D'examen différents types de systèmes de détection d'intrusion

Détection d'intrusion

est défini comme la surveillance en temps réel et l'analyse de l'activité du réseau et des données pour les vulnérabilités potentielles et les attaques en cours. Une limitation majeure du système de détection d'intrusion (IDS) actuelle technologies est l'obligation de filtrer les fausses alarmes de peur que l'opérateur (administrateur système ou de sécurité) d'être submergés par les données. Les IDS sont classés de différentes façons, y compris active et passive, fondées sur les réseaux et basé sur l'hôte, et basée sur le comportement de la connaissance et:

IDS actives et passives

Un actif IDS (maintenant plus communément connu sous le nom d'un système de prévention des intrusions - IPS) est un système qui est configuré pour bloquer automatiquement les attaques présumés en cours sans aucune intervention nécessaire par un opérateur. IPS a l'avantage de fournir en temps réel des mesures correctives en réponse à une attaque, mais a de nombreux inconvénients. Un IPS doit être placé en ligne le long d'un réseau boundary- ainsi, l'IPS lui-même est sensible à l'attaque. Les utilisateurs et les applications Aussi, si les fausses alarmes et le trafic légitime n'a pas été correctement identifiés et filtré, autorisées peuvent être mal vu refuser l'accès. Enfin, l'IPS lui-même peut être utilisé pour effectuer une Déni de service (DoS) en inondant intentionnellement le système d'alarmes qui provoquent de bloquer les connexions jusqu'à ce qu'aucune des connexions ou la bande passante sont disponibles.

UN passif IDS est un système qui est configuré uniquement pour surveiller et analyser l'activité du trafic réseau et d'alerter un opérateur de vulnérabilités potentielles et les attaques. Il est pas capable d'exécuter toutes les fonctions de protection ou correctives sur son propre. Les principaux avantages de l'IDS sont passifs que ces systèmes peuvent être facilement et rapidement déployées et ne sont généralement pas eux-mêmes sensibles à l'attaque.

Basé sur le réseau et IDS basés sur l'hôte

UN basé sur le réseau IDS est généralement constitué d'un appareil de réseau (ou capteur) avec une carte d'interface réseau (NIC) fonctionnant en mode promiscuité et une interface de gestion distincte. L'IDS est placé le long d'un segment de réseau ou à la limite et surveille tout le trafic sur ce segment.

UN basé sur l'hôte IDS nécessite de petits programmes (ou agents) Pour être installé sur des systèmes individuels à surveiller. Les agents surveillent le système d'exploitation et écrire les données des fichiers journaux et / ou déclencher des alarmes. Un IDS basé sur l'hôte ne peuvent surveiller les systèmes hôtes individuels sur lesquels les agents sont installed- elle ne contrôle pas l'ensemble du réseau.

Fondée sur la connaissance et IDS basés sur le comportement

UN fondée sur la connaissance (ou basée sur les signatures) IDS référence à une base de données de profils d'attaque précédents et les vulnérabilités connues du système pour identifier les tentatives d'intrusion actifs. IDS fondée sur la connaissance est actuellement plus commun que IDS basé sur le comportement. Avantages des systèmes à base de connaissances sont les suivants:

• Il a des taux moindres de fausses alarmes que IDS basé sur le comportement.

• Les alarmes sont plus standardisés et plus facile à comprendre que IDS basé sur le comportement.

Inconvénients des systèmes à base de connaissances comprennent ceux-ci:

• Base de données de signature doit être continuellement mis à jour et maintenu.

• Nouveaux, uniques, originaux ou les attaques ne peuvent pas être détectés ou peuvent être mal classés.

UN basée sur le comportement (ou basée anomalie statistique) IDS référence à une base ou un modèle appris de l'activité normale du système pour identifier les tentatives d'intrusion actifs. Déviations de cette ligne de base ou un motif provoquent une alarme soit déclenchée. Avantages des systèmes basés sur le comportement comprennent qu'ils

• Adapter dynamiquement aux nouvelles, uniques, originaux ou des attaques.

• Sont moins dépendantes de l'identification des vulnérabilités du système d'exploitation spécifiques.

Inconvénients des systèmes basés sur le comportement comprennent

• Taux de fausses alarmes plus élevés que les IDS basés sur la connaissance.

• Les modèles d'utilisation qui peuvent changer souvent et peuvent ne pas être assez statique de mettre en œuvre un IDS basé sur des comportements efficaces.