¿Qué es un IDS?

Un sistema de detección de intrusiones (IDS) es un control de seguridad de red que examina una copia del tráfico de red —que suele proceder del puerto de duplicación de un conmutador, un concentrador o un dispositivo de derivación de red— en busca de indicios de vulnerabilidades y de actividades inadecuadas o anómalas, y emite una alerta cuando detecta una coincidencia sin alterar el tráfico en sí.

Puntos clave

• El IDS detecta las amenazas y avisa de ellas; no las bloquea, como hace el IPS.
• Se instala de forma pasiva a través de un puerto espejo, un tap de red o un concentrador; nunca en línea.
• La detección basada en firmas y la basada en anomalías detectan conjuntamente tanto los ataques conocidos como los nuevos.
• Un sensor IDS que falla nunca provoca la interrupción de la ruta del tráfico de producción.
• VersaEl módulo IDP de […] combina la visibilidad del sistema de detección de intrusiones (IDS) con la aplicación de medidas del sistema de prevención de intrusiones (IPS) en una sola pasada.

En esta página: Por qué es importante · Cómo funciona · Tipos · IDS y Versa · Preguntas frecuentes

¿Por qué es importante un sistema de detección de intrusiones (IDS)?

Un cortafuegos decide qué sesiones permitir en función del puerto, la dirección y la aplicación; no dice nada sobre el contenido de una sesión autorizada. Un atacante que introduzca un exploit camuflado en tráfico de apariencia legítima logrará pasar si no hay nada que inspeccione la carga útil. Un IDS subsana esa laguna: supervisa una copia del tráfico y señala cualquier actividad que coincida con un patrón de ataque conocido o que se desvíe de la línea de base.

Dado que un IDS inspecciona una copia duplicada en lugar de situarse en línea, nunca se convierte en un punto de fallo: si el sensor deja de funcionar, el tráfico sigue circulando. Esta configuración también hace que su ubicación interna resulte práctica: los sensores situados dentro del cortafuegos y en los nodos críticos revelan la actividad que ya ha atravesado el perímetro, precisamente donde surge por primera vez el movimiento lateral. Sin embargo, un IDS solo emite alertas; para detener el tráfico sigue siendo necesario un control en línea complementario, como un IPS.

¿Qué es un IDS?

Un IDS (sistema de detección de intrusiones) es la parte de detección del sistema de detección y prevención de intrusiones (IDP): inspecciona el tráfico y avisa cuando detecta una coincidencia, en lugar de actuar sobre ella. Normalmente se conecta al puerto de duplicación de un conmutador, a un concentrador o a un tap de red; con menos frecuencia se coloca en línea, lo que le hace perder su ventaja de seguridad ante fallos.

La comparación se realiza mediante dos técnicas. La detección basada en firmas compara el tráfico con una base de datos de patrones de ataque conocidos. Por su parte, la detección de anomalías establece una línea de referencia del tráfico normal y señala las desviaciones respecto a ella, detectando así nuevos ataques que aún no están descritos por ninguna firma. Las alertas utilizan un vocabulario estándar: un «verdadero positivo» es un ataque real señalado correctamente; un «falso positivo» es tráfico inofensivo señalado erróneamente; y un «falso negativo» es un ataque que pasa desapercibido; cada uno de ellos se puntúa según su clasificación CVE (identificador de vulnerabilidad) y CVSS (gravedad).

Tipos de sistemas de detección de intrusiones (IDS)

El ámbito de implementación es el eje principal. Un IDS basado en red (NIDS) supervisa todo un segmento desde un único punto estratégico —un puerto duplicado, un concentrador o un tap— y vigila todas las sesiones que lo atraviesan. Por su parte, un IDS basado en host (HIDS) se ejecuta como un agente en un único punto final, supervisando sus llamadas al sistema, sus registros y los cambios en la integridad de los archivos, lo que proporciona un nivel de detalle que un NIDS a nivel de segmento no puede ofrecer. Las organizaciones suelen utilizar ambos sistemas de forma conjunta.

La ubicación constituye un segundo eje. Un sistema de detección de intrusiones (IDS) situado en el perímetro detecta el tráfico que entra y sale de la organización; los sensores situados dentro del cortafuegos y en los nodos críticos aportan visibilidad sobre la actividad que ya ha traspasado dicho perímetro —tráfico de reconocimiento y de hosts comprometidos que una visión limitada al perímetro no detectaría—. Las implementaciones maduras combinan ambas ubicaciones.

IDS y Versa

Versa Ofrece IDS como parte del módulo de detección y prevención de intrusiones (IDP) de VOS, que forma parte de las capacidades de gestión unificada de amenazas (UTM) de Secure SD-WAN. En lugar de dispositivos IDS e IPS independientes, Versa implementa ambos a través de un mecanismo de perfil de vulnerabilidad dentro de una regla de política de NGFW: la acción configurada determina el comportamiento; «Alert» (Alerta) actúa como un IDS, mientras que «Drop» (Descartar), «Reject» (Rechazar) o «Reset» (Restablecer) actúan como medidas de aplicación del IPS.

Los administradores suelen partir de un perfil predefinido —el perfil recomendado « Versa » (16 GB de RAM) para una amplia cobertura, o el perfil « Versa Branch» (8 GB de RAM), más ligero, para sucursales con recursos limitados—, que se actualiza mediante paquetes de seguridad (SPacks), y luego añaden firmas personalizadas en formato Snort. Director realiza un seguimiento de la recopilación de firmas; Analytics detecta las amenazas y muestra los registros del IDP. Consulte «Configurar la detección y prevención de intrusiones (NGFW)» o la guía clásica para conocer el flujo de trabajo.

Preguntas frecuentes

¿Cuál es la diferencia entre un IDS y un IPS?

Un IDS supervisa una copia del tráfico —procedente de un puerto espejo, un concentrador o un derivador— y avisa de cualquier actividad sospechosa sin interferir en el flujo. Un IPS se sitúa en línea y lo bloquea automáticamente: descartando paquetes, reiniciando conexiones o bloqueando la fuente.

¿En qué parte de una red se instala un sistema de detección de intrusiones (IDS)?

Lo más habitual es que se conecte al puerto «mirror» de un conmutador, se conecte a un concentrador o se alimente mediante un «tap» de red, de modo que reciba una copia del tráfico sin interponerse en la ruta de reenvío. En las implementaciones, a menudo se añaden sensores también dentro del cortafuegos y en los nodos críticos.

¿Bloquea un sistema de detección de intrusiones (IDS) el tráfico malicioso?

No. Un IDS solo se dedica a la detección: inspecciona el tráfico y avisa cuando encuentra una coincidencia con una firma o cuando se desvía de un patrón de referencia de tráfico normal, pero nunca descarta un paquete ni reinicia una conexión. Para bloquear el tráfico es necesaria la intervención de un analista o un control en línea complementario, como un IPS.

¿Puede un sistema de detección de intrusiones (IDS) provocar una interrupción de la red si falla el sensor?

No, es así por diseño. Dado que un IDS analiza una copia duplicada del tráfico en lugar de estar integrado en la ruta, la ruta de producción no se ve afectada si el sensor deja de funcionar. Una implementación basada en conmutadores suele mantener una sesión de keepalive entre el conmutador y el dispositivo para protegerse contra este fallo.

¿Qué significan «CVE» y «CVSS» en una alerta del IDS?

CVE (Common Vulnerabilities and Exposures) es un diccionario de vulnerabilidades de seguridad conocidas públicamente a las que se asocia una firma del sistema de detección de intrusiones (IDS). El CVSS (Common Vulnerability Scoring System) asigna una puntuación a la gravedad de dicha vulnerabilidad. Los analistas utilizan ambos sistemas conjuntamente para priorizar qué alertas deben investigarse primero y cuáles pueden esperar.

Más información sobre IDS

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre los sistemas de detección de intrusiones (IDS), te conviene echar un vistazo a lo siguiente.