Qué es un sistemas de detección y prevención de intrusos(IDS)

Introducción

 

La protección de la información y las infraestructuras es uno de los más grandes retos que tienen las organizaciones y los usuarios a nivel mundial. Con las tecnologías que cambian tan rápidamente, los profesionales en seguridad implementan nuevas y mejoradas técnicas y procesos que les ayuden a estar un paso por delante de los ciberdelincuentes.

 

 

Que es un IDS

 

 

Un sistema de detección y prevención de intrusos resulta fundamental para ayudar a los profesionales de seguridad en la detección y pronta respuesta ante ataques y anomalías, además que les permite estudiar el origen y estructura de los ataques cibernéticos para crear herramientas y procesos mejorados que permitan contrarrestar futuros ataques.

Entonces, ¿Qué es un sistema de detección y prevención de intrusos?

Es una de las herramientas utilizadas para proteger las infraestructuras de manejo de información. Denning (1987) define de forma clara a estos sistemas como: “los elementos que detectan, identifican y responden a actividades no autorizadas o anormales”.

 

Los sistemas de detección de intrusos (IDS) fueron los primeros en aparecer, estos se encargan de monitorear y detectar comportamientos y eventos sospechosos tanto en host como en red, en tiempo real, luego, estos sistemas evolucionaron a sistemas de prevención de intrusos (IPS), que adoptan un enfoque de prevención y rápida respuesta ante los eventos sospechosos que ocurran, además de que sus análisis suelen ser de mayor complejidad. Al día de hoy, se siguen encontrando estos sistemas IDS e IPS por separado o combinados (IDS/IPS), dependiendo de la implementación que se requiera.

 

 

 

Estos sistemas se pueden implementar tanto en una red como en un host particular.

 

Al implementarse en host, pueden monitorear todo el tráfico dirigido a un equipo específico y los comportamientos inusuales que ocurran en el sistema. Cuando se implementan en red, monitorean todo el tráfico de ésta y permanecen ocultos ante los atacantes, a la vez que ejecutan acciones predefinidas ante los ataques. También existen otras categorías para estos sistemas, como los Wireless IDS/IPS que son implementados en entornos inalámbricos y los Virtual IDS/IPS que se implementan en un entorno virtual. Los IDS/IPS basan su funcionamiento detectando eventos que coincidan con los registrados en archivos de reglas definidas previamente o buscando patrones de comportamiento inusuales a partir de datos aprendidos de lo que se consideran las actividades normales realizadas en la red o host, es decir, cuando detecte una actividad que no se suele realizar normalmente o que un usuario que se conecta durante el día de pronto se conecte a horas de la madrugada, lo tomará como un comportamiento inusual o sospechoso.

 

 

Entonces, ¿Por qué utilizar un IDS/IPS?

 

Un IDS/IPS nos permite tener una supervisión completa del flujo y estado de los componentes la red o sistema, permite mantener un control en caso de que se detecten ataques o anomalías, incluyendo aquellas que se originen desde la porción segura de la red, ya que sin necesidad de estar presentes en el momento que ocurra algún ataque, el IDS/IPS estará configurado para actuar en respuesta automática ante el evento presentado, y nos permitirá tener un registro de todo lo ocurrido para posterior análisis y mejoramiento de la seguridad de la infraestructura.

 

 

 

Los sistemas IDS/IPS detectan ataques en tiempo real mientras generan un mínimo impacto a la red, son independientes del sistema operativo, fáciles de configurar y pueden proteger una subred completa.

 

Los IDS/IPS permiten la fácil incorporación de otras herramientas complementarias de seguridad informática, maximizando su potencial, siendo por estos motivos considerado un importante complemento para la protección de una infraestructura.