You are on page 1of 4

Sistema de detección de intrusos ¿Que es?

es un programa usado para detectar accesos no autorizados a un computador o a una red. Estos accesos pueden ser ataques de habilidosos hackers, o de Script Kiddies que usan herramientas automáticas. El IDS suele tener sensores virtuales (por ejemplo, un sniffer de red) con los que el núcleo del IDS puede obtener datos externos (generalmente sobre el tráfico de red). El IDS detecta, gracias a dichos sensores, anomalías que pueden ser indicio de la presencia de ataques o falsas alarmas.
¿Como funciona?

El funcionamiento de estas herramientas se basa en el análisis pormenorizado del tráfico de red, el cual al entrar al analizador es comparado con firmas de ataques conocidos, o comportamientos sospechosos, como puede ser el escaneo de puertos, paquetes malformados, etc. El IDS no sólo analiza qué tipo de tráfico es, sino que también revisa el contenido y su comportamiento. Normalmente esta herramienta se integra con un firewall. El detector de intrusos es incapaz de detener los ataques por sí solo, excepto los que trabajan conjuntamente en un dispositivo de puerta de enlace con funcionalidad de firewall, convirtiéndose en una herramienta muy poderosa ya que se une la inteligencia del IDS y el poder de bloqueo del firewall, al ser el punto donde forzosamente deben pasar los paquetes y pueden ser bloqueados antes de penetrar en la red. Los IDS suelen disponer de una base de datos de ³firmas´ de ataques conocidos. Dichas firmas permiten al IDS distinguir entre el uso normal del PC y el uso fraudulento, y/o entre el tráfico normal de la red y el tráfico que puede ser resultado de un ataque o intento del mismo.
Tipos de IDS Según localizacion

Existen dos tipos de sistemas de detección de intrusos: 1. HIDS (HostIDS): el principio de funcionamiento de un HIDS, depende del éxito de los intrusos, que generalmente dejaran rastros de sus actividades en el equipo atacado, cuando intentan adueñarse del mismo, con propósito de llevar a cabo otras actividades. El HIDS intenta detectar tales modificaciones en el equipo afectado, y hacer un reporte de sus conclusiones.
Mientras que los sistemas de detección de intrusos basados en red operan bajo todo un dominio de colisión, los basados en maquina realizan su función protegiendo un único sistema; de una forma similar a como actúa un escudo antivirus residente en el sistema operativo, el IDS es un proceso que trabaja en background (o que despierta

permite que un sistema IDS pueda compartir u obtener información de otros sistemas como Firewalls.Según naturaleza En un sistema pasivo. lo que permite manejar eventos de seguridad complejos que individualmente no son muy significativos. En un sistema reactivo. Este donde este. NIDS (NetworkIDS): un IDS basado en red. 2. lo que permite reconfigurar las características de la red de acuerdo a los eventos que se generan. Enrutadores y Switches. La correlación es una nueva característica que añade a los IDS la capacidad de establecer relaciones lógicas entre eventos diferentes e independientes. La posibilidad de introducir un elemento hardware es debido al alto requerimiento de procesador en redes con mucho tráfico. Su interfaz debe funcionar en modo promiscuo capturando así todo el tráfico de la red. ---------------------------------------------------------------------------------------------------------Implementación Para poner en funcionamiento un sistema de detección de intrusos se debe tener en cuenta que es posible optar por una solución hardware. el IDS responde a la actividad sospechosa reprogramando el cortafuegos para que bloquee tráfico que proviene de la red del atacante. ----------------------------------------------------------------------------------------------------------------------------. almacena la información y manda una señal de alerta que se almacena en una base de datos. Interoperabilidad y correlación La interoperabilidad. el IDS puede situarse en cualquiera de los hosts o en un elemento que analice todo el trafico (como un HUB o un enrutador). el sensor detecta una posible intrusión. También permite que se utilicen protocolos como SNMP (Simple Network Management Protocol) para enviar notificaciones y alertas a otras maquinas de la red. pero que analizados como un todo pueden representar un riesgo alto en la seguridad del sistema. Un IDS basado en red monitorea los paquetes que circulan por nuestra red en busca de elementos que denoten un ataque contra alguno de los sistemas ubicados en ella. monitorizara diversas maquinas y no una sola: esta es la principal diferencia con los sistemas de detección de intrusos basados en host. A su vez los registros .periódicamente) buscando patrones que puedan denotar un intento de intrusión o mala utilización y alertando o tomando las medidas oportunas en caso de que uno de estos intentos sea detectado. detectando ataques a todo el segmento de la red. software o incluso una combinación de estos dos.

al buscar la cadena de caracteres "cgi-bin/phf". la secuencia que corresponde a una firma específica. Una simple verificación del protocolo puede revelar paquetes no válidos e indicar esta táctica comúnmente utilizada. es necesario conectar el IDS a un puerto SPAN (Switch Port Analiser) para poder analizar todo el tráfico de esta red. Consiste en la identificación de una intrusión al examinar un paquete y reconocer. Por ejemplo. Este método también se utiliza como complemento de los filtros en direcciones IP. Si la red está segmentada con hub (capa 1 del modelo OSI) no hay problema en analizar todo el tráfico de la red realizando una conexión a cualquier puerto. Verificación de los protocolos de la capa de aplicación: Algunas formas de intrusión emplean comportamientos de protocolos no válidos. Esta técnica es rápida (el N-IDS no necesita examinar la base de datos de firmas en su totalidad para secuencias de bytes particulares) y es también más eficiente. 2. Puede aplicar las siguientes técnicas para detectar intrusiones: 1. Reconocimiento de ataques de "comparación de patrones": Esta técnica de reconocimiento de intrusión es el método más antiguo de análisis N-IDS y todavía es de uso frecuente. Para detectar eficazmente estas intrusiones. como "WinNuke". en Internet) generalmente está compuesto por datagramas de IP. aspecto a tener en cuenta. si se utiliza un switch (capa 2 del modelo OSI). Por ejemplo. En cambio. Arquitectura de IDS Técnicas de detección El tráfico en la red (en todo caso. que utiliza datos NetBIOS no válidos (al agregar datos fuera de la banda). como NetBIOS. al analizar protocolos. NIDS puede diferenciar un "Back Orifice PING" (bajo peligro) de un "Back Orifice COMPROMISE" (alto peligro). dentro de una serie de bytes. como "Ping de la muerte" y "escaneo silencioso TCP" utilizan violaciones de los protocolos IP.de firmas y las bases de datos con los posibles ataques necesitan gran cantidad de memoria. TCP. un N-IDS debe haber implementado una amplia variedad de protocolos de la capa de aplicación. TCP/IP. UDP e ICMP para atacar un equipo. en destinatarios utilizados por conexiones y puertos de origen y/o destino. Un N-IDS puede capturar paquetes mientras estos viajan a través de las conexiones físicas a las que está sujeto. Un N-IDS contiene una lista TCP/IP que se asemeja a los datagramas de IP y a las conexiones TCP. En redes es necesario considerar el lugar de colocación del IDS. 3. Este . se muestra un intento de sacar provecho de un defecto del script CGI "phf". Verificación de la lista de protocolos: Algunas formas de intrusión. etc. ya que elimina algunas falsas alarmas.

Además. la serie de bytes se convertirá en "8E42A52C 0666BC4A". si la contraseña se cambia a "evadir". Por ejemplo. y/o para controlar el tráfico peligroso o anormal en la red. Aunque el 80% de las intrusiones utilicen la contraseña predeterminada. como el método Pattern Matching Stateful. Existen otros métodos para detectar e informar sobre intrusiones. lo que aut omáticamente la protegerá de que el N-IDS la capture. cantidad no siempre significa calidad. Por ejemplo. . el 20% utilizarán contraseñas personalizadas y no serán necesariamente reconocidas por el N-IDS. que se basan en la captura de paquetes originales dentro de una conexión supervisada y en su posterior comparación al utilizar un analizador de "expresiones regulares". indican un tráfico Back Orifice con una contraseña predeterminada.método de reconocimiento también se puede refinar si se combina con una sucesión o combinación de indicadores TCP. cuando se colocan al inicio de una transferencia de datos UDP. Sin embargo. la técnica inevitablemente conducirá a un gran número de falsas alarmas y falsos positivos. los 8 bytes ³CE63D1D2 16E713CF´. Esta táctica está difundida por los grupos N-IDS "Network Grep". La ventaja principal de esta técnica radica en la facilidad de actualización y también en la gran cantidad de firmas que se encuentran en la base N-IDS. Éste intentará hacer coincidir las secuencias en la base de firmas byte por byte con el contenido del paquete capturado. un perfecto N-IDS es un sistema que utiliza las mejores partes de todas las técnicas mencionadas anteriormente. En conclusión.