Система обнаружения вторжений (IDS) отслеживает сетевой трафик или активность на узлах в поисках признаков атак и нарушений политики и сообщает о них специалистам по безопасности.
Как работает IDS
Есть два основных типа развёртывания:
- Сетевые IDS (NIDS) анализируют копию трафика с порта коммутатора или сетевого ответвителя. Известные открытые решения — Snort (выпущен в 1998 году), Suricata и Zeek.
- Узловые IDS (HIDS) работают на серверах и рабочих станциях и следят за журналами, целостностью файлов и системными вызовами — например, OSSEC или Wazuh.
Методы обнаружения — сигнатуры, то есть правила с описанием известных эксплойтов, трафика вредоносного ПО и индикаторов компрометации, и поиск аномалий: система изучает нормальное поведение и отмечает отклонения. Сигнатуры точны, но пропускают новые атаки; аномалии позволяют найти неизвестные угрозы, но дают больше ложных срабатываний.
IDS и IPS
IDS только наблюдает и оповещает. Система предотвращения вторжений (IPS) стоит в разрыв трафика и может автоматически блокировать вредоносные пакеты. Многие продукты, включая межсетевые экраны нового поколения, совмещают обе функции и позволяют выбирать режим обнаружения или блокировки для каждого правила.
Почему это важно
IDS даёт видимость того, что проходит по сети: попыток эксплуатации серверов, трафика командных серверов, горизонтального перемещения и вывода данных. Оповещения обычно отправляются в SIEM и разбираются в SOC. Сетевое обнаружение остаётся ценным даже при наличии защиты конечных точек: на многих устройствах — принтерах, IoT, специализированном оборудовании — нельзя установить агенты.
Рекомендации
- Размещать сенсоры не только на внешнем периметре, но и в ключевых внутренних сегментах.
- Обновлять наборы правил и настраивать их, чтобы снизить шум.
- Расшифровывать или анализировать TLS там, где это разрешено, — большая часть трафика зашифрована.
- Сопоставлять оповещения IDS с данными с конечных точек и журналами.
