IDS và IPS trong an ninh mạng
IPS (Hệ thống ngăn chặn xâm nhập): phân tích gói tin, ngăn chặn gói tin tùy theo loại tấn công phát hiện - thường chặn tấn công trước khi bắt đầu.
IDS (Hệ thống phát hiện xâm nhập): tìm chữ ký khớp với loại tấn công mạng đã biết.
IDS là gì và cách hoạt động
Mục đích: bảo vệ mạng khỏi mối đe dọa/tấn công. Là phần cứng và phần mềm. Thu thập, phân tích thông tin hoạt động độc hại, báo cáo cho trung tâm vận hành an ninh (SOC) phân tích thêm.
IDS và các loại
Ba loại cơ bản/bộ phận chính: Network Intrusion Detection System (NIDS), Anti-Virus, Endpoint Security. Hệ thống phát hiện xâm nhập nút mạng. Hệ thống phát hiện/ngăn chặn xâm nhập máy chủ (Host-based).
Network ID dùng để làm gì?
Network ID (phần của địa chỉ IP) xác định máy chủ trên mạng TCP/IP cụ thể. Xác định mạng trên Internet, đồng thời xác định máy chủ trong mạng. Thông tin trong Network ID của IP xác định mạng đó trên Internet.
IPS an ninh mạng là gì?
Hệ thống ngăn chặn xâm nhập (IPS) xác định và ngăn chặn khai thác lỗ hổng trên mạng bằng cách kiểm tra luồng lưu lượng mạng.
IDS và IPS có giống nhau không?
IDS: phát hiện sự cố tiềm năng, tạo cảnh báo, không ngăn chặn. IPS: phản ứng bằng cách chặn bất cứ thứ gì coi là nguy hiểm.
IDS và IPS làm việc cùng nhau như thế nào?
Giải pháp an ninh mạng tích hợp bao gồm IDS và IPS. IDS có thể cần router/tường lửa hỗ trợ phát hiện tấn công. IPS inline bảo vệ real-time trong luồng dữ liệu. Chế độ inline thường dùng cho an ninh mạng.
Ví dụ IDS
SolarWinds Security Event Manager. Snort. Suricata. Issex Security Services. Stealthwatch. TippingPoint.
Cách IDS thường hoạt động
Quản trị hệ thống tìm dấu hiệu chữ ký tấn công hoặc lệch hoạt động bình thường. Độ lệch/bất thường được đẩy lên ngăn xếp và điều tra ở lớp giao thức và ứng dụng.
Nhiệm vụ của IDS
Giám sát hoạt động hệ thống: phân tích lỗ hổng, kiểm tra tính toàn vẹn file, phân tích mẫu dựa trên tấn công đã xảy ra. Tự động quét Internet tìm mối đe dọa mới, giám sát log tường lửa.
IDS hoạt động như thế nào - các loại IDS
Giám sát lưu lượng mạng tìm hoạt động đáng ngờ, gửi cảnh báo khi phát hiện. IDS phát triển để phát hiện và xử lý tấn công mạng. Hệ thống SIEM tích hợp dữ liệu real-time từ nhiều nguồn, dùng lọc cảnh báo xác định cảnh báo hợp pháp.
3 loại IDS
HIDS (Host-based Intrusion Detection System): thu thập dữ liệu từ endpoint. NIDS (Network-based Intrusion Detection System): dữ liệu từ hệ thống phát hiện bất thường.
Các loại hệ thống IDS và IPS khác nhau
NIPS/IDS/IPS dựa trên mạng, Phân tích hành vi mạng (NBA), WIPS (Wireless IPS), HIPS (Host-based IPS).
Hai loại phát hiện xâm nhập
Dựa trên mạng (network-based) và dựa trên máy chủ (host-based).
Network ID là gì?
Hệ thống phát hiện xâm nhập mạng (Network IDS) dùng công nghệ IDS phát hiện lỗ hổng ứng dụng/máy tính mục tiêu. IDS cũng là thiết bị chỉ nghe (listen-only).
Network IDS hoạt động như thế nào?
NIDS triển khai tại các điểm chiến lược hạ tầng mạng (dễ bị tấn công/khai thác). Giám sát lưu lượng vào/ra từ các thiết bị này.
Lợi thế của Network-based IDS
Nhận diện và ngăn chặn mối đe dọa xâm phạm mạng an toàn. Triển khai NIDS không ảnh hưởng hiệu năng mạng. NIDS thường nghe mạng lén không can thiệp hoạt động bình thường.