Sistema de detección de intrusiones

Un sistema de detección de intrusiones (IDS) es un dispositivo o aplicación de software que monitoriza una red para detectar actividad maliciosa o infracciones de políticas. Cualquier actividad maliciosa o infracción se suele reportar o recopilar de manera centralizada mediante un sistema de gestión de información y eventos de seguridad. Algunos IDS son capaces de responder a la intrusión detectada al ser descubierta. Estos se clasifican como sistemas de prevención de intrusiones (IPS).

Tipos de detección de IDS

Existe una amplia gama de IDS, que varía desde el software antivirus hasta los sistemas de monitorización escalonados que rastrean el tráfico de toda una red. Las clasificaciones más comunes son:

• Sistemas de detección de intrusiones en la red (NIDS): Un sistema que analiza el tráfico de red entrante.
• Sistemas de detección de intrusiones basados en host (HIDS): un sistema que supervisa archivos importantes del sistema operativo.

También existe un subconjunto de tipos de IDS. Las variantes más comunes se basan en la detección de firmas y en la detección de anomalías.

• Basado en firmas: El IDS basado en firmas detecta posibles amenazas al buscar patrones específicos, como secuencias de bytes en el tráfico de red o secuencias de instrucciones maliciosas conocidas utilizadas por el malware. Esta terminología se origina en el software antivirus, que denomina a estos patrones detectados como firmas. Aunque los IDS basados en firmas pueden detectar fácilmente ataques conocidos, es imposible detectar nuevos ataques para los cuales no existe ningún patrón disponible.
• Basado en anomalías: una tecnología más reciente diseñada para detectar y adaptarse a ataques desconocidos, principalmente debido a la proliferación de malware. Este método de detección emplea el aprendizaje automático para desarrollar un modelo definido de actividad fiable y posteriormente comparar el comportamiento nuevo con este modelo de confianza. Aunque este enfoque permite la detección de ataques previamente desconocidos, puede sufrir falsos positivos: actividades legítimas previamente desconocidas pueden ser clasificadas accidentalmente como maliciosas.

Uso de IDS en redes

Cuando se coloca en uno o varios puntos estratégicos dentro de una red para supervisar el tráfico hacia y desde todos los dispositivos de la red, un IDS realizará un análisis del tráfico que pasa y comparará el tráfico que pasa por las subredes con la biblioteca de ataques conocidos. Una vez que se identifica un ataque o se detecta un comportamiento anómalo, se puede enviar una alerta al administrador.

Técnicas de evasión

Conocer las técnicas disponibles para los cibercriminales que intentan vulnerar una red segura puede ayudar a los departamentos de TI a comprender cómo se puede engañar a los sistemas IDS para que no omitan amenazas procesables:

• Fragmentación: el envío de paquetes fragmentados permite al atacante permanecer bajo el radar, eludiendo la capacidad del sistema de detección para identificar la firma del ataque.
• Evitar los valores predeterminados: Un puerto utilizado por un protocolo no siempre indica el protocolo que está siendo transportado. Si un atacante hubiera reconfigurado el sistema para usar un puerto diferente, es posible que el IDS no pudiera detectar la presencia de un troyano.
• Ataques coordinados de bajo ancho de banda: coordinar un escaneo entre numerosos atacantes o incluso asignar varios puertos o hosts a diferentes atacantes. Esto dificulta que el IDS correlacione los paquetes capturados y deduzca que un escaneo de red está en progreso.
• Suplantación de direcciones/proxy: los atacantes pueden ocultar el origen del ataque utilizando servidores proxy mal protegidos o configurados incorrectamente para redirigir un ataque. Si la fuente es Spoofing y rechazada por un servidor, resulta muy difícil de detectar.
• Evasión de cambio de patrón: los IDS dependen de la coincidencia de patrones para detectar ataques. Al realizar un ligero ajuste en la arquitectura del ataque, se puede evitar la detección.

Los entornos empresariales en red modernos requieren un alto nivel de seguridad para asegurar una comunicación segura y fiable de la información entre diversas organizaciones. Un sistema de detección de intrusiones actúa como una tecnología de salvaguarda adaptable para la seguridad del sistema después de que las tecnologías tradicionales fallen. Los ciberataques se volverán cada vez más sofisticados, por lo que es importante que las tecnologías de protección se adapten a las amenazas.