Ids (ingegneria dei sistemi) e IPS

Un servizio di sicurezza IPS viene in genere implementato “in linea”, ovvero situato lungo il percorso di comunicazione diretto tra l’origine e la destinazione, punto da cui è possibile analizzare in “tempo reale” tutto il flusso del traffico di rete lungo tale percorso e intraprendere azioni preventive automatizzate. L’IPS deployment può verificarsi in qualsiasi punto della rete, ma le implementazioni più comuni sono:

• Perimetro aziendale, edge
• Data center aziendale

Un IPS deployment può avvenire come IPS standalone di alta qualità, oppure è possibile attivare la funzione IPS consolidata all’interno di un firewall di ultima generazione (NGFW). Al fine di identificare il traffico dannoso, un IPS utilizza signature che possono essere specifiche per vulnerabilità o per exploit. In genere, l’identificazione delle attività dannose avviene mediante rilevamento basato su signature o rilevamento basato su anomalie statistiche. 

1. Il rilevamento basato su signature utilizza signature identificabili in modo univoco che si trovano nel codice dell’exploit. Quando gli exploit vengono scoperti, le loro signature vengono inserite in un database in continua espansione. Il rilevamento basato su signature di IPS comprende signature rivolte agli exploit, che identificano univocamente gli exploit, o signature rivolte alle vulnerabilità, che identificano la vulnerabilità nel sistema preso di mira. Le signature rivolte alle vulnerabilità sono importanti per identificare potenziali varianti di exploit che non sono state precedentemente osservate, ma aumentano anche il rischio di risultati falsi positivi (pacchetti benigni erroneamente etichettati come minacce).
2. Il rilevamento basato sulle anomalie statistiche campiona in modo casuale il traffico di rete; quindi, confronta i campioni con le linee di base dei livelli di prestazioni. Quando i campioni vengono identificati come al di fuori della linea di base, IPS attiva un’azione per prevenire un potenziale attacco.

Una volta che IPS identifica il traffico dannoso che può essere sfruttabile in rete, distribuisce quella che è nota come patch virtuale per la protezione. La patch virtuale funge da misura di sicurezza contro le minacce che sfruttano vulnerabilità note e sconosciute. La patch virtuale funziona implementando livelli di policy e regole di sicurezza che intercettano un exploit e gli impediscono di percorrere la rete da e verso una vulnerabilità, offrendo così copertura contro tale vulnerabilità a livello di rete piuttosto che a livello di host.

Mentre i sistemi di rilevamento delle intrusioni (Intrusion Detection System, IDS) monitorano la rete e inviano avvisi agli amministratori di rete sulle potenziali minacce, i sistemi IPS intraprendono azioni più sostanziali per controllare l’accesso alla rete, monitorare i dati di intrusione e prevenire lo sviluppo di attacchi.