Система виявлення вторгнень (IDS) відстежує мережевий трафік або активність на вузлах у пошуках ознак атак і порушень політики та повідомляє про них фахівцям із безпеки.
Як працює IDS
Є два основні типи розгортання:
- Мережеві IDS (NIDS) аналізують копію трафіку з порту комутатора чи мережевого відгалужувача. Відомі відкриті рішення — Snort (випущений 1998 року), Suricata та Zeek.
- Вузлові IDS (HIDS) працюють на серверах і робочих станціях і стежать за журналами, цілісністю файлів і системними викликами — наприклад, OSSEC або Wazuh.
Методи виявлення — сигнатури, тобто правила з описом відомих експлойтів, трафіку шкідливого ПЗ та індикаторів компрометації, і пошук аномалій: система вивчає нормальну поведінку й позначає відхилення. Сигнатури точні, але пропускають нові атаки; аномалії дають змогу знайти невідомі загрози, але спричиняють більше хибних спрацьовувань.
IDS та IPS
IDS лише спостерігає й сповіщає. Система запобігання вторгненням (IPS) стоїть у розриві трафіку й може автоматично блокувати шкідливі пакети. Багато продуктів, зокрема міжмережеві екрани нового покоління, поєднують обидві функції й дають змогу обирати режим виявлення чи блокування для кожного правила.
Чому це важливо
IDS дає видимість того, що проходить мережею: спроб експлуатації серверів, трафіку командних серверів, горизонтального переміщення й виведення даних. Сповіщення зазвичай надходять до SIEM і розбираються в SOC. Мережеве виявлення лишається цінним навіть за наявності захисту кінцевих точок: на багатьох пристроях — принтерах, IoT, спеціалізованому обладнанні — не можна встановити агенти.
Рекомендації
- Розміщувати сенсори не лише на зовнішньому периметрі, а й у ключових внутрішніх сегментах.
- Оновлювати набори правил і налаштовувати їх, щоб зменшити шум.
- Розшифровувати чи аналізувати TLS там, де це дозволено, — більша частина трафіку зашифрована.
- Зіставляти сповіщення IDS з даними з кінцевих точок і журналами.
