IDS

SISTEMAS DE DETECCIÓN
DE INTRUSOS

10/06/08 Sistemas de Detección de Intrusos 1

Introducción
■ Importancia de la seguridad en las
organizaciones
■ Desconocimiento de todas las
vulnerabilidades
■ Se descubren vulnerabilidades en los
sistemas cada día

10/06/08 Sistemas de Detección de Intrusos 2

Tecnologías de la seguridad
■ Escáneres de vulnerabilidades
– Sistemas (política de seguridad, usuarios,
configuraciones,...)
– Servicios ofrecidos a los demás ordenadores
■ Detectores de ataques
– Centinelas en los sistemas
– Análisis del flujo de datos que circulan por la red

10/06/08 Sistemas de Detección de Intrusos 3

Complementos a los cortafuegos
■ Los cortafuegos se basan en un
sistema de restricciones y excepciones
■ Problema: cuando un atacante
enmascara el tráfico o se comunica
directamente con una aplicación remota
el cortafuegos no cumple con su misión
de primera barrera

10/06/08 Sistemas de Detección de Intrusos 4

Sistemas Detectores de Intrusos
■ Complemento de seguridad de los
firewalls
■ Sistema que intenta detectar y alertar
sobre las intrusiones en un sistema o
en una red
■ Intrusión: actividad realizada por
personas no autorizadas o actividades
no autorizadas
10/06/08 Sistemas de Detección de Intrusos 5
IDS: Clasificación
■ Según localización:
– NIDS (Network Intrusion Detection System)
– HIDS (Host Intrusion Detection System)
■ Según modelo de detección:
– Detección de mal uso
– Detección de uso anómalo
■ Según naturaleza
– Pasivos
– Reactivos
10/06/08 Sistemas de Detección de Intrusos 6
NIDS: Introducción
■ Analiza el tráfico de toda la red
■ Examina paquetes en búsqueda de
opciones no permitidas y diseñadas
para no ser detectadas por los
cortafuegos
■ Produce alertas cuando se intenta
explorar algún fallo de un programa de
un servidor
10/06/08 Sistemas de Detección de Intrusos 7
NIDS: Componentes
■ Sensores (agentes): situado en un
segmento de red monitoriza en busca
de tráfico sospechoso
■ Una consola: recibe las alarmas de los
sensores y reacciona según el tipo de
alarma recibida

10/06/08 Sistemas de Detección de Intrusos 8

NIDS: Ventajas
■ Detectan accesos no deseados en la
red
■ No necesitan software adicional en los
servidores
■ Fácil instalación y actualización
(sistemas dedicados)

10/06/08 Sistemas de Detección de Intrusos 9

NIDS: Desventajas
■ Número de falsos-positivos
■ Sensores distribuidos en cada
segmento de la red
■ Tráfico adicional en la red
■ Difícil detección de los ataques de
sesiones encriptadas

10/06/08 Sistemas de Detección de Intrusos 10

HIDS: Introducción
■ Analiza el tráfico sobre un servidor o un
PC
■ Detecta intentos fallidos de acceso
■ Detecta modificaciones en archivos
críticos

10/06/08 Sistemas de Detección de Intrusos 11

HIDS: Ventajas
■ Potente: registra comandos, ficheros
abiertos, modificaciones importantes,...
■ Menor número de falsos-positivos que
el NIDS
■ Menor riesgo en las respuestas activas
que los NIDS

10/06/08 Sistemas de Detección de Intrusos 12

HIDS: Inconvenientes
■ Instalación en máquinas locales
■ Carga adicional en los sistemas
■ Tiende a confiar la auditoria y el loggin
a la máquina

10/06/08 Sistemas de Detección de Intrusos 13

IDS: modelos de detección
■ Detección del mal uso
– Verificación sobre tipos ilegales de tráfico
de red
– Se implementa observando cómo explotar
los puntos débiles de los sistemas y
describiéndolos mediante patrones
– Ej.: combinaciones ‘imposibles’ dentro de
un paquete, detección de sniffers,...

10/06/08 Sistemas de Detección de Intrusos 14

IDS: modelos de detección
■ Detección de uso anómalo
– Estadísticas sobre tráfico típico en la red
– Detecta cambios en los patrones de
utilización o comportamiento del sistema
– Utiliza modelos estadísticos y busca
desviaciones estadísticas significantes
– Ej.: tráfico excesivo en horario fuera de
oficina, accesos repetitivos ...
10/06/08 Sistemas de Detección de Intrusos 15
IDS: Según su naturaleza
■ IDS Pasivo
– Detectan la posible violación de la
seguridad, la registran y generan alerta
■ IDS Activo
– Responde ante una actividad ilegal de
forma activa, sacando al usuario del
sistema o reprogramando el firewall

10/06/08 Sistemas de Detección de Intrusos 16

10/06/08 Sistemas de Detección de Intrusos 17
Arquitectura de IDS
■ Han evolucionado con el paso del
tiempo y la aparición de nuevas
tecnologías y métodos
■ Dos principios básicos:
– Agentes autónomos distribuidos y
coordinados por una entidad central
– Exploración de los datos en tiempo real

10/06/08 Sistemas de Detección de Intrusos 18

Conclusiones
■ IDS es un complemento de seguridad
de los cortafuegos
■ Buscar soluciones que se adapten a los
recursos de la empresa
■ Integrar los IDS en la política de
seguridad de la empresa

10/06/08 Sistemas de Detección de Intrusos 19