Un sistema de detección de intrusiones (IDS) vigila el tráfico de red o la actividad de los equipos en busca de señales de ataques e infracciones de políticas y avisa al equipo de seguridad.
Cómo funciona un IDS
Hay dos tipos principales:
- IDS de red (NIDS): analiza copias del tráfico de un puerto de switch o un TAP de red. Ejemplos de código abierto conocidos son Snort (publicado en 1998), Suricata y Zeek.
- IDS de host (HIDS): se ejecuta en servidores y estaciones de trabajo y vigila registros, integridad de archivos y llamadas al sistema, por ejemplo OSSEC o Wazuh.
Los métodos de detección incluyen firmas —reglas que describen exploits conocidos, tráfico de malware e indicadores de compromiso— y la detección de anomalías, que aprende el comportamiento normal y señala desviaciones. Las firmas son precisas pero no ven ataques nuevos; la detección de anomalías encuentra amenazas desconocidas, pero produce más falsos positivos.
IDS frente a IPS
Un IDS solo observa y alerta. Un sistema de prevención de intrusiones (IPS) se coloca en línea y puede bloquear automáticamente el tráfico malicioso. Muchos productos, incluidos los cortafuegos de nueva generación, combinan ambas funciones y permiten elegir modo de detección o de bloqueo para cada regla.
Por qué es importante
Un IDS aporta visibilidad sobre lo que atraviesa la red: intentos de explotación contra servidores, tráfico de comando y control, movimiento lateral y exfiltración de datos. Las alertas suelen enviarse a un SIEM y las analiza el SOC. La detección en red sigue siendo valiosa aun con protección de endpoints, porque muchos dispositivos —impresoras, IoT, appliances— no pueden ejecutar agentes de seguridad.
Buenas prácticas
- Colocar sensores no solo en el perímetro, sino también en segmentos internos clave.
- Mantener actualizados los conjuntos de reglas y ajustarlos para reducir el ruido.
- Descifrar o inspeccionar TLS donde esté permitido, ya que la mayor parte del tráfico va cifrado.
- Correlacionar las alertas del IDS con datos de endpoints y registros.
