O que são IPS/IDS?
IDS e IPS são acrônimos de tecnologias de segurança de rede usadas para proteger sistemas e redes contra ataques cibernéticos.
IDS significa “Sistema de Detecção de Intrusão” (em inglês, “Intrusion Detection System”), que é um sistema que monitora o tráfego de rede em busca de atividades suspeitas ou incomuns. O IDS pode ser usado para detectar ataques externos, bem como atividades maliciosas internas, como tentativas de roubo de informações ou acesso não autorizado a sistemas.
IPS significa “Sistema de Prevenção de Intrusão” (em inglês, “Intrusion Prevention System”), que é uma tecnologia de segurança de rede que monitora o tráfego de rede e bloqueia automaticamente o acesso de tráfego malicioso à rede.
Ao contrário do IDS, o IPS não apenas alerta sobre atividades suspeitas, mas também toma medidas proativas para impedir ataques e proteger a rede.
IDS vs. IPS
A diferença entre o IDS e o IPS se resume à ação que eles tomam quando uma intrusão é detectada. O IDS fornecerá apenas um alerta sobre um incidente potencial, a partir daí cabe ao analista do SOC investigar e determinar se é necessária uma ação adicional. Os tipos comuns de IDS são:
- Sistemas de detecção de intrusão de rede (NIDS): Monitora o tráfego através de vários sensores colocados na rede.
- Sistemas host de detecção de intrusão (HIDS): Colocados diretamente sobre dispositivos para monitorar o tráfego, para que os administradores de rede tenham mais controle.
- Sistemas de detecção de intrusão baseados em protocolo (PIDS): Colocados na frente de um servidor e monitoram o tráfego de e para os dispositivos.
- Sistemas de detecção de intrusão baseados em protocolo de aplicação (APIDS): Monitora o tráfego através de um grupo de servidores.
- Híbrido IDS: Uma combinação dos tipos de sistemas de detecção de intrusão acima
O IPS é projetado para bloquear ou remediar (dependendo de suas configurações de pós-varredura) a intrusão detectada. Os quatro tipos de IPS são:
- Sistemas de prevenção de intrusão baseados em rede (NIPS): Monitora e protege a rede inteira
- Sistemas de prevenção de intrusão sem fio (WIPS):
Monitora qualquer rede sem fio de propriedade de uma organização - Sistemas de prevenção de intrusão (HIPS) baseados em hospedeiro: Implantados em dispositivos ou hosts críticos
- Análise comportamental da rede (NBA): Monitores para comportamentos anômalos dentro dos padrões de uma rede.
O IDS lhe dará uma compreensão profunda de como o tráfego está se movendo através de sua rede, enquanto o IPS fornece segurança de rede ativa, prevenindo e remediando detecções.
Por que os Sistemas de Detecção de Intrusão (IDS) são importantes para as empresas?
Um sistema de detecção de intrusão proporciona uma camada extra de proteção, tornando-o um elemento crítico de uma estratégia eficaz de segurança cibernética. Você pode usá-lo junto com suas outras ferramentas de segurança cibernética para capturar ameaças que são capazes de penetrar em suas defesas primárias. Portanto, mesmo que seu sistema principal falhe, você ainda é alertado sobre a presença de uma ameaça.
Uma organização de saúde, por exemplo, pode implantar um IDS para sinalizar à equipe de TI que uma série de ameaças se infiltrou em sua rede, inclusive aquelas que conseguiram contornar seus firewalls. Desta forma, o IDS ajuda a organização a manter-se em conformidade com os regulamentos de segurança de dados.
E qual a importância do IPS também na categoria empresarial?
As organizações escolhem as tecnologias IPS em vez dos tradicionais esforços de segurança de rede reativa porque o IPS detecta e previne os danos do tráfego malicioso.
A proteção IPS identifica ameaças potenciais através do monitoramento do tráfego da rede em tempo real, utilizando a análise do comportamento da rede.
Se um atacante não autorizado obtém acesso à rede, o IPS identifica a atividade suspeita, registra o endereço IP e lança uma resposta automatizada à ameaça com base em regras previamente estabelecidas pelo administrador da rede.
O IPS inclui software anti-vírus/anti-malware, firewall, software anti-spoofing e monitoramento do tráfego de rede. As empresas utilizam o IPS para documentar as ameaças, descobrir problemas com políticas de segurança e bloquear violações externas ou internas de segurança.
Não fique preso a escolher entre um ou outro. O ideal é encontrar uma solução IDS e IPS que se integre – formando o IDPS – para uma detecção completa e capacidade de resposta.
Fontes:
What is an IPS (2023) – Fortinet
IPS/IDS Guide (Dezembro 2022) – Trend Micro
Douglas Bernardini
Cybersecurity Specialist & Cloud Computing Expert with +10 years experience in IT infrastructure.
Specialist delivering assets for development teams in Google Cloud Platform (GCP) and Amazon web services (AWS)
Hands-on cloud security enterprise architect, with experience in SIEM/SOC, IAM, cryptography, pentest, network topologies, operating systems, databases, and applications.
Experience in DevSecOps analysis to discover vulnerabilities in software, identifying CI/CD risks gaps and recommending secure-coding process (S-SDLC).