SISTEMA DE DETECCIÓN DE INTRUSOS - IDS

Arquitectura de los IDSs
1. CIDF (Common Intrusion Detection Framework) Marco de Detección de Intrusos Común.
  1. Tipos básicos
    1. Equipos E. Generadores de eventos
      1. Detectar eventos y lanzar informes
    2. Equipos A. Reciben informes y realizan análisis
      1. Ofrecen prescripción y un curso de acción recomendado
    3. Equipos D. Componentes de bases de datos
      1. Determinar si se ha visto antes una dirección IP
      2. Determinar si hubo ataque
      3. Realizar análisis de pistas
    4. Equipos R. Equipos de respuesta
      1. Responder a los eventos de los equipos E, A y D
2. CISL (Common Intrusion Specification Language) El Lenguaje de Especificación de Intrusiones
  1. Tipos
    1. Información de eventos en bruto
      1. Auditoría de registros y tráfico de red
      2. Sería el encargado de unir equipos E con equipos A
    2. Resultados de los análisis
      1. Descripciones de las anomalías del sistema
      2. Descripciones de los ataques detectados
      3. Uniría equipos A con D
    3. Prescripciones de respuestas
      1. Detener determinadas actividades
      2. Modificar parámetros de seguridad de componentes
      3. Encargado de la unión entre equipos A y R
3. Arquitectura de IDWG
  1. Los resultados de este grupo de trabajo
    1. Documentos de los requerimientos funcionales
    2. Lenguaje de especificación de los datos
    3. Marco de trabajo que identifique protocolos
Clasificación de los IDSs
1. Fuentes de información
  1. Puede recoger eventos
    1. Analizan paquetes de red
    2. Capturados del backbone de la red o de segmentos LAN
    3. Analizan eventos generados por los sistemas operativos
    4. Software de aplicación en busca de señales de intrusión
2. IDSs basados en red (NIDS)
  1. Detectan ataques capturando y analizando paquetes de la red
  2. Ventajas:
    1. IDS bien localizado puede monitorizar una red grande
    2. NIDSs tienen un impacto pequeño en la red
    3. Configurable para que sean muy seguros ante ataques
  3. Desventajas
    1. Dificultades al procesando todos los paquetes en una red grande
    2. No analizan la información cifrada
    3. No saben si el ataque tuvo o no éxito
3. IDSs basados en host (HIDS)
  1. Operan sobre la información recogida
  2. Ventajas
    1. Detectar ataques que no pueden ser vistos por un IDS basado en red
    2. Operar en un entorno en el cual el tráfico de red viaja cifrado
  3. Desventajas
    1. Son más costosos de administrar
    2. No son adecuados para detectar ataques a toda una red
    3. Pueden ser deshabilitados por ciertos ataques de DoS
    4. Usan recursos del host que están monitorizando
Tipo de análisis
1. La detección de abusos
  1. Técnica usada por la mayoría de sistemas comerciales
2. La detección de anomalías
  1. Busca patrones anormales de actividad
3. Detección de abusos o firmas
  1. Analizan la actividad del sistema
  2. Buscando eventos que coincidan con ataque conocido
  3. Ventajas
    1. Efectivos en la detección de ataques
    2. Efectivos en la detección de ataques
  4. Desventajas
    1. Solo detectan aquellos ataques que conocen
4. Detección de anomalías
  1. Identificar comportamientos inusuales en un host y la red
  2. Ventajas
    1. Detectan comportamientos inusuales
    2. Detectar ataques que no tienen un conocimiento específico
    3. Producen información para definir firmas en la detección de abusos
  3. Desventajas
    1. Produce un gran número de falsas alarmas
    2. Requieren conjuntos de entrenamiento muy grandes
Respuestas
1. Pasivas
  1. Se notifica al responsable de seguridad de la organización
  2. Envían informes para tomar acciones
2. Activas
  1. Lanzan automáticamente respuestas a dichos ataques
  2. Recogida de información adicional
  3. incrementa el nivel de sensibilidad de los sensores
  4. Puede parar el ataque
Ubicación Del IDS En Una Organización
1. Zona Roja
  1. Zona de alto riesgo
  2. IDS debe ser configurado para ser poco sensible
  3. Vera todo el tráfico que entre o salga de nuestra red
  4. Habrá más posibilidad de falsas alarmas
2. Zona Azul
  1. Esta es la zona de confianza
3. Zona Verde
  1. configuración con sensibilidad mayor que en la zona roja
  2. Firewall filtra algunos accesos definidos en la política dela organización
  3. Menor número de falsas alarmas
CARACTERISTICAS
1. Debe funcionar continuamente sin supervisión humana
2. Debe ser tolerante a fallos
3. Resistente a perturbaciones
4. Debe ser fácilmente adaptable al sistema ya instalado
5. Debe ser difícil de engañar
DEBILIDADES
1. No existe un parche para la mayoría de bugs de seguridad
2. Se producen falsas alarmas
3. Se producen fallos en las alarmas
4. No es sustituto para un buen Firewall
INCOVENIENTES
1. La alta tasa de falsas alarmas
2. El comportamiento puede cambiar con el tiempo
FORTALEZAS
1. Suministra información sobre el tráfico malicioso de la red
2. Útil como arma de seguridad de la red
3. Funciona como disuasor de intrusos
4. Detectar intrusiones desconocidas e imprevistas

Next up

SISTEMA DE DETECCIÓN DE INTRUSOS - IDS

Description

Resource summary

Media attachments

Similar

	Created by Javier Enrique Padilla Hernandez almost 10 years ago