Att lägga till ett intrångsskyddssystem (IPS) till en brandvägg är ett värdefullt val. Det kombinerar övervaknings- och analysfunktionerna hos ett intrångsdetekteringssystem (IDS), men det som skiljer det från andra system är dess proaktiva förmåga att aktivt motverka och avskräcka hot.

Vad betyder IPS?

För de flesta användare är brandväggen en beprövad metod för att skydda sitt eget system eller nätverk mot attacker från utsidan. Ett lämpligt intrångsskyddssystem (IPS) är ett rekommenderat tillägg till denna skyddsmekanism. Systemet fungerar i två steg. Först utför det uppgifterna för ett intrångsdetekteringssystem (IDS) och övervakar antingen värden, nätverket eller båda för att snabbt identifiera obehöriga aktiviteter genom att skapa mönster och jämföra dem med trafiken i realtid. Det andra steget träder i kraft när intrångsskyddssystemet identifierar ett hot, varvid det kan initiera lämpliga motåtgärder.

Skillnaden mellan ett intrångsdetekteringssystem och ett intrångsförebyggande system är att det intrångsförebyggande systemet endast skickar en varning till administratören. Det intrångsförebyggande systemet ingriper däremot aktivt, blockerar datapaket eller avbryter sårbara anslutningar. För det första är det viktigt att det intrångsförebyggande systemet är korrekt konfigurerat så att alla hot avvärjs utan att arbetsflödet hindras. Dessutom är ett nära samarbete mellan IPS och brandväggen avgörande för ett optimalt skydd. Vanligtvis placeras intrångsförebyggande system direkt bakom brandväggen och använder sensorer för att noggrant utvärdera systemdata och nätverkspaket.

Vilka typer av intrångsskyddssystem finns det?

Det finns olika typer av intrångsskyddssystem, som främst skiljer sig åt i fråga om var de placeras.

  • Värdbaserade intrångsskyddssystem: Värdbaserade IPS (HIPS) installeras direkt på enskilda slutanordningar, där de uteslutande övervakar inkommande och utgående data. Som ett resultat är deras aktiva försvarsförmåga begränsad till den specifika enhet de är installerade på. HIPS används ofta i kombination med bredare säkerhetsmetoder, där det värdbaserade intrångsskyddssystemet fungerar som en sista försvarslinje.
  • Nätverksbaserade intrångsskyddssystem: Nätverksbaserade IPS (NIPS) placeras strategiskt på flera platser i ett nätverk för att granska en stor mängd datapaket som cirkulerar i nätverket. De kan distribueras via dedikerade enheter eller inom brandväggar. Denna konfiguration möjliggör omfattande skanning och skydd av alla system som är anslutna till nätverket.
  • Trådlösa intrångsskyddssystem: WIPS (Wireless Intrusion Prevention System) är särskilt utformade för att fungera i ett WLAN-nätverk. Vid obehörig åtkomst lokaliserar IPS den motsvarande enheten och tar bort den från miljön.
  • Beteendebaserade intrångsskyddssystem: Network Behavior Analysis (NBA) rekommenderas för att bekämpa DDoS-attacker. Detta kontrollerar all datatrafik och kan därmed upptäcka och förhindra attacker i förväg.

Hur fungerar ett intrångsskyddssystem?

Ett intrångsskyddssystem har två huvudsakliga uppgifter. För det första måste det upptäcka, förfiltrera, analysera och rapportera potentiella hot, i princip på samma sätt som ett intrångsdetekteringssystem. Dessutom vidtar intrångsskyddssystemet proaktiva åtgärder som svar på ett hot och sätter igång sina egna förebyggande åtgärder. I båda scenarierna har IPS en rad metoder till sitt förfogande.

IPS-analysmetoder

  • Anomalidetektering: Anomalidetektering innebär att man jämför nätverkets eller slutdonets beteende med en fördefinierad standard. Betydande avvikelser från denna standard får intrångsskyddssystemet att vidta lämpliga motåtgärder. Beroende på konfigurationen kan denna metod dock också leda till frekventa falsklarm. Av denna anledning förlitar sig moderna system i allt högre grad på AI för att avsevärt minska felfrekvensen.
  • Detektering av missbruk: I denna metod granskas datapaket för kända former av attacker. Denna typ av intrångsskyddssystem har en hög detekteringsgrad för etablerade hot och identifierar dem med hög säkerhet. Det är dock mindre effektivt mot nya, tidigare oidentifierade attacker.
  • Policybaserat IPS: Det policybaserade intrångsskyddssystemet används mindre ofta jämfört med de två tidigare nämnda metoderna. För att implementera denna metod måste först unika och specifika säkerhetspolicyer konfigureras. Dessa policyer fungerar som grund för övervakningen av det motsvarande systemet.

IPS-försvarsmekanismer

Intrångsskyddssystemet fungerar i realtid utan att hindra dataflödet. När ett hot upptäcks genom de övervakningsmetoder som beskrivits tidigare erbjuder IPS flera olika åtgärdsalternativ. I mindre kritiska situationer, liknande ett IDS, skickar det en avisering till administratören för vidare åtgärder. I allvarligare fall vidtar dock intrångsskyddssystemet autonoma åtgärder. Det kan störa och återställa överföringsvägar, blockera källor eller destinationer eller till och med kasta bort datapaket helt.

Vilka är fördelarna med ett intrångsskyddssystem?

Den strategiska implementeringen av ett intrångsskyddssystem erbjuder många fördelar för användarna. Framför allt förbättrar det den övergripande säkerheten genom att upptäcka risker som andra verktyg kanske inte upptäcker. Genom förfiltrering minskar intrångsskyddssystemet också belastningen på andra säkerhetsmekanismer och skyddar hela infrastrukturen. Konfigurationsalternativen gör det möjligt att anpassa IPS exakt efter specifika krav. Med en lyckad konfiguration fungerar systemet autonomt, vilket ger en betydande tidsbesparing.

Vilka är nackdelarna med ett intrångsskyddssystem?

Om det används korrekt förbättrar ett intrångsskyddssystem nätverkssäkerheten avsevärt. Det finns dock också några potentiella nackdelar med denna metod. Utöver de tidigare nämnda begränsningarna när det gäller detektering av avvikelser och missbruk finns det en betydande oro när det gäller hårdvarukrav. Intrångsskyddssystem kräver vanligtvis betydande resurser, som ökar i takt med nätverkets storlek. Därför realiseras deras verkliga värde när deras kapacitet överensstämmer med nätverkets krav. Dessutom kan konfigurationen vara utmanande, särskilt för icke-experter. Suboptimala konfigurationer kan leda till nätverksproblem.

DenyHosts: Det bästa IPS-systemet mot brute force-attacker

I kampen mot brute force-attacker är DenyHosts ett bra alternativ. Intrångsskyddssystemet är skrivet i Python och är öppen källkod. Det övervakar SSH-inloggningsförsök och blockerar motsvarande adresser om de har för många misslyckade försök. Detta är DenyHosts officiella GitHub-arkiv.

Gå till huvudmeny