Kakšne so po­dob­no­sti in razlike med IDS in IPS?

Najboljši način za zaščito po­sa­me­zne­ga ra­ču­nal­ni­ka ali omrežja je od­kri­va­nje in blo­ki­ra­nje napadov, še preden lahko pov­zro­či­jo škodo. Zato so sistemi za od­kri­va­nje vdorov (IDS) in sistemi za pre­pre­če­va­nje vdorov (IPS) lahko dobra do­pol­ni­tev požarnega zidu. Preberite naprej in izvedite več o sistemih IDS in IPS, kaj imajo skupnega in v čem se raz­li­ku­je­jo.

Preden se poglobimo v razlike med sistemoma IDS in IPS, bomo na kratko pred­sta­vi­li oba sistema. IDS je kratica za sistem za od­kri­va­nje vdorov (Intrusion Detection System), ki čim prej prepozna napade na odjemalca ali omrežje. Če sistem IDS med analizo zazna nenavaden promet podatkov, pošlje opozorilo skrbniku. Obstajata dve vrsti sistemov IDS: sistem na go­sti­te­lju in sistem v omrežju. IPS pomeni sistem za pre­pre­če­va­nje vdorov in se nanaša na sistem, ki ne le prepozna in poroča o po­ten­ci­al­nih napadih, ampak jim tudi aktivno na­spro­tu­je. IPS prav tako uporablja senzorje na go­sti­te­lju in v omrežju za oce­nje­va­nje sis­tem­skih podatkov in omrežnih paketov.

Kaj imata IDS in IPS skupnega?

Najbrž je že jasno, da IDS in IPS nista tako zelo različna. Oba sistema imata številne skupne zna­čil­no­sti. Nekaj od njih bomo obrav­na­va­li v na­da­lje­va­nju.

Analiza

V mnogih primerih so metode, ki jih oba sistema upo­ra­blja­ta za analizo, skoraj ali povsem enake. IDS in IPS upo­ra­blja­ta senzorje na go­sti­te­lju, v omrežju ali na obeh mestih, da pre­gle­du­je­ta sistemske podatke in po­dat­kov­ne pakete v omrežju ter iščeta grožnje. Upo­ra­blja­ta fiksne parametre, da lahko zaznavata od­sto­pa­nja, hkrati pa pre­po­zna­va­ta tudi ne­ško­dlji­ve anomalije kot takšne. Analiza se izvaja z od­kri­va­njem zlorab ali od­kri­va­njem anomalij. To pa pomeni tudi, da imata skupne po­ten­ci­al­ne šibke točke. Ena od njih je, da se pri od­kri­va­nju zlorab lahko spre­gle­da­jo neznane grožnje. Pri od­kri­va­nju anomalij pa se pogosto poroča o ne­ško­dlji­vih po­dat­kov­nih paketih.

Po­dat­kov­na baza

Tako IDS kot IPS upo­ra­blja­ta bazo podatkov, ki omogoča hitrejše in na­tanč­nej­še pre­po­zna­va­nje groženj. Čim ob­se­žnej­ša je ta zbirka, tem višja je stopnja uspe­šno­sti pri obeh sistemih. Zato IDS in IPS ne moremo razumeti kot statične sisteme, temveč gre za pri­la­go­dlji­ve sisteme, ki se s po­so­do­bi­tva­mi nenehno iz­bolj­šu­je­jo.

Uporaba umetne in­te­li­gen­ce

Umetna in­te­li­gen­ca je zelo pomembna tako za sisteme IDS kot za sisteme IPS. Sodobni sistemi iz­bolj­šu­je­jo za­zna­va­nje groženj in širijo svoje baze podatkov s pomočjo strojnega učenja. To jim omogoča, da bolje razumejo nove vzorce napadov, jih pre­po­zna­jo prej in poročajo o manj ne­ško­dlji­vih paketih.

Na­sta­vi­tve

Tako IDS kot IPS je mogoče pri­la­go­di­ti potrebam omrežja ali sistema. Ustrezna kon­fi­gu­ra­ci­ja bo za­go­to­vi­la, da procesi ne bodo moteni in da bodo vse kom­po­nen­te kljub spre­mlja­nju delovale nemoteno. To je zelo pomembno, saj IDS in IPS pre­gle­du­je­ta in ana­li­zi­ra­ta v realnem času.

Av­to­ma­ti­za­ci­ja

Sistemi IDS in IPS delujejo av­to­mat­sko in sa­mo­stoj­no. Ko so enkrat na­sta­vlje­ni, jih ni treba posebej nad­zo­ro­va­ti. Opra­vlja­jo svoje naloge in poročajo le v primeru grožnje.

Za­zna­va­nje groženj in opo­zar­ja­nje

Oba sistema imata tudi enako osnovno funkcijo, in sicer zaznavata grožnje ter o tem takoj obvestita skrbnika. Opozorilo lahko pride v obliki e-poštnega sporočila , obvestila na pametnem telefonu ali tablici ali pa kot sistemski alarm. Nato lahko odgovorne osebe odločijo, kako želijo na­da­lje­va­ti.

Funkcija protokola

Sistemi IDS in IPS imajo oba pro­to­kol­no funkcijo. Ta jim omogoča, da ne le poročajo o grožnjah in se jim upirajo, temveč jih tudi dodajajo v svoje baze podatkov. S tem se sčasoma iz­bolj­šu­je­jo ter lahko pre­po­zna­va­jo in od­pra­vlja­jo svoje šibke točke.

Uporaba v kom­bi­na­ci­ji s požarnimi zidovi

Tako IDS kot IPS je treba razumeti kot dopolnilo k požarnemu zidu. Da bi svoj sistem kar najbolje zaščitili pred napadi, morate združiti več var­no­stnih ukrepov. Če upo­ra­blja­te le en sistem IDS ali IPS, vaš omrežje ali ra­ču­nal­nik ne bosta dovolj zaščitena.

V čem se IDS in IPS med seboj raz­li­ku­je­ta?

Kot smo videli zgoraj, imata oba sistema veliko skupnega. Vendar pa obstaja tudi vrsta zna­čil­no­sti, ki ju ločujejo. V na­da­lje­va­nju po­ja­snju­je­mo nekatere naj­po­memb­nej­še razlike med IDS in IPS.

Odzivi na grožnje

Kot je bilo že omenjeno, tako IDS kot IPS nad­zo­ru­je­ta sistem ter poročata o grožnjah in jih beležita. Medtem ko se delo sistema IDS s tem konča, sistem IPS pa gre še korak dlje. IPS je aktivni varnostni sistem, ki sa­mo­stoj­no odgovarja na grožnje. To lahko vključuje pre­ki­ni­tev povezav ali za­u­sta­vi­tev in zavrnitev po­dat­kov­nih paketov, če ti kažejo znake ne­pra­vil­no­sti. IDS pa je pasivni sistem, ki grožnje le nadzoruje in o njih poroča.

Po­zi­ci­o­ni­ra­nje

Sistemi IDS in IPS se raz­li­ku­je­jo tudi po načinu na­me­sti­tve. Sistem IDS se namesti bodisi na ra­ču­nal­nik bodisi na rob omrežja, kjer je spre­mlja­nje vhodnih in izhodnih po­dat­kov­nih paketov naj­e­no­stav­nej­še. Sistem IPS pa se namesti za požarni zid, kjer lahko grožnje ne le zazna, temveč jih tudi ustavi.

Vrste

Obe rešitvi sta lahko go­sti­telj­ske (HIPS) ali omrežne (NIPS). Vendar pa se rešitve IPS, za razliko od IDS, lahko upo­ra­blja­jo tudi v brez­žič­nih omrežjih (WIPS).

Av­to­no­mi­ja

Sistem IPS deluje večinoma sa­mo­stoj­no in poišče rešitve za različne vrste groženj. Tudi sistem IDS sa­mo­stoj­no spremlja po­dat­kov­ne pakete, vendar ob zaznavi groženj ne more sa­mo­stoj­no ukrepati. Če se sproži opozorilo, mora odziv sprožiti skrbnik.

Na­sta­vi­tve

Sistem za od­kri­va­nje vdorov (IDS) običajno deluje vgrajeno v omrežje in zato nima nobenega ne­ga­tiv­ne­ga vpliva na zmo­glji­vost omrežja. Vendar pa je pri na­sta­vi­tvi kon­fi­gu­ra­cij vseeno potrebna določena mera pre­mi­šlje­no­sti. IDS lahko na primer grožnjo, ki jo zazna, posreduje ne­po­sre­dno na usmer­je­val­nik ali požarni zid in o tem obvesti skrbnika. IPS pa lahko negativno vpliva na zmo­glji­vost omrežja. Zato je še toliko po­memb­ne­je, da sistem natančno kon­fi­gu­ri­ra­te. Če prepusti nevarne po­dat­kov­ne pakete, vašega sistema ne ščiti več. Če pa blokira ne­ško­dljiv promet, lahko to vpliva na celotno omrežje.