Please enable JavaScript.

Coggle requires JavaScript to display documents.

IDS e IPS - Coggle Diagram

- - - - Como um IPS pode bloquear diretamente o tráfego malicioso, ele pode reduzir a carga de trabalho das equipes de segurança e dos centros de operações de segurança (SOCs), permitindo que se concentrem em ameaças mais complexas. Os IPSs podem ajudar a aplicar políticas de segurança da rede bloqueando ações não autorizadas de usuários legítimos e podem apoiar os esforços de conformidade.
- - - - Os métodos de detecção baseados em assinatura analisam pacotes de rede em busca de assinaturas de ataques — características ou comportamentos únicos associados a uma ameaça específica. Uma sequência de código que aparece em uma variante particular de malware é um exemplo de uma assinatura de ataque.
        
        Detecção baseada em anomalias
        
        Os métodos de detecção baseados em anomalias usam inteligência artificial e aprendizado de máquina para criar e refinar continuamente um modelo de atividade normal da rede. O IPS compara a atividade contínua da rede com o modelo e responde quando encontra desvios, como um processo que usa mais largura de banda do que o habitual ou um dispositivo que abre uma porta que geralmente está fechada.
        
        Detecção baseada em políticas
        
        Os métodos de detecção baseados em políticas são baseados nas políticas de segurança definidas pela equipe de segurança. Sempre que um IPS baseado em políticas detecta uma ação que viola uma política de segurança, ele bloqueia a tentativa.
        
        Métodos de detecção de ameaças menos comuns
        
        1 more item...
- - - - A detecção baseada em assinatura analisa pacotes de rede em busca de assinaturas de ataque, características ou comportamentos exclusivos associados a uma ameaça específica. Um trecho de código que aparece em uma variante específica de malware é um exemplo de assinatura de ataque. Um IDS baseado em assinatura mantém um banco de dados de assinaturas de ataques contra o qual compara os pacotes de rede.
        
        Detecção baseada em anomalias
        
        Os métodos de detecção baseada em anomalia usam aprendizado de máquina para criar (e refinar continuamente) um modelo de referência da atividade normal da rede. Em seguida, comparam a atividade da rede com o modelo e sinalizam desvios — como um processo que usa mais largura de banda do que o normal ou um dispositivo abrindo uma porta.
        
        Métodos de detecção menos comuns
        
        A detecção baseada em reputação bloqueia o tráfego de endereços IP e domínios associados a atividades maliciosas ou suspeitas. A análise de protocolo com estado foca no comportamento do protocolo — por exemplo, pode identificar um ataque de denial-of-service (DoS) detectando um único endereço IP fazendo muitas solicitações de conexão TCP simultâneas em um curto período.
        Seja qual for o(s) método(s) usado(s), quando um IDS detecta uma ameaça potencial ou violação de política, ele alerta a equipe de resposta a incidentes para investigar. Os IDSs também mantêm registros de incidentes de segurança, seja em seus próprios logs ou registrando-os com uma ferramenta de gerenciamento de eventos e informações de segurança (SIEM) (consulte "IDS e outras soluções de segurança" abaixo). Esses logs de incidentes podem ser usados para refinar os critérios do IDS, como adicionar novas assinaturas de ataque ou atualizar o modelo de comportamento de rede.
- - - - Um IDS pode ajudar a acelerar e automatizar a detecção de ameaças na rede, alertando os administradores de segurança sobre ameaças conhecidas ou potenciais, ou enviando alertas para uma ferramenta centralizada de segurança. Os IDSs também podem apoiar os esforços de conformidade. Porem um IDS não pode parar ameaças de segurança por conta própria. Atualmente, os recursos do IDS são normalmente integrados ou incorporados a sistemas de prevenção de intrusões (IPSs), que podem detectar ameaças à segurança e agir automaticamente para evitá-las.
- - - - As soluções IPS podem ser aplicações de software instalados em endpoints, dispositivos de hardware dedicados conectados à rede ou entregues como serviços em nuvem. Como os IPSs devem ser capazes de bloquear atividades maliciosas em tempo real, eles são sempre colocados "em linha" na rede, o que significa que o tráfego passa diretamente pelo IPS antes de chegar ao seu destino.
        Os IPSs são categorizados com base em onde se encontram numa rede e que tipo de atividade monitorizam. Muitas organizações usam vários tipos de IPSs em suas redes.
- - - - São instalados em um endpoint específico, como um laptop, roteador ou servidor. O HIDS monitora apenas a atividade nesse dispositivo, incluindo o tráfego de e para ele. Um HIDS normalmente funciona tirando instantâneos periódicos de arquivos críticos do sistema operacional e comparando esses instantâneos ao longo do tempo. Se o HIDS perceber uma alteração, como edição de arquivos de log ou alteração de configurações, ele alertará a equipe de segurança.
        As equipes de segurança muitas vezes combinam sistemas de detecção de intrusão baseados em rede e sistemas de detecção de intrusão baseados em host. O NIDS analisa o tráfego em geral, enquanto o HIDS pode adicionar proteção extra em torno de ativos de alto valor. Um HIDS também pode ajudar a capturar atividades maliciosas de um nó de rede comprometido, como ransomware se espalhando de um dispositivo infectado.