IDS: ¿Qué es un Sistema de Detección de Intrusiones?

Los ataques que acaparan los titulares demuestran su potencial para causar grandes destrozos. Por cada gran violación de seguridad, cientos de ataques devastan a pequeñas empresas y a sus clientes.

Los cortafuegos y los programas antimalware por sí solos no son suficientes para proteger una red completa de un ataque. Una estrategia de seguridad completa también debe incluir un sistema de detección de intrusiones (IDS) que identifique el tráfico sospechoso una vez que pasa el cortafuegos y entra en la red.

Este artículo es una introducción a los sistemas de detección de intrusiones y el papel que desempeñan los IDS en la seguridad de la red. Sigue leyendo para aprender cómo funcionan estos sistemas y por qué son vitales para prevenir costosos tiempos de inactividad y violaciones de datos.

¿Qué es un Sistema de Detección de Intrusiones (IDS)?

Un sistema de detección de intrusiones (IDS) es una aplicación o dispositivo que monitorea el tráfico de red entrante y saliente, analizando continuamente la actividad para detectar cambios en los patrones y alertando a un administrador cuando detecta un comportamiento inusual. Un administrador luego revisa las alarmas y toma medidas para eliminar la amenaza.

Por ejemplo, un IDS podría inspeccionar los datos transportados por el tráfico de red para ver si contiene malware conocido u otro contenido malicioso. Si detecta este tipo de amenaza, envía una alerta a tu equipo de seguridad para que pueda investigarlo y solucionarlo. Una vez que tu equipo recibe la alerta, debe actuar rápidamente para evitar que un ataque se apodere del sistema.

Para garantizar que un IDS no ralentice el rendimiento de la red, estas soluciones suelen utilizar un analizador de puertos conmutados (SPAN) o un puerto de acceso de prueba (TAP) para analizar una copia del tráfico de datos en línea. Sin embargo, no bloquean las amenazas una vez que ingresan a la red, como lo hacen los sistemas de prevención de intrusiones.

Independientemente de si configuras un dispositivo físico o un programa IDS, el sistema puede:

• Reconocer patrones de ataque dentro de los paquetes de red.
• Monitorear el comportamiento del usuario.
• Identificar actividad de tráfico anormal.
• Asegurarse de que la actividad del usuario y del sistema no vaya en contra de las políticas de seguridad.

La información de un sistema de detección de intrusiones también puede ayudar al equipo de seguridad a:

• Auditar la red en busca de vulnerabilidades y configuraciones deficientes.
• Evaluar la integridad de los sistemas y archivos críticos.
• Crear controles y respuestas a incidentes más efectivos.
• Analizar la cantidad y los tipos de amenazas cibernéticas que atacan la red.

Además de los beneficios de ciberseguridad, un IDS también ayuda a lograr el cumplimiento normativo. Una mayor visibilidad de la red y un mejor registro garantizan que las operaciones de la red se mantengan en línea con todas las regulaciones relevantes.

Nuestro artículo sobre los tipos de seguridad de red explica qué otras medidas además de los IDS pueden implementar las empresas para mantener a los intrusos alejados de los datos y recursos valiosos.

Objetivos de los Sistemas de Detección de Intrusiones

Un cortafuegos por sí solo no proporciona una protección adecuada contra las amenazas cibernéticas modernas. El malware y otros contenidos maliciosos a menudo se envían utilizando tipos de tráfico legítimos, como el correo electrónico o el tráfico web. Un IDS proporciona la capacidad de inspeccionar el contenido de estas comunicaciones e identificar cualquier malware que puedan contener.

El objetivo principal de un IDS es detectar anomalías antes de que los piratas informáticos completen su objetivo. Una vez que el sistema detecta una amenaza, el IDS informa al personal de TI y proporciona la siguiente información sobre el peligro:

• La dirección de origen de la intrusión.
• Direcciones de destino y víctima.
• El tipo de amenaza.

El objetivo secundario de un sistema de detección de intrusiones es observar a los intrusos e identificar:

• Qué recursos intentan acceder los atacantes.
• Cómo intentan los piratas informáticos eludir los controles de seguridad.
• Qué tipos de ciberataques inician los intrusos.

El centro de operaciones de seguridad (SOC) y los analistas de la empresa pueden utilizar esta información para mejorar la estrategia de seguridad de la red.

La detección y notificación de anomalías son las dos funciones principales de un sistema de detección de intrusiones. Sin embargo, algunos sistemas de detección pueden responder a actividades maliciosas, como bloquear automáticamente una dirección IP o cerrar el acceso a archivos confidenciales. Los sistemas con estas capacidades de respuesta son sistemas de prevención de intrusiones (IPS).

Lee sobre los conceptos básicos de la seguridad de red y aprende cómo las empresas cuidadosas mantienen las redes seguras del acceso no autorizado y el mal uso.

¿Cómo funcionan los Sistemas de Detección de Intrusiones?

Un IDS monitorea el tráfico hacia y desde todos los dispositivos de una red. El sistema opera detrás de un cortafuegos como un filtro secundario para paquetes maliciosos y busca principalmente dos pistas sospechosas:

• Firmas de ataques conocidos.
• Desviaciones de la actividad regular.

Un sistema de detección de intrusiones normalmente se basa en la correlación de patrones para identificar amenazas. Este método permite a un IDS comparar paquetes de red con una base de datos con firmas de ciberataques conocidos. Los ataques más comunes que un IDS puede marcar con correlación de patrones son:

• Malware (gusanos, ransomware, troyanos, virus, bots, etc.).
• Ataques de escaneo que envían paquetes a la red para recopilar información sobre puertos abiertos o cerrados, tipos de tráfico permitidos, hosts activos y versiones de software.
• Enrutamiento asimétrico que envía un paquete malicioso y evita los controles de seguridad con diferentes rutas de entrada y salida.
• Ataques de desbordamiento de búfer que reemplazan el contenido de la base de datos con archivos ejecutables maliciosos.
• Ataques específicos de protocolo que se dirigen a un protocolo específico (ICMP, TCP, ARP, etc.).
• Violaciones de inundación de tráfico que sobrecargan la red, como un ataque DDoS.

Una vez que un IDS descubre una anomalía, el sistema marca el problema y hace sonar la alarma. La alerta puede variar desde una simple nota en un registro de auditoría hasta un mensaje urgente para un administrador de TI. El equipo luego soluciona el problema e identifica la causa raíz del problema.

¿Cuáles son los tipos de Sistemas de Detección de Intrusiones?

Hay dos tipos principales de IDS según dónde los configura el equipo de seguridad:

• Sistema de detección de intrusiones de red (NIDS / Network Intrusion Detection System).
• Sistema de detección de intrusiones de host (HIDS / Host Intrusion Detection System).

La forma en que un sistema de detección de intrusiones detecta actividades sospechosas también nos permite definir dos categorías:

• Un sistema de detección de intrusiones basado en firmas (SIDS A Signature-based Intrusion Detection System).
• Un sistema de detección de intrusiones basado en anomalías (AIDS / An anomaly-based Intrusion Detection System).

Dependiendo de tu caso de uso y presupuesto, puedes implementar un NIDS o un HIDS o confiar en ambos tipos principales de IDS. Lo mismo se aplica a los modelos de detección, ya que muchos equipos configuran un sistema híbrido con capacidades SIDS y AIDS.

Antes de determinar una estrategia, debes comprender las diferencias entre los tipos de IDS y cómo se complementan entre sí. Veamos cada uno de los cuatro tipos principales de IDS, sus ventajas y desventajas, y cuándo usarlos.

Sistema de Detección de Intrusiones de Red (NIDS)

Un sistema de detección de intrusiones basado en red monitorea y analiza el tráfico que llega y sale de todos los dispositivos de red. Un NIDS opera desde un punto estratégico (o puntos, si implementas múltiples sistemas de detección) dentro de la red, normalmente en puntos de estrangulamiento de datos.

Ventajas de un NIDS:

• Proporciona seguridad IDS en toda la red.
• Unos pocos NIDS estratégicamente ubicados pueden monitorear una red de tamaño empresarial.
• Un dispositivo pasivo que no compromete la disponibilidad o el rendimiento de la red.
• Relativamente fácil de asegurar y ocultar de los intrusos.
• Cubre las partes de las redes donde el tráfico es más vulnerable.

Desventajas de un NIDS:

• Caro de configurar.
• Si un NIDS debe monitorear una red extensa o concurrida, el sistema puede sufrir una baja especificidad y una violación ocasional inadvertida.
• Detectar amenazas dentro del tráfico encriptado puede ser problemático.
• Normalmente no es ideal para redes basadas en conmutadores.

Sistema de Detección de Intrusiones de Host (HIDS)

Un HIDS opera desde un punto final específico donde monitorea el tráfico de red y los registros del sistema hacia y desde un solo dispositivo.

Este tipo de seguridad IDS se basa en instantáneas regulares, conjuntos de archivos que capturan el estado completo del sistema. Cuando el sistema toma una instantánea, el IDS la compara con el estado anterior y verifica si hay archivos o configuraciones que faltan o han sido alterados.

Ventajas de un HIDS:

• Ofrece una visibilidad profunda del dispositivo host y su actividad (cambios en la configuración, permisos, archivos, registro, etc.).
• Una excelente segunda línea de defensa contra un paquete malicioso que un NIDS no detectó.
• Bueno para detectar paquetes que se originan dentro de la organización, como cambios no autorizados en archivos desde una consola del sistema.
• Eficaz para detectar y prevenir violaciones de la integridad del software.
• Mejor para analizar el tráfico encriptado que un NIDS debido a menos paquetes.
• Mucho más barato que configurar un NIDS.

Desventajas de un HIDS:

• Visibilidad limitada, ya que el sistema solo monitorea un dispositivo.
• Menos contexto disponible para la toma de decisiones.
• Difícil de administrar para grandes empresas, ya que el equipo necesita configurar y manejar información para cada host.
• Más visible para los atacantes que un NIDS.
• No es bueno para detectar exploraciones de red u otros ataques de vigilancia en toda la red.

Sistema de Detección de Intrusiones Basado en Firmas (SIDS)

Un SIDS monitorea los paquetes que se mueven a través de una red y los compara con una base de datos de firmas o atributos de ataque conocidos. Este tipo común de seguridad IDS busca patrones específicos, como secuencias de bytes o instrucciones.

Ventajas de un SIDS:

Ver también

Blog CCNA

Tecnología y azar: cómo las nuevas tecnologías están revolucionando el juego

• Funciona bien contra atacantes que utilizan firmas de ataque conocidas.
• Útil para descubrir intentos de ataque de baja habilidad.
• Eficaz para monitorear el tráfico de red entrante.
• Puede procesar eficientemente un alto volumen de tráfico de red.

Desventajas de un SIDS:

• No puede identificar una violación sin una firma específica en la base de datos de amenazas.
• Un pirata informático experto puede modificar un ataque para evitar que coincida con las firmas conocidas, como cambiar las minúsculas a mayúsculas o convertir un símbolo a su código de carácter.
• Requiere actualizaciones regulares de la base de datos de amenazas para mantener el sistema actualizado con los últimos riesgos.

Sistema de Detección de Intrusiones Basado en Anomalías (AIDS)

Un AIDS monitorea el tráfico de red en curso y analiza los patrones en relación con una línea de base. Va más allá del modelo de firma de ataque y detecta patrones de comportamiento malicioso en lugar de patrones de datos específicos.

Este tipo de IDS utiliza el aprendizaje automático para establecer una línea de base del comportamiento esperado del sistema (modelo de confianza) en términos de ancho de banda, protocolos, puertos y uso del dispositivo. El sistema puede luego comparar cualquier comportamiento nuevo con modelos de confianza verificados y descubrir ataques desconocidos que un IDS basado en firmas no puede identificar.

Por ejemplo, alguien del departamento de Ventas que intenta acceder al backend del sitio web por primera vez puede no ser una señal de alerta para un SIDS. Sin embargo, para una configuración basada en anomalías, una persona que intenta acceder a un sistema sensible por primera vez es motivo de investigación.

Ventajas de un AIDS:

• Puede detectar signos de tipos de ataque desconocidos y amenazas novedosas.
• Se basa en el aprendizaje automático y la IA para establecer un modelo de comportamiento confiable.

Desventajas de un AIDS:

• Complejo de administrar.
• Requiere más recursos de procesamiento que un IDS basado en firmas.
• Las grandes cantidades de alarmas pueden abrumar a los administradores.

Fortalezas y Limitaciones de los IDS

La fortaleza obvia de implementar un IDS es la información crítica sobre la actividad de la red. La detección temprana de comportamientos inusuales ayuda a minimizar el riesgo de ciberataques y a garantizar una mejor salud general de la red.

Usar un IDS para proteger una red es una estrategia válida para mejorar la seguridad. Cuando se combina con un programa antimalware robusto y un cortafuegos, un IDS garantiza que el equipo:

• Se mantiene a la vanguardia de un gran porcentaje de problemas cibernéticos, ya sean causados por un actor malicioso, un accidente o un error.
• No necesita revisar miles de registros del sistema para obtener información crítica.
• Puede hacer cumplir de forma fiable las políticas de seguridad de la empresa a nivel de red.

Los IDS (e incluso los IPS) también se están volviendo más baratos y fáciles de administrar, por lo que incluso las PYME con presupuestos más pequeños y menos personal de TI pueden confiar en esta estrategia. A pesar de todos los beneficios, sin embargo, los IDS también tienen algunos desafíos únicos:

• Evitar un IDS es la prioridad para un ataque exitoso, lo que convierte a estos sistemas en el objetivo principal de los piratas informáticos.
• Detectar actividades maliciosas dentro del tráfico encriptado es un problema común.
• Un IDS puede ser menos eficaz en una red con grandes cantidades de tráfico.
• Incluso el mejor sistema puede tener problemas para reconocer señales de un ataque novedoso.
• El IDS monitorea el tráfico norte-sur, no proporciona información sobre el tráfico este-oeste.

El mayor desafío de un IDS es evitar errores, ya que incluso el mejor sistema puede:

• Hacer sonar la alarma por algo que no es un ataque (un falso positivo).
• No hacer sonar la alarma cuando hay una amenaza real (un falso negativo).

Demasiados falsos positivos significan que el equipo de TI tendrá menos confianza en las advertencias del IDS. Sin embargo, los falsos negativos significan que los paquetes maliciosos están entrando en la red sin hacer sonar la alarma, por lo que un IDS demasiado sensible es siempre una mejor opción.

Mejores Prácticas de IDS

Una vez que sepas qué tipo de IDS y modelo de detección necesitas configurar, asegúrate de que tu estrategia siga estas mejores prácticas:

• Capacita al personal de TI. Asegúrate de que el equipo que configura el IDS tenga una comprensión completa de tu inventario de dispositivos y el rol de cada máquina.
• Determina una línea de base. Para asegurarte de que tu IDS detecta comportamientos normales de los anormales, establece una línea de base para saber qué hay en tu red. Ten en cuenta que cada red difiere en el tipo de tráfico que transporta. Definir una línea de base inicial clara ayuda a prevenir falsos positivos y falsos negativos.
• Implementación de IDS. Implementa el IDS en el punto más alto de visibilidad para no sobrecargar el sistema con datos. Idealmente, coloca el IDS en el borde de tu red, detrás del cortafuegos. Instala múltiples IDS en la red si necesitas manejar el tráfico intrahost. La elección correcta del sistema y la ubicación de implementación dependen de los objetivos de la red y la seguridad.
• Ajusta el IDS a la red. Cambia la configuración predeterminada del IDS solo cuando tenga sentido para la red. Configura el IDS para acomodar todos los dispositivos, aplicaciones, puertos, protocolos y puntos de seguridad en la red. Al personalizar la configuración para que se aplique a tu infraestructura de red, creas una base sólida para la detección.
• Configura el modo oculto. Configura el IDS para que se ejecute en modo oculto para que el sistema sea difícil de detectar para los actores maliciosos. La forma más sencilla de hacerlo es asegurarte de que el IDS tenga dos interfaces de red, una para la red y otra para generar alertas. El IDS debe utilizar la interfaz monitoreada solo como entrada.
• Prueba el IDS. Prueba el IDS para asegurarte de que detecta las amenazas potenciales y responde a ellas correctamente. Usa conjuntos de datos de prueba o, mejor aún, haz que profesionales de seguridad realicen una prueba de penetración (pen test). Realiza estas pruebas con regularidad para asegurarte de que todo sigue funcionando como se espera. Con el tiempo, evoluciona tu enfoque de prueba para mantenerte al día con los cambios en los tipos de ataques que pueden ocurrir.
• Equilibra los falsos positivos y los negativos. Ten cuidado de no sobreajustar tu IDS o configurarlo incorrectamente, para que no crees falsos positivos o falsos negativos. Demasiados de cualquiera de los dos pueden abrumar a tus equipos de TI y seguridad e incluso poner a tu organización en mayor riesgo de un ataque. Combina configuraciones NIDS y segmentación de red para que las detecciones sean más efectivas y fáciles de administrar.
• Investiga y responde a los incidentes. Define un plan de respuesta a incidentes listo para actuar. Este plan debe incluir personal de seguridad capacitado que sepa cómo responder de forma rápida y eficaz con una interrupción mínima de las operaciones diarias y el impacto en tu organización. Si tu organización debe cumplir con ciertos requisitos de la industria, como HIPAA, GDPR o SOC 2, define los controles adecuados implementados y sigue los protocolos establecidos. Considera agregar una plataforma de análisis secundaria para analizar las amenazas después de que el IDS haga sonar la alarma.
• Actualiza la base de datos de amenazas con regularidad. Una vez que el IDS esté en funcionamiento, tu equipo debe actualizar continuamente la base de datos de amenazas para mantener el sistema eficaz. Asegúrate de que todos tus IDS y bases de datos de amenazas sigan el principio de seguridad de confianza cero.

No pasen por alto el valor de la seguridad del IDS

Un IDS (o IPS) de alta calidad es vital para mantener niveles aceptables de seguridad de red. Un IDS solo detecta amenazas y es posible que no detecte todas las posibles. Por lo tanto, no es suficiente por sí solo para prevenir ataques y proteger a tu organización de ellos.

Más bien, un IDS es parte de tu estrategia general de seguridad. Además de tener las herramientas de seguridad adecuadas implementadas, debes asegurarte de que tus empleados, tu primera línea de defensa, sepan cómo mantener segura a tu organización, la información y los activos. Esa defensa comienza con un programa eficaz de concienciación sobre ciberseguridad. A cambio, tendrán mayor confianza en saber cómo reaccionar y responder a ellos, así como minimizar los riesgos para tu negocio y tus clientes.