IDS: O que é intrusion detection system?

Adotar um intrusion detection system (IDS) é uma forma eficiente de se com­ple­men­tar firewalls tra­di­ci­o­nais. Um IDS analisa e monitora sistemas e redes inteiras em tempo real e con­ti­nu­a­mente, iden­ti­fi­cando po­ten­ci­ais ameaças e pron­ta­mente no­ti­fi­cando os usuários, para que eles tomem as medidas cabíveis, com a ajuda de outros softwares.

Como o intrusion detection system funciona

Embora os sistemas de segurança modernos, para redes e com­pu­ta­do­res, estejam bastante avançados, os ataques digitais também vêm evoluindo. Portanto, para proteger in­fra­es­tru­tu­ras sensíveis com mais efi­ci­ên­cia, usuários devem lançar mão de múltiplas medidas de segurança. Nesse contexto, um intrusion detection system pode atuar como o com­ple­mento perfeito de um firewall. O IDS é excelente na detecção precoce de po­ten­ci­ais ameaças, alertando usuários ins­tan­ta­ne­a­mente para que eles possam executar ações de­fen­si­vas imediatas. Ainda mais im­por­tante, um intrusion detection system também consegue iden­ti­fi­car ataques que já tenham con­tor­nado as defesas de firewalls.

Ao contrário do intrusion pre­ven­tion system (IPS), o intrusion detection system não defende um sistema contra ataques. Na verdade, o IDS sim­ples­mente analisa ati­vi­da­des de rede em busca de de­ter­mi­na­dos padrões. Ao detectar padrões incomuns, o sistema de detecção alerta o usuário, trans­mi­tindo in­for­ma­ções de­ta­lha­das sobre a origem e a natureza do possível ataque, para que este possa ser combatido.

Tipos de intrusion detection systems

Intrusion detection systems são clas­si­fi­ca­dos em três di­fe­ren­tes tipos: baseado em host (HIDS), baseado em rede (NIDS) e sistemas híbridos, que combinam prin­cí­pios de HIDS e de NIDS.

Intrusion detection system baseado em host (HIDS)

Um intrusion detection system baseado em host é o tipo mais tra­di­ci­o­nal dessa solução de segurança, tendo por principal ca­rac­te­rís­tica o fato de ser instalado di­re­ta­mente no sistema. Esse IDS é capaz de analisar dados nos níveis de registro e de kernel, além de também conseguir examinar outros arquivos de sistema. Para acomodar o uso de estações de trabalho autônomas, um IDS baseado em* host depende de agentes de mo­ni­to­ra­mento*, res­pon­sá­veis por filtrar pre­vi­a­mente o tráfego e enviar as res­pec­ti­vas des­co­ber­tas ao servidor central. Embora altamente preciso e abran­gente, esse tipo de* intrusion detection system é mais vul­ne­rá­vel a ataques de DoS e DDoS. Além disso, todo IDS baseado em host* depende do sistema ope­ra­ci­o­nal.

Intrusion detection system baseado em rede (NIDS)

Um intrusion detection system baseado em rede examina os pacotes de dados trans­mi­ti­dos dentro de uma rede, iden­ti­fi­cando pron­ta­mente padrões incomuns ou anormais, para a produção de re­la­tó­rios. En­tre­tanto, analisar grandes volumes de dados é de­sa­fi­a­dor e pode so­bre­car­re­gar o IDS, di­fi­cul­tando o mo­ni­to­ra­mento em tempo real.

Intrusion detection system híbrido

Hoje em dia, a maioria dos pro­ve­do­res faz uso de intrusion detection systems híbridos, que integram as duas abor­da­gens já apre­sen­ta­das. Esses sistemas são formados por sensores baseados em host, sensores baseados em rede e por uma camada de gestão central, para onde os re­sul­ta­dos convergem, ofe­re­cendo análise mais apro­fun­da­das e maior controle ao usuário.

Vantagens do IDS

Um intrusion detection system não deve ser con­si­de­rado ou usado como subs­ti­tuto de um firewall. Ele funciona como um com­ple­mento ao* firewall*, ao pos­si­bi­li­tar a iden­ti­fi­ca­ção de ameaças com mais efi­ci­ên­cia. Como o IDS é capaz de analisar até a mais alta camada do modelo OSI, ele também consegue re­co­nhe­cer fontes de perigo novas e des­co­nhe­ci­das, mesmo quando as defesas do* firewall* ainda não tenham sido violadas.

Com­po­nen­tes do IDS

Atu­al­mente, o modelo híbrido é o tipo mais comum de intrusion detection system, por aplicar tanto abor­da­gens baseadas em host quanto baseadas em rede. As in­for­ma­ções coletadas são avaliadas na camada de gestão central, formada por três com­po­nen­tes.

Monitor de dados

O monitor de dados coleta todos os dados per­ti­nen­tes por meio de seus sensores e os filtra com base na re­le­vân­cia. Entre os dados ana­li­sa­dos estão dados do host, que abrangem arquivos de registro e detalhes do sistema, bem como pacotes trans­mi­ti­dos por meio da rede. Um IDS também reúne e organiza endereços de origem e destino, além de outros atributos críticos. Entre os re­qui­si­tos ana­li­sa­dos está a origem dos dados, que devem ser pro­ve­ni­en­tes de fontes con­fiá­veis ou do próprio sistema de detecção de intrusos, para assegurar a in­te­gri­dade e para barrar ma­ni­pu­la­ções prévias.

Ana­li­sa­dor

O segundo com­po­nente da camada de um IDS híbrido é o ana­li­sa­dor, res­pon­sá­vel por avaliar todos os dados recebidos e pre­vi­a­mente filtrados por meio de padrões. Essa avaliação é realizada em tempo real e, por isso, pode so­bre­car­re­gar recursos de pro­ces­sa­mento e de memória. Assim, pro­ces­sa­do­res com bom de­sem­pe­nho são fun­da­men­tais para a produção de análises rápidas e precisas. O ana­li­sa­dor aplica dois métodos distintos em suas ava­li­a­ções:

• Detecção de uso indevido: Na detecção de uso indevido, o ana­li­sa­dor investiga os dados recebidos para tentar iden­ti­fi­car padrões de ataque co­nhe­ci­dos, que ficam ar­ma­ze­na­dos em um banco de dados dedicado e são atu­a­li­za­dos com re­gu­la­ri­dade. Quando um possível ataque se alinha com um dos padrões ar­ma­ze­na­dos, ele é iden­ti­fi­cado ainda em fase inicial. No entanto, esse método não é eficaz para detectar ataques não co­nhe­ci­dos pelo sistema.
• Detecção de anomalias: A detecção de anomalias envolve ava­li­a­ções que abrangem todo o sistema. Quando um ou mais processos desviam-se das normas es­ta­be­le­ci­das, a fer­ra­menta detecta a presença dessa anomalia. Por exemplo, se a carga do pro­ces­sa­dor ul­tra­pas­sar um certo limite ou se uma página registrar um pico incomum de acessos, um alerta é emitido pelo IDS. Para detectar anomalias, um intrusion detection system também analisa a ordem cro­no­ló­gica de diversos eventos, a fim de iden­ti­fi­car padrões de ataques des­co­nhe­ci­dos. No entanto, é im­por­tante ressaltar que, em alguns casos, anomalias ino­fen­si­vas também podem ser iden­ti­fi­ca­das e relatadas pelo sistema.

Alerta

O terceiro e último com­po­nente de um intrusion detection system moderno é o alerta, que informa o usuário sobre a pos­si­bi­li­dade de estar sofrendo um ataque, após a detecção da anomalia. O alerta pode ser dado por e-mail, no­ti­fi­ca­ção local ou mensagem de texto no dis­po­si­tivo móvel.

Des­van­ta­gens do IDS

Embora o intrusion detection system aumente o nível de segurança de um sistema, ele traz consigo algumas des­van­ta­gens. Um IDS baseado em host pode ser vul­ne­rá­vel a ataques DDoS, enquanto sistemas de detecção baseados em rede encontram di­fi­cul­da­des de cuidar de ins­ta­la­ções de redes maiores, podendo deixar de analisar alguns pacotes de dados. De­pen­dendo de como foi con­fi­gu­rado, um IDS também pode detectar anomalia ino­fen­si­vas, acionando alarmes falsos. Ainda, como já foi es­cla­re­cido, intrusion detection systems são de­sen­vol­vi­dos somente para detectar ameaças, exigindo que outros softwares sejam usados para defender, de fato, o sistema contra os ataques .

Exemplo de IDS: Snort

Um dos mais co­nhe­ci­dos e populares intrusion detection systems é o Snort. A fer­ra­menta de segurança, de­sen­vol­vida por Martin Roesch em 1998, não só é mul­ti­pla­ta­forma e de código aberto, como também oferece aos usuários as mesmas medidas de prevenção de um intrusion pre­ven­tion system. O programa está dis­po­ní­vel em duas versões: uma gratuita e outra paga, que recebe as atu­a­li­za­ções mais ra­pi­da­mente.