Please enable JavaScript.

Coggle requires JavaScript to display documents.

IDS e IPS - Coggle Diagram

- - - - Os métodos de detecção baseados em assinatura analisam pacotes de rede em busca de assinaturas de ataques características ou comportamentos únicos associados a uma ameaça específica. Uma sequência de código que aparece em uma variante particular de malware é um exemplo de uma assinatura de ataque.
    - - O IPS compara a atividade contínua da rede com o modelo e responde quando encontra desvios, como um processo que usa mais largura de banda do que o habitual ou um dispositivo que abre uma porta que geralmente está fechada.
    - - Sempre que um IPS baseado em políticas detecta uma ação que viola uma política de segurança, ele bloqueia a tentativa.
- - - - Alguns IPSs podem impedir que invasores e usuários não autorizados façam qualquer coisa que viole as políticas de segurança da empresa. Por exemplo, se um usuário tentar transferir informações confidenciais de um banco de dados do qual não deveria sair, o IPS o bloqueará.
- - - - Um IDS pode ajudar a acelerar e automatizar a detecção de ameaças na rede, alertando os administradores de segurança sobre ameaças conhecidas ou potenciais, ou enviando alertas para uma ferramenta centralizada de segurança.
      - o que o IDS NÃO pode fazer?
        
        Um IDS não pode parar ameaças de segurança por conta própria. Atualmente, os recursos do IDS são normalmente integrados ou incorporados a sistemas de prevenção de intrusões (IPSs), que podem detectar ameaças à segurança e agir automaticamente para evitá-las.
- - - - colocando os IDSs offline, inundando-os com tráfego obviamente malicioso de diversas fontes. Quando os recursos do IDS são sobrecarregados pelas ameaças falsas, os hackers entram sorrateiramente.
    - - falsificação de endereços IP e registros de DNS para fazer parecer que o tráfego vem de uma fonte confiável.
    - - divisão do malware ou de outras cargas maliciosas em pequenos pacotes, obscurecendo a assinatura e evitando a detecção. Ao atrasar estrategicamente os pacotes ou enviá-los fora de ordem, os hackers podem impedir que o IDS reembale-os e observe o ataque.
    - - uso de protocolos criptografados para contornar um IDS se o IDS não tiver a chave de descriptografia correspondente.
    - - gerar um grande número de alertas de IDS propositalmente para distrair a equipe de resposta a incidentes de sua atividade real.
- - - - Os alertas de IDSs geralmente são canalizados para o SIEM de uma organização, onde podem ser combinados com alertas e informações de outras ferramentas de segurança em um único painel centralizado. A integração do IDS com o SIEMs permite que as equipes de segurança enriqueçam os alertas do IDS com inteligência de ameaças e dados de outras ferramentas, filtrem alarmes falsos e priorizem incidentes para correção.
    - - Como os IPSs são projetados para interromper ataques cibernéticos, geralmente são colocados em linha, o que significa que todo o tráfego deve passar pelo IPS antes de alcançar o restante da rede.
        Algumas organizações implementam um IDS e um IPS como soluções separadas. Mais frequentemente, IDS e IPS são combinados em um único sistema de detecção e prevenção de intrusões (IDPS), que detecta intrusões, as registra, alerta as equipes de segurança e responde automaticamente.
    - - IDSs e firewalls são complementares. Os firewalls enfrentam o exterior da rede e atuam como barreiras usando conjuntos de regras predefinidas para permitir ou bloquear o tráfego. Os IDSs geralmente ficam perto dos firewalls e ajudam a capturar qualquer coisa que passe por eles. Alguns firewalls, especialmente os firewalls de próxima geração, têm funções integradas de IDS e IPS.