Sistemi anti intrusione IDS e IPS

IDS = Intrusion Detection System

Un sistema di rilevamento delle intrusioni ha lo scopo di individuare in anticipo attacchi informatici verso un pc o una rete. Può essere installato direttamente sul dispositivo da controllare o su un device a parte.

Un IDS analizza il traffico di rete al fine di rilevare traffico di dati insolito e, in tal caso, comunicarlo all'utente. Grazie a un IDS è quindi spesso possibile impedire ai malintenzionati di accedere al sistema, bloccando l'attacco informatico sul nascere.

Un IDS comprende quindi una serie di funzionalità finalizzate alla rilevazione di pacchetti di traffico dati sospetti ai seguenti livelli della pila ISO/OSI: rete, trasporto, applicazione.

I sistemi di rilevamento si possono basare su:

• IDS basati su firme o signature (Signature-Based IDS): anche nota come Misuse Detection System, è la tecnica più utilizzata, analogamente a quella degli antivirus.

System (HIDS/NIDS)Combina sia l'analisi del traffico di rete che l'analisi deglihost per fornire una protezione più completa. Esempio:OSSEC. Gli IDS possono essere utilizzati per rilevare diversi tipi di attacchi informatici, come ad esempio: - Attacchi di scansione della rete: l'IDS può rilevare tentativi di scansione della rete da parte di un attaccante alla ricerca di vulnerabilità. - Attacchi di spoofing: l'IDS può rilevare tentativi di spoofing, in cui un attaccante si finge un altro host o indirizzo IP per eludere le misure di sicurezza. - Attacchi di denial of service (DoS): l'IDS può rilevare tentativi di sovraccaricare un sistema o una rete con un'elevata quantità di traffico, rendendoli inaccessibili agli utenti legittimi. - Attacchi di intrusione: l'IDS può rilevare tentativi di accesso non autorizzato a un sistema o una rete, come ad esempio tentativi di login con password errate o utilizzo di exploit per sfruttare vulnerabilità. L'utilizzo di un IDS può aiutare a rilevare e prevenire attacchi informatici, fornendo una maggiore sicurezza per i sistemi e le reti.

SystemSvolge entrambi i tipi di analisi e combina i risultati delleanalisi della rete e dell' host.

I passaggi fondamentali con cui si rilevano intrusioni sono:

1. monitoraggio dati: Verifica dei log di sistema e dei programmi di sicurezza, raccolta informazioni di sistema (es. numero connessioni attive) e del traffico dati.
2. analisi: Le fasi della Basandosi su un sistema tra Misuse Detection e Anomaly Detection, vengono elaborate e valutate le informazioni rilevate nella fase di monitoraggio.
3. trasmissione dei risultati: Viene informato l' amministratore di sistema sull' eventuale rilevazione dell' intrusione. La comunicazione può avvenire via email, tramite pop-up sul programma di sicurezza, via SMS, ecc.

Un sistema IDS si limita a rilevare traffico dati sospetto e avvisare l' utente, mentre il firewall si occupa di filtrare e bloccare i pacchetti incriminati.

Un IDS a differenza di un firewall non può:

pacchetti inbound/outbound;- filtrare pacchetti inbound/outbound;- modificare pacchetti.

Punti di forza di un IDS:

• analizzano i pacchetti fino al livello applicazione della pila ISO/OSI;
• controllano i singoli programmi in esecuzione;
• grazie all'Anomaly Detection identificano nuovi possibili attacchi aumentando la sicurezza;

Punti di forza e Debolezze di un IDS:

• debolezze di un IDS - vulnerabile agli attacchi DoS;
• un IDS da solo non è in grado di bloccare una minaccia ma solo di rilevarla;
• ha bisogno del firewall per garantire un elevato livello di sicurezza informatica (è inutile che una minaccia venga rilevata se non può essere bloccata).

Sistemi anti-intrusione

IPS IDS = Intrusion Prevention System

Sistema di prevenzione delle intrusioni

Un sistema di prevenzione delle intrusioni ha lo scopo di individuare traffico sospetto, segnalarlo e bloccare le azioni dannose.

È un software che rappresenta un'estensione dell'IDS con l'obiettivo di massimizzare la

La sicurezza di un sistema informatico dalle intrusioni è garantita dall'utilizzo di un IPS (Intrusion Prevention System). Un IPS analizza il traffico di rete al fine di rilevare eventuali anomalie nel flusso dei dati e, in caso di rilevazione, segnala l'evento all'utente e blocca il traffico sospetto.

A differenza di un IDS (Intrusion Detection System), un IPS ha la capacità di bloccare le intrusioni rilevate, oltre che segnalarle. Le funzionalità di un IPS includono:

• Rilevare e segnalare intrusioni, come un IDS;
• Bloccare il traffico sospetto proveniente dall'indirizzo IP dell'attaccante;
• Eliminare pacchetti dati sospetti;
• Resettare connessioni;
• Evitare errori di sequenza TCP a livello di trasporto;
• Disattivare opzioni indesiderate sui livelli di rete e trasporto.