Detecção e prevenção de intrusão de rede

Um sistema de prevenção e detecção de intrusão de rede (IDPS) representa a interseção entre a detecção e a prevenção de intrusão. Ele monitora e analisa o tráfego de rede em busca de atividades suspeitas ou anormais. A identificação de uma possível ameaça é baseada em uma combinação de aprendizagem profunda e regras predefinidas.  

Às vezes, isso pode envolver o envio de um alerta para um administrador de rede. O IDPS pode bloquear o tráfego do endereço de origem ou até mesmo envolver outras soluções de segurança cibernética para atenuar um possível ataque. Algumas soluções de IDPS podem até mesmo neutralizar ataques removendo softwares ou códigos mal-intencionados.

Como a maioria dos criminosos, os agentes de ameaças trabalham melhor quando podem operar nas sombras, longe dos olhos curiosos das equipes de segurança. Permitir que eles façam isso não é uma opção. É seu trabalho iluminar os atacantes e detê-los em seu caminho.

Os Sistemas de Detecção de Intrusão (IDSs) e os Sistemas de Prevenção de Intrusão (IPSs) juntos permitem que você faça exatamente isso.

Como o nome sugere, há dois lados na funcionalidade de um IDP : detecção e prevenção. Ou, em outras palavras, como o sistema identifica e corrige as ameaças. De acordo com o National Institute of Standards and Technology, há três classes principais de metodologias de detecção.

1. A detecção baseada em assinatura baseia-se na correspondência de padrões de atividade ou comportamento com ameaças conhecidas. Isso pode incluir características conhecidas de malware, configurações anormais do sistema ou violações aparentes da política de segurança de uma organização. A principal deficiência da detecção baseada em assinatura é que ela não é capaz de compreender ou avaliar comunicações complexas ou reconhecer uma ameaça previamente desconhecida.

2. A detecção baseada em anomalias compara a atividade da rede com uma linha de base estabelecida, sinalizando qualquer desvio como potencialmente malicioso. A única desvantagem real da detecção baseada em anomalias é que ela exige tempo para treinar o sistema e estabelecer um perfil comportamental para cada entidade em uma rede. Um usuário inexperiente também pode incluir inadvertidamente atividades mal-intencionadas como parte de um perfil.

3. A análise de protocolos com estado é semelhante à detecção baseada em anomalias, exceto pelo fato de que ela utiliza perfis comportamentais desenvolvidos pelo fornecedor que podem ser aplicados universalmente. Embora possam consumir muitos recursos, elas geralmente identificam ataques que outros métodos não detectam. Dito isso, é possível enganar um sistema de análise de protocolo com estado mascarando a atividade mal-intencionada com um comportamento de protocolo aceitável.

Os recursos de prevenção podem ser passivos ou ativos e incluem:

• Encerrar uma sessão do TPC
• Ativação de um firewall em linha
• Limitação do uso da largura de banda
• Alteração ou remoção de conteúdo malicioso
• Reconfiguração de dispositivos de segurança de rede
• Ativação de um script ou programa de terceiros