Sistema de Detecção de Intrusões

Um sistema de deteção de intrusões (IDS) é um dispositivo ou aplicação de software que monitoriza uma rede para atividades maliciosas ou violações de políticas. Qualquer atividade maliciosa ou violação é tipicamente reportada ou recolhida centralmente através de um sistema de gestão de eventos e informações de segurança. Alguns IDS são capazes de responder à intrusão detetada após a descoberta. Estes são classificados como sistemas de prevenção de intrusões (IPS).

Tipos de deteção IDS

Existe uma vasta gama de IDS, que vão desde software antivírus até sistemas de monitorização em camadas que acompanham o tráfego de uma rede inteira. As classificações mais comuns são:

• Sistemas de deteção de intrusões na rede (NIDS): Um sistema que analisa o tráfego de rede de entrada.
• Sistemas de deteção de intrusões baseados no anfitrião (HIDS): Um sistema que monitoriza ficheiros importantes do sistema operativo.

Existe também um subconjunto de tipos de IDS. As variantes mais comuns são baseadas na deteção de assinaturas e na deteção de anomalias.

• Baseado em Assinaturas: Um IDS baseado em assinaturas detecta possíveis ameaças procurando por padrões específicos, como sequências de bytes no tráfego de rede ou sequências de instruções maliciosas conhecidas usadas por malware. Esta terminologia tem origem no software antivírus, que se refere a esses padrões detectados como assinaturas. Embora o IDS baseado em assinaturas possa detectar facilmente ataques conhecidos, é impossível detectar novos ataques para os quais não há padrão disponível.
• Baseado em Anomalias: uma tecnologia mais recente projetada para detectar e adaptar-se a ataques desconhecidos, principalmente devido à explosão de malware. Este método de deteção utiliza aprendizagem automática para criar um modelo definido de atividade confiável e, em seguida, compara novos comportamentos com este modelo de confiança. Embora esta abordagem permita a deteção de ataques anteriormente desconhecidos, pode sofrer de falsos positivos: atividades legítimas desconhecidas anteriormente podem ser classificadas acidentalmente como maliciosas.

Utilização de IDS em redes

Quando colocado num ou em vários pontos estratégicos numa rede para monitorizar o tráfego de e para todos os dispositivos na rede, um IDS realizará uma análise do tráfego que passa e comparará o tráfego que é passado nas sub-redes com a biblioteca de ataques conhecidos. Uma vez identificado um ataque, ou quando for detetado um comportamento anormal, o alerta pode ser enviado ao administrador.

Técnicas de evasão

Estar ciente das técnicas disponíveis para criminosos cibernéticos que tentam invadir uma rede segura pode ajudar os departamentos de TI a compreender como os sistemas IDS podem ser enganados para não perder ameaças acionáveis:

• Fragmentação: Enviar pacotes fragmentados permite que o atacante permaneça despercebido, contornando a capacidade do sistema de deteção de identificar a assinatura do ataque.
• Evitar predefinições: Um porto utilizado por um protocolo nem sempre fornece uma indicação ao protocolo que está a ser transportado. Se um atacante o tivesse reconfigurado para usar um porto diferente, o IDS pode não ser capaz de detectar a presença de um trojan.
• Ataques coordenados de baixa largura de banda: coordenar uma varredura entre numerosos atacantes, ou até mesmo alocar várias portas ou hosts para diferentes atacantes. Isto dificulta a correlação dos pacotes capturados pelo IDS e a dedução de que uma varredura de rede está em andamento.
• Falsificação/proxying de endereço: os atacantes podem ocultar a origem do ataque utilizando servidores proxy mal protegidos ou configurados incorretamente para redirecionar um ataque. Se a origem for falsificada e redirecionada por um servidor, torna-se muito difícil de detetar.
• Evasão por mudança de padrão: IDS dependem de correspondência de padrões para detectar ataques. Ao fazer pequenos ajustes na arquitetura do ataque, a detecção pode ser evitada.

Os ambientes empresariais modernos em rede exigem um elevado nível de segurança para garantir a comunicação segura e confiável de informações entre várias organizações. Um sistema de deteção de intrusões atua como uma tecnologia de salvaguarda adaptável para a segurança do sistema depois de as tecnologias tradicionais falharem. Os ataques cibernéticos tornar-se-ão apenas mais sofisticados, por isso é importante que as tecnologias de proteção se adaptem juntamente com as suas ameaças.