerd, waar ze uit­slui­tend inkomende en uitgaande gegevens con­tro­le­ren. Daardoor zijn hun actieve ver­de­di­gings­mo­ge­lijk­he­den beperkt tot het spe­ci­fie­ke apparaat waarop ze zijn ge­ïn­stal­leerd. HIPS worden vaak gebruikt in com­bi­na­tie met bredere be­vei­li­gings­me­tho­den, waarbij het host­ge­ba­seer­de in­braak­pre­ven­tie­sys­teem als laatste ver­de­di­gings­li­nie fungeert.
• Net­werk­ge­ba­seer­de in­braak­pre­ven­tie­sys­te­men: Net­werk­ge­ba­seer­de IPS (NIPS) worden stra­te­gisch op meerdere locaties binnen een netwerk geplaatst om een groot volume aan da­tapak­ket­ten dat binnen het netwerk cir­cu­leert, nauw­keu­rig te con­tro­le­ren. Ze kunnen worden ingezet via speciale apparaten of binnen firewalls. Deze op­stel­ling maakt een uit­ge­brei­de scan en be­scher­ming van alle systemen die op het netwerk zijn aan­ge­slo­ten mogelijk.
• Draadloze in­braak­pre­ven­tie­sys­te­men: WIPS (Wireless Intrusion Pre­ven­ti­on System) zijn speciaal ontworpen om te werken in een WLAN-netwerk. In geval van on­ge­oor­loof­de toegang lo­ka­li­seert het IPS het be­tref­fen­de apparaat en ver­wij­dert het uit de omgeving.
• Ge­drags­ge­ba­seer­de in­braak­be­vei­li­gings­sys­te­men: Network Behavior Analysis (NBA) wordt aan­be­vo­len voor het be­strij­den van DDoS-aanvallen. Dit systeem con­tro­leert al het da­ta­ver­keer en kan zo aanvallen van tevoren de­tec­te­ren en voorkomen.

Hoe werkt een in­braak­pre­ven­tie­sys­teem?

De rol van een in­braak­pre­ven­tie­sys­teem omvat twee be­lang­rij­ke aspecten. Ten eerste moet het po­ten­ti­ë­le be­drei­gin­gen de­tec­te­ren, vooraf filteren, ana­ly­se­ren en rap­por­te­ren, wat in wezen ver­ge­lijk­baar is met een in­braak­de­tec­tie­sys­teem. Bovendien neemt het in­braak­pre­ven­tie­sys­teem pro­ac­tie­ve maat­re­ge­len als reactie op een be­drei­ging en zet het zijn eigen pre­ven­tie­maat­re­ge­len in gang. In beide scenario’s beschikt het IPS over een reeks methoden.

IPS-ana­ly­se­me­tho­den

• Ano­ma­lie­de­tec­tie: Bij ano­ma­lie­de­tec­tie wordt het gedrag van het netwerk of eind­ap­pa­raat ver­ge­le­ken met een vooraf ge­de­fi­ni­eer­de norm. Bij sig­ni­fi­can­te af­wij­kin­gen van deze norm neemt het in­braak­pre­ven­tie­sys­teem passende te­gen­maat­re­ge­len. Af­han­ke­lijk van de con­fi­gu­ra­tie kan deze methode echter ook leiden tot veel­vul­di­ge valse alarmen. Ook om deze reden maken moderne systemen steeds vaker gebruik van AI om het aantal fouten aan­zien­lijk te ver­min­de­ren.
• Mis­bruik­de­tec­tie: Bij deze methode worden da­tapak­ket­ten on­der­zocht op bekende vormen van aanvallen. Dit type in­braak­pre­ven­tie­sys­teem heeft een hoge de­tec­tie­graad voor bekende be­drei­gin­gen en iden­ti­fi­ceert deze met een hoge mate van zekerheid. Het is echter minder effectief tegen nieuwe, nog niet eerder ge­ï­den­ti­fi­ceer­de aanvallen.
• Be­leids­ge­ba­seerd IPS: Het be­leids­ge­ba­seer­de in­braak­pre­ven­tie­sys­teem wordt minder vaak gebruikt dan de twee eerder besproken methoden. Om deze aanpak te im­ple­men­te­ren, moeten eerst unieke en spe­ci­fie­ke be­vei­li­gings­be­leids­re­gels worden ge­con­fi­gu­reerd. Deze be­leids­re­gels dienen als basis voor het monitoren van het be­tref­fen­de systeem.

IPS-af­weer­me­cha­nis­men

Het in­braak­pre­ven­tie­sys­teem werkt in realtime zonder de ge­ge­vens­stroom te be­lem­me­ren. Wanneer een be­drei­ging wordt ge­de­tec­teerd via de eerder be­schre­ven be­wa­kings­me­tho­den, biedt het IPS ver­schil­len­de re­ac­tie­mo­ge­lijk­he­den. In minder kritieke situaties stuurt het, net als een IDS, een melding naar de beheerder voor verdere actie. In ern­sti­ge­re gevallen on­der­neemt het in­braak­pre­ven­tie­sys­teem echter zelf­stan­dig actie. Het kan trans­mis­sie­pa­den verstoren en resetten, bronnen of be­stem­min­gen blokkeren of zelfs ge­ge­vens­pak­ket­ten volledig ver­wij­de­ren.

Wat zijn de voordelen van een in­braak­pre­ven­tie­sys­teem?

De stra­te­gi­sche inzet van een in­braak­pre­ven­tie­sys­teem biedt ge­brui­kers tal van voordelen. Het verhoogt met name de algehele vei­lig­heid door risico’s te de­tec­te­ren die door andere tools mogelijk on­op­ge­merkt blijven. Door vooraf te filteren, verlicht het in­braak­pre­ven­tie­sys­teem ook de druk op andere be­vei­li­gings­me­cha­nis­men, waardoor de hele in­fra­struc­tuur wordt beschermd. Con­fi­gu­ra­tie­op­ties maken een nauw­keu­ri­ge aan­pas­sing van het IPS mogelijk om aan spe­ci­fie­ke eisen te voldoen. Bij een suc­ces­vol­le con­fi­gu­ra­tie werkt het systeem autonoom, wat een aan­zien­lij­ke tijdwinst oplevert.

Wat zijn de nadelen van een in­braak­pre­ven­tie­sys­teem?

Bij correct gebruik verhoogt een in­braak­pre­ven­tie­sys­teem de net­werk­be­vei­li­ging aan­zien­lijk. Er zijn echter ook enkele mogelijke nadelen verbonden aan deze aanpak. Naast de eerder genoemde be­per­kin­gen van anomalie- en mis­bruik­de­tec­tie, is er een op­val­len­de zorg met be­trek­king tot de hard­wa­re­ve­r­eis­ten. In­braak­pre­ven­tie­sys­te­men vereisen doorgaans aan­zien­lij­ke middelen, die toenemen naarmate het netwerk groter wordt. Daarom komt hun wer­ke­lij­ke waarde pas tot uiting wanneer hun ca­pa­ci­tei­ten aan­slui­ten bij de eisen van het netwerk. Bovendien kan de con­fi­gu­ra­tie een uitdaging zijn, vooral voor niet-des­kun­di­gen. Subop­ti­ma­le con­fi­gu­ra­ties kunnen leiden tot net­werk­pro­ble­men.

DenyHosts: De beste IPS tegen brute force

In de strijd tegen brute force-aanvallen is DenyHosts een waar­de­vol­le optie. Het in­braak­pre­ven­tie­sys­teem is ge­schre­ven in Python en is open source. Het con­tro­leert SSH-in­log­po­gin­gen en blokkeert de bij­be­ho­ren­de adressen als er te veel mislukte pogingen zijn. Dit is de officiële GitHub-re­po­si­to­ry van DenyHosts.