Intrusion prevention system
Cechą systemu IPS jest to, że poza tym, że wykrywa ataki na systemy teleinformatyczne (tak, jak w przypadku systemu IDS), to uniemożliwia ich przeprowadzanie. Od strony technicznej IPS w dużym uproszczeniu jest połączeniem IDS z systemem Firewall. W zakresie topologii, systemy IPS dzielą się na rozwiązania sieciowe, a w tym bazujące na sondzie pasywnej podłączonej do portu monitorującego przełącznika, analizującej wszystkie pakiety w danym segmencie sieci oraz inline – z sondą umieszczoną pomiędzy dwoma segmentami sieci, pozbawioną adresów IP i działającą w trybie przezroczystego mostu przekazującego wszystkie pakiety w sieci. Sensory IPS porównują ruch sieciowy z sygnaturami. Sygnatury mają trzy charakterystyczne cechy: typ sygnatury, trigger oraz podejmowana akcja.
Dla naszych klientów, konfigurujemy systemy IPS w jednym z dwóch wariantów:
- Network-Based IPS (NIPS)
- Host-Based IPS (HIPS)
Network-Based IPS (NIPS)
W przypadku technologii NIPS sensory są podłączone do segmentów sieci, przy czym pojedynczy sensor może monitorować kilka komputerów. Rozbudowa sieci nie wpływa na skuteczność ochrony dodanych urządzeń, które wprowadzono bez dodatkowych sensorów. Sensory te są urządzeniami sieciowymi dostosowanymi do zapobiegania włamaniom określonego typu.
Host-Based IPS (HIPS)
HIPS jest programowym agentem instalowanym na systemie operacyjnym podlegającym ochronie. Zapewnia on wykrycie i ochronę przed atakami. Nie wymaga dedykowanego sprzętu, ale chroni tylko jeden komputer. Rozbudowa sieci wpływa na skuteczność ochrony dodanych urządzeń.
Charakterystyka NIPS
Efektywne kosztowo (pojedynczy sensor może chronić dużą sieć),zapewniają analizę ruchu podczas ataków w niższych warstwach modelu ISO/OSI, są niezależnym systemem operacyjnym, mają wiele możliwości wykrywania, są niewidoczne w sieci (brak przypisanego IP). Ograniczenia sieciowych IPS to przede wszystkim wydajność: mogą być przeciążone ruchem sieciowym, mogą wystąpić różnice między ruchem sieciowym postrzeganym przez IPS i odbieranym przez cel, nie działają w sieci szyfrowanej.
Charakterystyka HIPS
Nieefektywne kosztowo, gdyż HIPS jest dedykowany systemowi, na którym jest zainstalowany,rejestruje informacje o przeprowadzonych przez intruza atakach, szyfrowanie transmisji danych nie ogranicza działania systemu. Ograniczenia HIPS to przede wszystkim brak możliwości korelowania zdarzeń w przypadku obserwacji odosobnionych agentów, każdy agent wymaga licencji, brak oprogramowania (agent) dla niektórych platform programowych wprowadzony przez dostawcę systemu.
Systemy Intrusion Prevention System IPS w hierarchii zabezpieczania infrastruktury teleinformatycznej firmy, powinny one być lokowane jako kolejne zaraz po firewallu oraz IDS czyli Intrusion Detection System. Takie rozwiązania umożliwiają zwiększenie poziomu bezpieczeństwa sieci komputerowych poprzez wzmocnienie kontroli komunikacji pomiędzy sieciami o różnym stopniu zaufania. Skuteczny system ochrony bazujący na IDS/IPS powinien uwzględniać specyfikę działalności firmy, szacowane źródła zagrożeń sieci komputerowej i na tej podstawie przyjąć poziom rozwiązania – wynikający z przeprowadzonej analizy ryzyka.
Zapraszamy do kontaktu.