Bedrijven gebruiken voornamelijk twee soorten systemen om netwerkinbraken tegen te gaan: Intrusion Detection System (IDS) en Intrusion Prevention System (IPS). Hoewel de twee systemen grotendeels op elkaar lijken, is het belangrijk om de belangrijkste verschillen te begrijpen.
Intrusion Detection Systems (IDS) werken via een proces waarbij gebeurtenissen op het netwerk worden gemonitord en geanalyseerd om mogelijke inbreuken op het netwerk of schending van beveiligingsmarkeringen te detecteren. Dit is voornamelijk een reactief proces waarbij alle inkomende en uitgaande netwerkactiviteit wordt gemonitord en alle tekenen van inbraak in de systemen die de bedrijfsvoering in gevaar kunnen brengen, worden gemarkeerd. De belangrijkste functie ervan is om een waarschuwing te genereren wanneer dergelijke activiteiten worden ontdekt en daarom staat het algemeen bekend als een passief monitoringsysteem.
IDS gebruikt de volgende technieken om aanvallen te detecteren:
Op handtekeningen gebaseerde detectie
Met deze methode detecteert IDS een aanval met een patroon of handtekening die overeenkomt met een bekend type aanval. Handtekeningen worden vergeleken met eerder waargenomen gebeurtenissen om een mogelijke aanval te identificeren. Een IPS-systeem zou bijvoorbeeld een e-mail met een onderwerpregel als 'Gratis afbeeldingen' markeren, omdat dit een bekende handtekening van malware is. Dit type detectie is effectief voor het detecteren van aanvallen die in het systeem zijn geregistreerd.
Anomalie-gebaseerde detectie
Bij de Anomaly-Based Detection-methode vergelijkt IDS netwerkactiviteit met een normaal activiteitsprofiel. Wanneer er netwerkactiviteit wordt waargenomen die afwijkend is van dit normale profiel, kan het systeem dit markeren. IDS detecteert bijvoorbeeld een incident wanneer het grote hoeveelheden dataverkeer op een netwerk waarneemt die aanzienlijk hoger zijn dan het normale patroon. Bij dit type methode moet het profiel echter continu worden bijgewerkt, omdat er vals-positieve meldingen kunnen optreden.
Intrusion Prevention Systems (IPS) zijn qua mogelijkheden een stap verder dan IDS. Waar IDS een reactief mechanisme is, is IPS proactief en probeert het de detectie een stap voor te zijn door actief te voorkomen dat de gedetecteerde dreiging slaagt. Het is een actief controlemechanisme dat de netwerkverkeersstroom monitort. Het identificeert en voorkomt misbruik van kwetsbaarheden in de vorm van kwaadaardige invoer die indringers gebruiken om een applicatie of systeem te verstoren en over te nemen.
IPS-technologieën proberen een gedetecteerde aanval te stoppen door een aantal van de onderstaande acties:
Netwerkverbinding beëindigen
Het IPS kan proberen een gedetecteerde aanval binnen het netwerk te stoppen door de verbinding die voor de aanval wordt gebruikt te verbreken en de toegang van het doelwit vanaf het in overtreding zijnde account te blokkeren.
Automatisering van beveiligingscontroles
Wanneer een IPS een aanval of kwetsbaarheden binnen een host detecteert, kan het proberen schade te voorkomen door een aantal vooraf ingestelde geautomatiseerde beveiligingsmaatregelen toe te passen. Dit kan bijvoorbeeld door patches te downloaden of de instellingen van een firewall opnieuw te configureren.
Probeer de aanval goedaardig te maken
Een IPS kan een aanval proberen tegen te gaan door deze zo onschuldig mogelijk te maken. Dit kan bijvoorbeeld door een schadelijke bijlage uit een e-mail te verwijderen.
Seqrite's Unified Threat Management (UTM) biedt een totaaloplossing voor alle beveiligingsbehoeften van ondernemingen, met standaard detectie en preventie van indringers.
De ingebouwde IDS- en IPS-componenten van UTM zorgen voor de veiligheid van ondernemingen door:
- Bedreigingen in realtime monitoren, evalueren en detecteren
- Het voorkomen van Denial of Service (DoS)/Distributed Denial of Service (DDoS)-aanvallen
- Voorkomen dat aanvallers open poorten ontdekken
Seqrite Het IPS van UTM fungeert als een beveiligingsbarrière tegen ongewenste indringers in uw netwerk en voorkomt een breed scala aan DoS- en DDoS-aanvallen voordat ze het netwerk bereiken. Het implementeren van dit beveiligingsniveau kan een onderneming op verschillende manieren voordelen bieden, waaronder:
- Biedt in één oogopslag een momentopname van de netwerkbeveiliging
- Bescherming van bedrijfsactiva binnen het netwerk
- Triggers die worden geactiveerd bij detectie van een vermoedelijke inbreuk of activiteit in het netwerk
- Een holistische benadering van het voorkomen van indringers
