Intrusion Detection System

Systém IDS by měl po detekci neobvyklé aktivity vygenerovat varování (Alert), provést zápis do logu, upozornit správce počítače a případně tuto činnost zastavit. Dále by měl být schopen rozlišit, zda se jedná o útok z vnitřní sítě nebo z externích sítí.

• Výstraha/alarm: signál naznačující, že systém byl, či je napaden.
• Skutečně pozitivní: legitimní útok, který vyvolá v IDS alarm.
• Falešně pozitivní: IDS vyvolá alarm, přestože k žádnému útoku nedošlo.
• Falešně negativní: selhání IDS odhalit skutečný útok.
• Skutečně negativní: k žádnému útoku nedošlo a nebyl vyvolán žádný alarm.
• Šum: Data nebo rušení, která mohou vyvolat falešně pozitivní stav.
• Stránky politiky: Pokyny v rámci organizace, které řídí předpisy a konfigurace IDS.
• Stránky politiky informovanosti: Schopnost IDS dynamicky změnit svoje pravidla a konfigurace v reakci na měnící se činnosti prostředí.
• Hodnota spolehlivosti: Hodnota, kterou organizace umístí do IDS na základě minulé výkonnosti a analýzy, která pomáhá určit schopnost systému efektivně identifikovat útok.
• Filtrování alarmů: proces kategorizace alarmů vyvolané z IDS s cílem odlišit falešné poplachy od skutečných útoků.
• Útočník nebo vetřelec: subjekt, který se snaží najít způsob, jak získat neoprávněný přístup k informacím, způsobit škodu nebo se věnovat jiným škodlivým činnostem.
• Maškarádník: Uživatel, který nemá oprávnění v systému, ale pokusí o přístup k informacím jako oprávněný uživatel.Obecně to jsou uživatelé z venku.
• Misfeasor: Obecně interní uživatel a existují dva typy:
  1. oprávněný uživatel s omezeným oprávněním.
  2. uživatel s plnými právy, který zneužívá svých pravomocí.
• Ilegální uživatel: uživatel, který působí jako vedoucí a snaží se využít svého oprávnění tak, aby nedošlo k jeho zachycení.

Pasivní systém při odhalení podezřelé aktivity nijak nezasahuje do síťového provozu. Pouze vygeneruje varování (Alert), případně o tom zapíše do logu. Aktivní systém oproti pasivnímu navíc proti takové události zasáhne, například zablokováním služby. Aktivní systém je také známý jako systém prevence proniknutí (IPS), který reaguje na podezřelé aktivity resetováním spojení nebo přeprogramují firewallu tak, aby blokoval provoz v síti z podezřelého škodlivého zdroje. Termín systém odhalení a prevence proniknutí (IDPS) je běžně používaný tam, kde se toto může dít automaticky nebo na příkaz operátora. Jedná se o systémy, které jak detekují útoky, tak se jim snaží předcházet.

• Síťový monitorovací nástroj (odhalování DOS a jiných útoků)
• Antivirový program
• Firewall
• Bezpečnostní/šifrovací systémy (VPN, SSL, S/MIME, Kerberos, Radius, atd.)
• Skenovací nástroje na odhalení chyb v systémech

Ačkoli se oba vztahují k zabezpečení sítě, IDS se liší od firewallu v tom, že firewall se snaží zabránit proniknutí omezením přístupu mezi sítěmi, ale nesignalizuje útok zevnitř sítě. IDS hodnotí podezření na narušení, jakmile k němu dojde signalizuje alarm. IDS také hlídá útoky, které by pocházely zevnitř systému. Toto je dosaženo zkoumáním síťové komunikace, identifikováním heuristik a vzorů (často známé jako podpisy) na běžné počítačové útoky a uvědomění operátora. Systém, který ukončuje spojení se nazývá systémem prevence proniknutí (IPS) a je to forma firewallu na aplikační vrstvě.

IDS používají jednu ze dvou detekčních metod:

IDS zaměřené na statistické anomálie

IDS zaměřené na statistické anomálie stanovují základní výkon na základě ohodnocení běžného síťového provozu. Poté testuje aktuální síťovou aktivu porovnáním se stanoveným základem za účelem zjistit, jestli spadá do parametrů základu. Pokud do těchto parametrů nespadá, spustí se alarm.

IDS zaměřené na charakteristiky

Síťový provoz je zkoumán na předem nastavené a určené vzory útoku známé jako charakteristiky. Dnes má mnoho útoků rozdílné charakteristiky. V dobré bezpečnostní praxi musí byt neustále aktualizovaná databáze těchto charakteristik kvůli snížení nových hrozeb.

Šum

Šum může vážně omezit účinnost IDS. Špatné pakety generované z chyby v softwaru, poškozují data v DNS, a místní pakety, které unikly mohou vytvořit značně vysoké riziko falešného poplachu.

Příliš málo útoků

Není neobvyklé pro mnoho skutečných útoků, že jsou velmi nízko pod laťkou falešných alarmů, a tak jsou často přehlíženy a ignorovány.

Aktualizace charakteristik

Mnoho útoků je zaměřeno na specifické verze neaktualizovaného softwaru. Pro snížení hrozeb je nutné stále aktualizovat jejich knihovnu. Zastaralé databáze mohou zanechat IDS zranitelné vůči novým strategiím.

Tyto techniky obcházejí detekci tím, že vytvářejí rozdílné stavy na IDS a na cílovém počítači. Protivník toho dosahuje buď manipulací útoku samotného nebo síťového provozu, který útok obsahuje.

Následky útoku mohou vyvolat i další účinky, které způsobí divné chování systému. Sledování takových účinků je ale obtížně.

• Intrusion Detection Systems (IDS) Part I - (network intrusions; attack symptoms; IDS tasks; and IDS architecture)
• Intrusion Detection Systems (IDS) Part 2 - Classification; methods; techniques