¿Qué es un IPS (sistema de prevención de intrusiones)?

En general un servicio de seguridad de IPS se implementa “en línea” y se aloja en la ruta de comunicación directa entre la fuente y el destino. Desde allí puede analizar en “tiempo real” todo el flujo de tráfico de red de esa ruta y tomar medidas preventivas automatizadas. El IPS se puede implementar en cualquier lugar de la red, pero sus implementaciones más comunes son las siguientes:

• Perímetro, borde empresarial
• Centro de datos empresarial

Un IPS se puede implementar como el mejor IPS independiente. De modo alternativo la misma capacidad se puede activar en la funcionalidad de IPS consolidada dentro de un firewall de próxima generación (NGFW). Un IPS utiliza firmas que pueden ser tanto vulnerabilidades como exploits específicos para identificar tráfico malicioso. Por lo general, son detecciones basadas en firmas o en anomalías estadísticas para identificar actividad maliciosa. 

1. La detección basada en firmas utiliza firmas de identificación única ubicadas en el código del exploit. Cuando se descubren exploits, sus firmas se agregan a una base de datos cada vez más grande. La detección basada en firmas para IPS implica ya sea firmas orientadas a los exploits, que identifican los exploits individuales en sí; o bien firmas orientadas a las vulnerabilidades, que identifican la vulnerabilidad en el sistema objetivo del ataque. Las firmas orientadas a las vulnerabilidades son importantes para identificar posibles variantes de exploits no observadas previamente, pero también aumentan el riesgo de resultados de falsos positivos (paquetes benignos mal etiquetados como amenazas).
2. La detección basada en anomalías estadísticas toma muestras al azar del tráfico de red y compara las muestras con las líneas base de nivel de rendimiento. Cuando se identifica que las muestras están por fuera de la línea base, el IPS desencadena una acción para prevenir un posible ataque.

Una vez que el IPS identifica el tráfico malicioso que puede ser explotable en la red, implementa lo que se conoce como un parche virtual para protección. El parche virtual actúa como una medida de seguridad contra las amenazas que explotan vulnerabilidades conocidas y desconocidas. El parche virtual funciona mediante la implementación de capas de reglas y políticas de seguridad que interceptan y evitan que un exploit tome rutas de red hacia y desde una vulnerabilidad, ofreciendo así cobertura contra esa vulnerabilidad a nivel de la red en lugar de a nivel del host.

Mientras que los sistemas IDS monitorean la red y envían alertas a los administradores de red sobre amenazas potenciales, los sistemas IPS toman medidas más sustanciales para controlar el acceso a la red, monitorear los datos de intrusiones y evitar que se produzcan ataques.