¿Qué es un IPS?

Un sistema de prevención de intrusiones (IPS) es un control de seguridad de red, que suele implementarse en línea en el perímetro de la red, que inspecciona el tráfico en busca de actividades maliciosas o anómalas y las bloquea automáticamente —descartando paquetes, restableciendo conexiones o bloqueando direcciones IP de origen— mediante la detección basada en firmas y en anomalías.

Puntos clave

• El IPS bloquea el tráfico malicioso en tiempo real; el IDS, en cambio, solo lo detecta y avisa de su presencia.
• La detección basada en firmas y la basada en anomalías detectan conjuntamente tanto los ataques conocidos como los nuevos.
• La implementación de un IPS en todos los puntos de entrada y salida detiene las amenazas en el perímetro.
• VersaEl módulo IDP de… aplica perfiles de vulnerabilidad en las reglas de política de acceso del NGFW.
• Los perfiles predefinidos cubren una amplia gama de amenazas; los perfiles personalizados añaden firmas en formato Snort.

En esta página: Por qué es importante · Cómo funciona · Tipos · IPS y Versa · Preguntas frecuentes

¿Por qué es importante un IPS?

Networks Se enfrentan a un flujo constante de intentos de explotación de vulnerabilidades conocidas y recién reveladas —fallos que los atacantes utilizan para robar datos, instalar malware o desplazarse lateralmente una vez que han accedido al sistema—. Un cortafuegos que solo comprueba puertos y direcciones no puede detectar esto: una sesión puede estar permitida por la política de seguridad y, aun así, contener un código malicioso en su carga útil. Un IPS subsana esa laguna inspeccionando el propio tráfico, a velocidad de línea, y actuando en el instante en que reconoce un ataque.

La prevención difiere de la detección desde el punto de vista operativo. Un IDS señala las actividades sospechosas para su revisión posterior; un IPS, situado en línea en el perímetro, descarta el paquete, restablece la conexión o bloquea la fuente de inmediato, sin intervención humana. La implantación de un IPS en todos los puntos de entrada y salida detiene tanto los exploits conocidos como los ataques de día cero, mientras que los sensores del IDS situados dentro del cortafuegos siguen proporcionando a los equipos visibilidad sobre la actividad que ya ha traspasado el perímetro.

¿Qué es un IPS?

Un IPS (sistema de prevención de intrusiones) es la parte de respuesta del sistema de detección y prevención de intrusiones (IDP): inspecciona el tráfico en tiempo real comparándolo con perfiles de vulnerabilidad y, en caso de coincidencia, lleva a cabo una acción configurada en lugar de limitarse a registrarla. La comparación se realiza mediante dos técnicas. La detección basada en firmas compara el tráfico con una base de datos de patrones de ataque conocidos, que se actualiza periódicamente en los paquetes de seguridad. Por su parte, la detección de anomalías establece una línea de referencia del tráfico normal y señala las desviaciones respecto a ella, lo que permite detectar ataques para los que aún no existe una firma.

Desde el punto de vista físico, un IPS se sitúa en línea: el tráfico pasa a través del dispositivo, lo que le permite bloquear un paquete antes de su entrega, pero también convierte al dispositivo en un punto de fallo si deja de funcionar. Un IDS, por el contrario, suele analizar una copia duplicada del tráfico procedente de un puerto «span» o de un «tap» de red, con la limitación de que solo emite alertas en lugar de bloquear el tráfico.

Tipos de IPS

Los perfiles de vulnerabilidad se dividen en dos categorías. Los perfiles predefinidos, mantenidos por el equipo de investigación de seguridad de Versa, son los predeterminados: perfiles generales como el « Versa Recommended Profile» y el « Versa Branch Profile», más reducido, cubren las amenazas más amplias puntuadas según el CVSS, junto con perfiles específicos para Windows, Linux, Mac OS, malware, protocolos de control industrial y movimiento lateral tras la explotación. Los perfiles personalizados permiten al administrador importar o introducir manualmente firmas en formato Snort para aquellas amenazas que la base de datos de un proveedor aún no haya catalogado.

Las acciones de respuesta constituyen un segundo eje, configurable por regla: solo alerta, descartar el paquete, descartar la sesión, rechazar o restablecer el lado del cliente o del servidor; de este modo, se puede ajustar la aplicación de las normas desde un nivel de observación hasta un bloqueo total a medida que aumenta la confianza en una firma, con excepciones disponibles para el tráfico que se sabe que es legítimo.

IPS y Versa

VersaLa funcionalidad IDP forma parte de la gestión unificada de amenazas de VOS, configurada como un perfil de vulnerabilidad y aplicada dentro de una regla de política de acceso del NGFW, de modo que la aplicación del IPS se ejecuta junto con el cortafuegos y la identificación de aplicaciones en una sola pasada. Los administradores suelen partir de un perfil predefinido —el perfil recomendado « Versa » (16 GB de RAM como mínimo) o el perfil « Versa Branch» (8 GB de RAM), más ligero, para sedes más pequeñas— y pueden superponer perfiles de anulación o perfiles de firmas Snort personalizados. Consulte «Configurar la detección y prevención de intrusiones (NGFW) » o la guía de configuración clásica.

Una vez implementado, « Versa Director» realiza un seguimiento del estado de la recopilación de firmas, mientras que « Versa Analytics» muestra las amenazas bloqueadas, los registros del IDP y las capturas de paquetes para su investigación.

Preguntas frecuentes

¿Cuál es la diferencia entre un IDS y un IPS?

Un IDS supervisa una copia del tráfico —procedente de un puerto espejo o de un tap de red— y avisa de cualquier actividad sospechosa sin alterar el flujo. Un IPS se sitúa en línea y bloquea automáticamente esa misma actividad: descartando paquetes, reiniciando conexiones o bloqueando la fuente en tiempo real.

¿Dónde se debe ubicar un IPS en la red?

La aplicación de IPS debe estar presente en todos los puntos de entrada y salida de la empresa, deteniendo las amenazas antes de que entren o salgan de la red por completo. Los sensores IDS situados dentro del cortafuegos y en los nodos internos críticos aportan visibilidad sobre la actividad que ya ha traspasado el perímetro.

¿Cuál es la diferencia entre la detección basada en firmas y la detección basada en anomalías?

La detección basada en firmas compara el tráfico con una base de datos de patrones de ataque conocidos, que se actualiza periódicamente a través de paquetes de seguridad. Por su parte, la detección de anomalías establece una referencia del tráfico normal y señala las desviaciones respecto a ella, lo que le permite detectar nuevos ataques —incluidos los de «día cero»— que aún no están descritos en ninguna firma.

¿Puede un IPS detener los ataques de día cero?

En parte. La detección basada en anomalías puede señalar los exploits de día cero al reconocer el tráfico que se desvía de una línea de referencia aprendida, incluso sin una firma que coincida. La detección basada en firmas no puede detectar un exploit de día cero hasta que exista una firma para él, por lo que la mayoría de las implementaciones utilizan ambas técnicas conjuntamente.

¿Un IPS sustituye a un cortafuegos?

No. Un cortafuegos controla qué sesiones se permiten en función de zonas, direcciones y aplicaciones; un IPS inspecciona la carga útil de las sesiones permitidas en busca de vulnerabilidades y anomalías. En la arquitectura de Versa, el IPS es un perfil de vulnerabilidad que se aplica dentro de una política de NGFW y que funciona junto con el cortafuegos, en lugar de sustituirlo.

Más información sobre IPS

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre el IPS, te recomiendo que eches un vistazo a lo siguiente.