Un Sistema de Detección de Intrusos (ID S) es una tecnología de seguridad diseñada para monitorizar las actividades de la red y del sistema en busca de actividades maliciosas o violaciones de las políticas. Un IDS analiza el tráfico para detectar anomalías, patrones de ataque conocidos e intentos de acceso no autorizados, alertando a los administradores de posibles violaciones de la seguridad.
Existen muchas clasificaciones diferentes de sistemas de detección de intrusos. Las clasificaciones más comunes son:
Las soluciones IDS e IDPS utilizan una combinación de técnicas de detección basadas en firmas y en anomalías para analizar el tráfico de red y las actividades del sistema. Así es como funcionan:
Los sistemas de detección de intrusos (IDS) y los sistemas de detección y prevención de intrusos (IDPS) son componentes esenciales de la estrategia de ciberseguridad de una organización por varias razones:
Hoy en día, los atacantes pueden evadir y evitar fácilmente las técnicas de detección perimetral y de malware . La evasión de la detección puede adoptar una de las cinco características siguientes, o una combinación de todas ellas:
El enfoque más directo para evadir IDPS basado en firmas es usar tráfico que no coincida con firmas conocidas. Esto puede ser trivial o muy complejo. Por ejemplo, la detección de firmas se basa a menudo en direcciones IP y URL comprometidas "conocidas" utilizadas por botnets y malware. Para los atacantes, evitarlo es tan fácil como registrar un nuevo dominio.
En el otro extremo del espectro, atacantes altamente sofisticados pueden encontrar y explotar vulnerabilidades previamente desconocidas. Los ataques a tales vulnerabilidades "desconocidas" carecen naturalmente del tipo de firma que el IDPS puede estar intentando localizar.
Otra forma de evitar las firmas es ocultar el tráfico. Esto puede ser tan sencillo como cifrar el tráfico de red malicioso. Aunque el descifrado SSL en el perímetro es una opción, resulta costosa al introducir penalizaciones de rendimiento y se ha vuelto complicada de poner en funcionamiento.
Los sofisticados atacantes actuales utilizan un cifrado personalizado que no puede descifrarse, ni siquiera en las mejores circunstancias. Esto deja a los equipos de seguridad la decisión de bloquear o permitir el tráfico desconocido en el perímetro.
Los atacantes han aprendido a evitar por completo el perímetro y sus protecciones. Al infectar los dispositivos de los usuarios en casa o fuera del perímetro, las amenazas pueden entrar por la puerta principal.
En particular, los dispositivos móviles proporcionan rutas lógicas y físicas alrededor del perímetro. Los dispositivos móviles con conectividad de datos LTE o 5G tienen rutas fáciles a Internet y actúan como un conducto invisible que a los atacantes les encanta utilizar para entrar en las redes.
Dado que los IDPS se centran casi exclusivamente en el perímetro, una vez rodeadas las defensas iniciales, los atacantes pueden moverse con mucha más libertad. Esto implica un proceso continuo de reconocimiento interno, movimiento lateral y acceso y robo de activos clave. Cada área emplea una amplia variedad de técnicas de ataque, y todas ellas tienen lugar dentro de la red, donde la visibilidad suele ser baja.
Yendo un paso más allá, con la aparición de los despliegues híbridos y multicloud, las brechas de visibilidad de la red a menudo se extienden a las conexiones entre las instancias de computación y almacenamiento. A los ciberatacantes les encanta aprovechar esta brecha de visibilidad.
Una vez dentro de la red, los atacantes astutos no necesitan exploits ni malware para extender su incursión. En su lugar, simplemente recogen credenciales de usuario de hosts comprometidos para propagarse por la red. Normalmente, capturan el nombre de usuario y el inicio de sesión durante el proceso de autenticación o roban credenciales o hashes de la memoria. En ambos casos, los atacantes pueden propagarse por la red utilizando credenciales válidas sin tener que usar exploits o malware.
Aunque las soluciones IDS/IDPS desempeñan un papel crucial en la seguridad de la red, es posible que por sí solas no proporcionen una protección completa contra las ciberamenazas avanzadas y en evolución. Aquí es donde entra en juego Vectra AI .
Vectra AI ofrece una plataforma avanzada de detección y respuesta a amenazas que va más allá de las capacidades IDS/IDPS tradicionales.
Aprovechando la inteligencia artificial y los algoritmos de aprendizaje automático, Vectra AI analiza el tráfico de red y los comportamientos de los usuarios en tiempo real, detectando ataques sofisticados que pueden eludir los sistemas IDS/IDPS.
Vectra AILa capacidad de para identificar amenazas ocultas, ataques de día cero y amenazas internas llena el vacío de seguridad dejado por las soluciones IDS/IDPS, permitiendo a las organizaciones defender sus redes de forma proactiva y responder rápidamente a las amenazas emergentes. Con Vectra AI, las empresas pueden mejorar su postura global de seguridad y mantenerse un paso por delante de los ciberdelincuentes.
> Lea por qué los equipos de seguridad están sustituyendo sus antiguos IDPS por NDR
Póngase en contacto con nosotros para descubrir cómo podemos ayudarle a reforzar sus defensas y lograr una postura de ciberseguridad más resistente.