Vad är ett in­trångs­skydds­sy­stem?

Att lägga till ett in­trångs­skydds­sy­stem (IPS) till en brandvägg är ett vär­de­fullt val. Det kom­bi­ne­rar över­vak­nings- och ana­lys­funk­tio­ner­na hos ett in­trångs­de­tek­te­rings­sy­stem (IDS), men det som skiljer det från andra system är dess proaktiva förmåga att aktivt motverka och avskräcka hot.

Vad betyder IPS?

För de flesta användare är brand­väg­gen en beprövad metod för att skydda sitt eget system eller nätverk mot attacker från utsidan. Ett lämpligt in­trångs­skydds­sy­stem (IPS) är ett re­kom­men­de­rat tillägg till denna skydds­me­ka­nism. Systemet fungerar i två steg. Först utför det upp­gif­ter­na för ett in­trångs­de­tek­te­rings­sy­stem (IDS) och övervakar antingen värden, nätverket eller båda för att snabbt iden­ti­fi­e­ra obehöriga ak­ti­vi­te­ter genom att skapa mönster och jämföra dem med trafiken i realtid. Det andra steget träder i kraft när in­trångs­skydds­sy­ste­met iden­ti­fi­e­rar ett hot, varvid det kan initiera lämpliga mo­tåt­gär­der.

Skill­na­den mellan ett in­trångs­de­tek­te­rings­sy­stem och ett in­trångs­före­byg­gan­de system är att det in­trångs­före­byg­gan­de systemet endast skickar en varning till ad­mi­nist­ra­tö­ren. Det in­trångs­före­byg­gan­de systemet ingriper däremot aktivt, blockerar datapaket eller avbryter sårbara an­slut­ning­ar. För det första är det viktigt att det in­trångs­före­byg­gan­de systemet är korrekt kon­fi­gu­re­rat så att alla hot avvärjs utan att ar­bets­flö­det hindras. Dessutom är ett nära samarbete mellan IPS och brand­väg­gen avgörande för ett optimalt skydd. Van­ligt­vis placeras in­trångs­före­byg­gan­de system direkt bakom brand­väg­gen och använder sensorer för att noggrant utvärdera systemda­ta och nät­verkspa­ket.

Vilka typer av in­trångs­skydds­sy­stem finns det?

Det finns olika typer av in­trångs­skydds­sy­stem, som främst skiljer sig åt i fråga om var de placeras.

• Värd­ba­se­ra­de in­trångs­skydds­sy­stem: Värd­ba­se­ra­de IPS (HIPS) in­stal­le­ras direkt på enskilda slu­tan­ord­ning­ar, där de ute­slu­tan­de övervakar in­kom­man­de och utgående data. Som ett resultat är deras aktiva för­svars­för­må­ga begränsad till den specifika enhet de är in­stal­le­ra­de på. HIPS används ofta i kom­bi­na­tion med bredare sä­ker­hets­me­to­der, där det värd­ba­se­ra­de in­trångs­skydds­sy­ste­met fungerar som en sista för­svars­lin­je.
• Nät­verks­ba­se­ra­de in­trångs­skydds­sy­stem: Nät­verks­ba­se­ra­de IPS (NIPS) placeras stra­te­giskt på flera platser i ett nätverk för att granska en stor mängd datapaket som cir­ku­le­rar i nätverket. De kan dis­tri­bue­ras via de­di­ke­ra­de enheter eller inom brand­väg­gar. Denna kon­fi­gu­ra­tion möjliggör om­fat­tan­de skanning och skydd av alla system som är anslutna till nätverket.
• Trådlösa in­trångs­skydds­sy­stem: WIPS (Wireless Intrusion Pre­ven­tion System) är särskilt utformade för att fungera i ett WLAN-nätverk. Vid obehörig åtkomst lo­ka­li­se­rar IPS den mot­sva­ran­de enheten och tar bort den från miljön.
• Be­te­en­de­ba­se­ra­de in­trångs­skydds­sy­stem: Network Behavior Analysis (NBA) re­kom­men­de­ras för att bekämpa DDoS-attacker. Detta kon­trol­le­rar all da­ta­tra­fik och kan därmed upptäcka och förhindra attacker i förväg.

Hur fungerar ett in­trångs­skydds­sy­stem?

Ett in­trångs­skydds­sy­stem har två hu­vud­sak­li­ga uppgifter. För det första måste det upptäcka, för­fil­tre­ra, analysera och rap­por­te­ra po­ten­ti­el­la hot, i princip på samma sätt som ett in­trångs­de­tek­te­rings­sy­stem. Dessutom vidtar in­trångs­skydds­sy­ste­met proaktiva åtgärder som svar på ett hot och sätter igång sina egna fö­re­byg­gan­de åtgärder. I båda sce­na­ri­er­na har IPS en rad metoder till sitt för­fo­gan­de.

IPS-ana­lys­me­to­der

• Ano­ma­li­de­tek­te­ring: Ano­ma­li­de­tek­te­ring innebär att man jämför nät­ver­kets eller slut­do­nets beteende med en för­de­fi­ni­e­rad standard. Betydande av­vi­kel­ser från denna standard får in­trångs­skydds­sy­ste­met att vidta lämpliga mo­tåt­gär­der. Beroende på kon­fi­gu­ra­tio­nen kan denna metod dock också leda till frekventa falsklarm. Av denna anledning förlitar sig moderna system i allt högre grad på AI för att avsevärt minska fel­fre­kven­sen.
• De­tek­te­ring av missbruk: I denna metod granskas datapaket för kända former av attacker. Denna typ av in­trångs­skydds­sy­stem har en hög de­tek­te­rings­grad för eta­ble­ra­de hot och iden­ti­fi­e­rar dem med hög säkerhet. Det är dock mindre effektivt mot nya, tidigare oi­den­ti­fi­e­ra­de attacker.
• Po­li­cy­ba­se­rat IPS: Det po­li­cy­ba­se­ra­de in­trångs­skydds­sy­ste­met används mindre ofta jämfört med de två tidigare nämnda metoderna. För att im­ple­men­te­ra denna metod måste först unika och specifika sä­ker­hetspo­li­cy­er kon­fi­gu­re­ras. Dessa policyer fungerar som grund för över­vak­ning­en av det mot­sva­ran­de systemet.

IPS-för­svars­me­ka­nis­mer

In­trångs­skydds­sy­ste­met fungerar i realtid utan att hindra da­ta­flö­det. När ett hot upptäcks genom de över­vak­nings­me­to­der som be­skri­vits tidigare erbjuder IPS flera olika åt­gärd­sal­ter­na­tiv. I mindre kritiska si­tu­a­tio­ner, liknande ett IDS, skickar det en avisering till ad­mi­nist­ra­tö­ren för vidare åtgärder. I all­var­li­ga­re fall vidtar dock in­trångs­skydds­sy­ste­met autonoma åtgärder. Det kan störa och åter­stäl­la över­fö­rings­vä­gar, blockera källor eller des­ti­na­tio­ner eller till och med kasta bort datapaket helt.

Vilka är för­de­lar­na med ett in­trångs­skydds­sy­stem?

Den stra­te­gis­ka im­ple­men­te­ring­en av ett in­trångs­skydds­sy­stem erbjuder många fördelar för an­vän­dar­na. Framför allt för­bätt­rar det den över­gri­pan­de sä­ker­he­ten genom att upptäcka risker som andra verktyg kanske inte upptäcker. Genom för­fil­tre­ring minskar in­trångs­skydds­sy­ste­met också be­last­ning­en på andra sä­ker­hets­me­ka­nis­mer och skyddar hela in­fra­struk­tu­ren. Kon­fi­gu­ra­tions­al­ter­na­ti­ven gör det möjligt att anpassa IPS exakt efter specifika krav. Med en lyckad kon­fi­gu­ra­tion fungerar systemet autonomt, vilket ger en betydande tids­be­spa­ring.

Vilka är nack­de­lar­na med ett in­trångs­skydds­sy­stem?

Om det används korrekt för­bätt­rar ett in­trångs­skydds­sy­stem nät­verks­sä­ker­he­ten avsevärt. Det finns dock också några po­ten­ti­el­la nackdelar med denna metod. Utöver de tidigare nämnda be­gräns­ning­ar­na när det gäller de­tek­te­ring av av­vi­kel­ser och missbruk finns det en betydande oro när det gäller hård­va­rukrav. In­trångs­skydds­sy­stem kräver van­ligt­vis betydande resurser, som ökar i takt med nät­ver­kets storlek. Därför re­a­li­se­ras deras verkliga värde när deras kapacitet över­ens­stäm­mer med nät­ver­kets krav. Dessutom kan kon­fi­gu­ra­tio­nen vara utmanande, särskilt för icke-experter. Subop­ti­ma­la kon­fi­gu­ra­tio­ner kan leda till nät­verks­pro­blem.

DenyHosts: Det bästa IPS-systemet mot brute force-attacker

I kampen mot brute force-attacker är DenyHosts ett bra al­ter­na­tiv. In­trångs­skydds­sy­ste­met är skrivet i Python och är öppen källkod. Det övervakar SSH-in­logg­nings­för­sök och blockerar mot­sva­ran­de adresser om de har för många miss­lyc­ka­de försök. Detta är DenyHosts of­fi­ci­el­la GitHub-arkiv.