Sistemi anti intrusione IDS e IPS

Sistemi anti-intrusione IDS e IPS

Sistemi anti-intrusione IDS

IDS = Intrusion Detection System

Un sistema di rilevamento delle intrusioni ha lo scopo di individuare in anticipo attacchi informatici verso un PC o una rete. Può essere installato direttamente sul dispositivo da controllare o su un device a parte. Un IDS analizza il traffico di rete al fine di rilevare traffico di dati insolito e, in tal caso, comunicarlo all’utente. Grazie a un IDS è quindi spesso possibile impedire ai malintenzionati di accedere al sistema, bloccando l’attacco informatico sul nascere.

Un IDS comprende quindi una serie di funzionalità finalizzate alla rilevazione di pacchetti di traffico dati sospetti ai seguenti livelli della pila ISO/OSI: rete, trasporto, applicazione.

Tipi di sistemi IDS

I sistemi di rilevamento si possono basare su:

• IDS basati su firme o signature (Signature-Based IDS): Anche nota come Misuse Detection System, è la tecnica più utilizzata, analogamente a quella degli antivirus, permette di rilevare traffico sospetto basandosi sui tratti caratteristici (già noti) degli attacchi informatici.
• IDS basati su anomalie (Anomaly-Detection): Questo sistema comprende una serie di regole che analizzano il traffico cercando di capire se è sospetto o meno, sulla base di determinate condizioni.

Classificazione degli IDS

Gli IDS possono essere classificati anche in base a quale fetta di traffico dati analizzano:

• Network Intrusion Detecting System (NIDS): Viene analizzato il traffico non di un solo host ma di una rete intera, precisamente il segmento di rete in cui è situato il sistema IDS. Avviene un signature matching, analizzando tutte le firme, e se fallisce avviene una network analysis, ossia un'analisi della rete alla ricerca di anomalie. Esempio: Snort.
• Host-based Intrusion Detecting System: Viene analizzato il traffico dell’host: analisi file log del sistema, modifiche alle proprietà dei file, ecc. Esempio: Aide.
• Hybrid Intrusion Detecting System: Svolge entrambi i tipi di analisi e combina i risultati delle analisi della rete e dell’host.

Passaggi fondamentali per la rilevazione delle intrusioni

1. Monitoraggio dati: Verifica dei log di sistema e dei programmi di sicurezza, raccolta informazioni di sistema (es. numero connessioni attive) e del traffico dati.
2. Analisi: Basandosi su un sistema tra Misuse Detection e Anomaly Detection, vengono elaborate e valutate le informazioni rilevate nella fase di monitoraggio.
3. Trasmissione dei risultati