IDS (Intrusion Detection System)

IDS
(Intrusion Detection
System)
Por: KTC

Conceptos Básicos
Intrusión: Conjunto de acciones que
intentan comprometer la integridad,
confidencialidad o disponibilidad de un
recurso.
Tipos de intrusos
Suplantador
Usuario fraudulento
Usuario clandestino

Suplantador
Conceptos Básicos
Individuo que no está autorizado a
usar la computadora y penetra
hasta los controles de acceso del
sistema para obtener provecho de
la cuenta de un usuario legítimo.
Usuario externo

Usuario fraudulento
Conceptos Básicos
Usuario legítimo que accede a
recursos para los que el acceso no
está autorizado o que hace mal uso
de sus privilegios. Usuario interno.

Usuario clandestino
Conceptos Básicos
Individuo que toma el control de
supervisión del sistema y lo usa
para evadir los controles de
auditoría y de acceso o para
suprimir información de auditoría.
Usuario interno o externo.

Conceptos Básicos
Detección de intrusos: Análisis
automático de parámetros que
modelan la actividad de un
entorno con el propósito de
detectar e identificar intrusiones.

Conceptos Básicos
 Falso positivo: detección de datos o
paquetes como una amenaza o intrusión
cuando en realidad no se trata de algún
intento de ataque sobre alguna red.
 Falso negativo: paquetes o datos que son
amenazas para una red pero el sistema de
seguridad no detecta dichas amenazas.

Definición
Herramienta o sistema de seguridad
que monitorea el tráfico en una red y
los eventos ocurridos en un
determinado sistema informático,
para identificar los intentos de
ataques o amenazas que puedan
comprometer la seguridad y el
desempeño de dicho sistema.

Definición
Su desempeño se basa en la
búsqueda y análisis de patrones
previamente definidos que
impliquen cualquier tipo de
actividad sospechosa o maliciosa
sobre una red o host.

Nos puede ayudar a conocer la
amenaza existente dentro y fuera de
la organización, ayuda a redactar la
política.
En un plan de gestión de la seguridad
se deben establecer las posibles
amenazas que puede sufrir la red.

Enfoques para la detección de la
intrusión
Detección estadística de anomalías:
recopilar datos del comportamiento
de usuarios legítimos.
Detección de umbrales: frecuencia de
acontecimientos, independiente del
usuario.
Basado en perfiles: perfil para cada
usuario y detectar cambios por usuario.

Enfoques para la detección de la
intrusión
Detección basada en reglas
Detección de anomalías: detectar
desviación en modelos anteriores.
Identificación de la penetración:
sistemas expertos que buscan
comportamientos sospechosos.

Registros de Auditoría
Registros nativos de auditoría: los
SO tiene un SW que recoge
información.
Registros de auditoría específicos
para la detección.

Arquitectura General de un IDS
 Fuente de datos: Un log, dispositivo de red, o el propio sistema.
 Reglas: Datos y patrones para detectar anomalías de seguridad
en el sistema.
 Filtros: Comparan los datos de la red o de logs con los patrones
almacenados en las reglas.
 Detectores de eventos anormales en el tráfico de red.
 Dispositivo generador de informes y alarmas. En algunos casos
con la sofisticación suficiente como para enviar alertas vía
mail, o SMS.

IDS (Intrusion Detection System)

Detección de Anomalías
Enfoque
Comportamiento regular de usuarios
para sacar patrones.
Creación de perfiles.
Aprendizaje de actividades normales y
legítimas.

Detección de Anomalías
Desventajas
 Falsos positivos
 Desarrollo de un modelo preciso de la red tardado.
 Depende del proceso de aprendizaje.
 Entrenamiento restringido = falsos positivos.
 Entrenamiento general = falsos negativos
Ventajas
 Madurez de la tecnología y más inteligente
Enfoque

Detección de usos incorrectos
 Se monitorea la actividad y se compara con datos
previamente almacenados en una base de datos.
 Se detectan tentativas de explotación de
vulnerabilidades
Dos Componentes principales
 Lenguaje o modelo que describa y represente
técnicas de los atacantes.
 Programas de monitorización.
Enfoque

HIDS (IDS basados en host)
Origen de Datos
 Diseñados para monitorear, detectar y
responder a los datos generados por un
usuario o un sistema en un host.
Recaban información del sistema como
ficheros, logs, recursos, etc., para su
posterior análisis en busca de posibles
incidencias.

Ventajas
Origen de Datos
 Detectan mejor ataques desde dentro del
equipo
 Asocian usuarios y programas con sus efectos
en el sistema
 Informan sobre el estado del blanco atacado
 Protegen el host donde residen.

Desventajas
Origen de Datos
 Lento en comparación con el NIDS
 Tardan en actuar (registros de actividad y cambios
en el sistema)
 Dificultad de implantación (S.O.)
 No son seguros si se ha atacado con éxito.
 Si cae el host no se genera ninguna alerta.

NIDS (IDS basados en red)
Origen de Datos
 Analizan el tráfico de la red completa,
examinando los paquetes individualmente.
 Detectando paquetes armados maliciosamente y
diseñados para no ser detectados por los
cortafuegos.
 Buscar cual es el programa al que se está
accediendo y producir alertas cuando un atacante
intenta explotar algún fallo en este programa.

Origen de Datos
Un dispositivo de red configurado en
modo promiscuo. Analizan el trafico de
red, normalmente, en tiempo real. No
sólo trabajan a nivel TCP/IP, también
lo pueden hacer a nivel de aplicación.

Componentes
Origen de Datos
Sensores (agentes): busca tráfico
sospechoso.
Consola: recibe las alarmas de los
sensores y reacciona dependiendo la
alarma.

Ventajas
 Se instala en un segmento de red, detecta
ataques en todos los equipos conectados.
 Independiente de la plataforma de los
equipos.
 Capaces de detectar manipulación de
cabeceras IP, negación de servicio.
 Invisibles a los atacantes.
Origen de Datos

Desventajas
Origen de Datos
Ineficientes con texto cifrado
Malos en redes de alta velocidad
Congestión = pérdida de paquetes
No determina si un ataque tuvo éxito o
no.

Distribuidos (DIDS)
Estructura
Diferentes formatos de
auditoría.
Uno o más nodos sirven como
puntos de recopilación.

Distribuidos (DIDS)
Componentes
Estructura
Agentes: monitorean actividad.
Transceptores: comunicación.
Maestro(s): centralizan datos.
Consola: interfaz con operador.

Centralizados
Estructura
Emplean sensores que
transmiten información a un
sistema central donde se
controla todo.

Pasivos
Comportamiento
Sólo notifican mediante algún
mecanismo (alerta, log, etc.)
pero no actúa sobre el ataque o
atacante.

Activos
Comportamiento
Genera algún tipo de respuesta
sobre el sistema atacante o
fuente de ataque como cerrar
la conexión o enviar algún tipo
de respuesta predefinida.

Colocación de un IDS
 Zona Roja: Alto riesgo. Poco sensible, ya que
habrá mas falsos positivos.
 Zona Verde: Sensibilidad mayor que en la zona
roja, menos falsos positivos.
 Zona Azul: Zona de confianza, tráfico anómalo
debe se considerado como hostil, menos falsos
positivos.

Internet

Internet
IDS para cada servicio
IDS para detectar
ataques hacia afuera

Referencias
 http://underc0de.org/foro/seguridad/siste
mas-ipsidships/
Fundamentos de Seguridad en Redes
Aplicaciones y Estándares. (William
Stallings), 2ª Edición.

Referencias
 http://catarina.udlap.mx/u_dl_a/tales/docu
mentos/mcc/muniz_b_p/capitulo2.pdfhttp://
network-uagrm.
blogspot.mx/2013/01/sistemas-ids-parte1.
html
 http://www.adminso.es/recursos/Proyectos/P
FC/PFC_marisa.pdf
 http://www.adminso.es/index.php/SDI-I-TIPOS_
DE_IDS

Referencias
 http://www.adminso.es/index.php/SDI-I-TIPOS_
DE_IDS
 http://slideplayer.es/slide/106589/
 http://mural.uv.es/emial/informatica/html/I
DS.html
 http://www.linux-party.com/index.php/6000-
el-sistema-de-deteccion-de-intrusos--snort---
windows-y-linux-

IDS (Intrusion Detection System)

Más contenido relacionado

La actualidad más candente (20)

Similar a IDS (Intrusion Detection System) (20)

Último (13)

IDS (Intrusion Detection System)

Notas del editor