¿Qué es un IDS/IPS?

La detección y prevención de intrusiones (IDS/IPS) combina dos funciones de seguridad de red que inspeccionan el tráfico en busca de firmas de ataques conocidas y comportamientos anómalos. Un sistema de detección de intrusiones (IDS) señala cualquier coincidencia para su revisión; un sistema de prevención de intrusiones (IPS) actúa de inmediato: descarta paquetes, reinicia sesiones o bloquea la fuente antes de que se produzca un ataque.

Puntos clave

• El IDS detecta las amenazas y avisa de ellas; el IPS las detecta y las bloquea en tiempo real.
• La detección basada en firmas identifica los ataques conocidos; la detección de anomalías señala los nuevos.
• La terminología común —CVE, CVSS, nivel de confianza— asigna una puntuación a cada coincidencia de firma.
• Versa VOS se aplica mediante un mecanismo de perfil de vulnerabilidad en la política del NGFW.
• Una única configuración de acción —alerta frente a descarte/rechazo/reinicio— cambia el modo IDS al modo IPS.

En esta página: Por qué es importante · Cómo funciona · Tipos · IDS/IPS y Versa · Preguntas frecuentes

¿Por qué es importante el IDS/IPS?

Un cortafuegos decide qué sesiones permitir en función del puerto, la dirección y la aplicación, pero no tiene en cuenta el contenido de una sesión autorizada. Los atacantes se aprovechan de esa laguna para introducir exploits y malware de forma encubierta dentro de sesiones que un cortafuegos nunca bloquearía. Los sistemas IDS/IPS subsanan esta laguna inspeccionando la carga útil, comparándola con patrones de ataque conocidos y con un modelo de referencia de comportamiento normal, para luego alertar en caso de coincidencia o bloquearla directamente.

Es importante combinar la detección con la prevención, ya que cada una compensa el punto ciego de la otra. La detección por sí sola —un IDS que supervisa una copia en espejo del tráfico— nunca corre el riesgo de convertirse en un punto de fallo, pero no puede detener un ataque en curso. La prevención por sí sola —un IPS instalado en línea— bloquea al instante, pero una interrupción del sensor puede afectar a toda la ruta del tráfico. Utilizar ambas, ajustadas en función del nivel de confianza y la gravedad según el CVSS, permite a los equipos bloquear automáticamente las amenazas de alta confianza, al tiempo que derivan los casos dudosos a los analistas.

¿Qué es un IDS/IPS?

IDS/IPS es el nombre conjunto que se da a la detección y prevención de intrusiones (IDP): una función que inspecciona el tráfico de red en busca de vulnerabilidades y actividades anómalas, y que posteriormente las notifica (IDS) o las bloquea (IPS). La comparación se realiza mediante dos técnicas. La detección basada en firmas compara el tráfico con una base de datos de patrones de ataque conocidos; la detección de anomalías establece un patrón de referencia del tráfico normal y señala las desviaciones, detectando así los ataques que aún no están descritos en ninguna firma.

Cada coincidencia se clasifica utilizando una terminología común: un «verdadero positivo» es un ataque real detectado correctamente; un «falso positivo» es tráfico inofensivo detectado erróneamente; y un «falso negativo» es un ataque que pasa desapercibido. Cada resultado se asocia a un CVE (su identificador público) y a una puntuación CVSS (su gravedad), y cada firma incluye un índice de confianza que indica la fiabilidad con la que distingue los ataques del ruido.

Tipos de IDS/IPS

Hay dos ejes que describen cómo se aplica el IDS/IPS. La detección basada en firmas compara el tráfico con una base de datos de patrones de ataque conocidos: es precisa frente a amenazas catalogadas, pero ineficaz hasta que existe una firma. Por su parte, la detección basada en anomalías establece un patrón de referencia del tráfico normal y señala las desviaciones estadísticas, lo que permite detectar ataques de «día cero» y ataques nunca vistos antes, a costa de un mayor número de falsos positivos. La mayoría de las implementaciones utilizan ambas técnicas conjuntamente.

El segundo eje es el modo de respuesta: el modo de «solo detección» (IDS) inspecciona una copia duplicada del tráfico y se limita a emitir alertas, manteniéndose al margen de la ruta de reenvío, de modo que un fallo del sensor nunca interrumpe el tráfico de producción; el modo de «prevención» (IPS) se sitúa en línea y bloquea inmediatamente cualquier coincidencia —descartando el paquete, reiniciando la sesión o rechazando la conexión— a costa de formar parte de la propia ruta del tráfico.

IDS/IPS y Versa

Versa VOS ofrece IDS/IPS como una función de detección y prevención de intrusiones (IDP) dentro de sus servicios de gestión unificada de amenazas, disponible tanto en implementaciones de « Secure SD-WAN » como de NGFW. En lugar de dispositivos independientes, « Versa » implementa ambas funciones a través de un único mecanismo de perfil de vulnerabilidad dentro de una regla de política de acceso de NGFW: la acción configurada determina el comportamiento; la opción «Alert» (Alerta) actúa como un IDS, mientras que las opciones «Drop» (Descartar), «Reject» (Rechazar) o «Reset» (Restablecer) actúan como medidas de aplicación del IPS.

Los administradores suelen partir de un perfil predefinido —el «Perfil recomendado» ( Versa ), que abarca una década de vulnerabilidades con puntuaciones CVSS de 6 a 10, o el «Perfil de rama» ( Versa Branch Profile), más ligero y destinado a ramas con recursos limitados—, actualizado mediante SPacks, y luego añaden firmas personalizadas en formato Snort. Director realiza un seguimiento de la recopilación de firmas; Analytics detecta las amenazas y los registros del IDP. Véase «Configurar la detección y prevención de intrusiones » o «Configurar la detección y prevención de intrusiones (NGFW)».

Preguntas frecuentes

¿Qué significan las siglas IDS/IPS?

IDS/IPS son las siglas de «Sistema de Detección de Intrusiones» y «Sistema de Prevención de Intrusiones», que se combinan para formar el conjunto de detección y prevención de intrusiones (IDP). El componente IDS analiza el tráfico y emite una alerta cuando detecta una coincidencia con una firma; el componente IPS analiza el tráfico y bloquea automáticamente cualquier amenaza que coincida, sin necesidad de que intervenga un analista.

¿Cuál es la diferencia entre un IDS y un IPS?

Un IDS supervisa una copia del tráfico —procedente de un puerto espejo o de un tap de red— y avisa de cualquier actividad sospechosa sin alterar el flujo. Un IPS se sitúa en línea y bloquea automáticamente esa misma actividad: descartando paquetes, reiniciando conexiones o bloqueando la fuente.

¿Cuál es la diferencia entre la detección basada en firmas y la detección basada en anomalías?

La detección basada en firmas compara el tráfico con una base de datos de patrones de ataque conocidos, que se actualiza periódicamente a través de paquetes como los SPacks de Versa. La detección de anomalías establece un patrón de referencia del tráfico normal y señala las desviaciones respecto a él, lo que permite detectar nuevos ataques —incluidos los de «día cero»— que aún no están descritos en ninguna firma.

¿Qué significan los términos «CVE», «CVSS» y «confianza» en una alerta de IDS/IPS?

CVE es el identificador público de una vulnerabilidad conocida; el CVSS puntúa la gravedad de dicha vulnerabilidad en una escala del 0 al 10. La confianza indica el grado de fiabilidad con el que una firma distingue un ataque real del tráfico inofensivo: los valores más altos reducen los falsos positivos, a costa de pasar por alto coincidencias dudosas.

¿Cómo implementa Versa los sistemas IDS/IPS?

Versa VOS aplica el IDS/IPS como perfil de vulnerabilidad dentro de una regla de política de acceso del NGFW, ejecutándose junto con el filtrado del cortafuegos y la identificación de aplicaciones en una sola pasada. La acción configurada —alerta frente a descarte, rechazo o reinicio— determina si una regla concreta actúa como detección o como prevención.

Más información sobre IDS/IPS

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre los sistemas IDS/IPS, te conviene echarles un vistazo a continuación.