Un Sistema de Prevención de Intrusos (IPS)

Que es un IPS

Un Sistema de Prevención de Intrusos (IPS) es un dispositivo que ejerce el control de acceso en una red informática para proteger a los sistemas computacionales de ataques y abusos. La tecnología de Prevención de Intrusos es considerada por algunos como una extensión de los Sistemas de Detección de Intrusos (IDS), pero en realidad es otro tipo de control de acceso, más cercano a las tecnologías cortafuegos.

Los IPS fueron inventados de forma independiente por Jed Haile y Vern Paxon para resolver ambigüedades en el monitoreo pasivo de redes de computadoras, al situar sistemas de detecciones en la vía del tráfico. Los IPS presentan una mejora importante sobre las tecnologías de cortafuegos tradicionales, al tomar decisiones de control de acceso basados en los contenidos del tráfico, en lugar de direcciones IP o puertos.

Características de un IPS

• Capacidad de reacción automática ante incidentes

• Aplicación de nuevos filtros conforme detecta ataques en progreso.

• Mínima vigilancia

• Disminución de falsas alarmas de ataques a la red

• Bloqueo automático frente a ataques efectuados en tiempo real

• Protección de sistemas no parchados

• Optimización en el rendimiento del tráfico de la red

¿Qué brindará la tecnología de IPS?

Confidencialidad — Protegiendo la confidencialidad de la información almacenada en formato electrónico en un sistema de computación y evitando cualquier forma de exhibición o copia no autorizada.

Integridad — Protegiendo la integridad de la información almacenada en formato electrónico en un sistema de computación y evitando cualquier forma de alteración o modificación.

Disponibilidad — Proteger la disponibilidad de un recurso de informática, de red, de un sistema o de información almacenada en formato electrónico en dicho sistema o dicha red, además de impedir el uso o el acceso por personas no autorizadas.

Como funciona

Un Sistema de Prevención de Intrusos, al igual que un Sistema de Detección de Intrusos, funciona por medio de módulos, pero la diferencia es que este último alerta al administrador ante la detección de un posible intruso (usuario que activó algún Sensor), mientras que un Sistema de Prevención de Intrusos establece políticas de seguridad para proteger el equipo o la red de un ataque; se podría decir que un IPS protege al equipo proactivamente y un IDS lo protege reactivamente.

Los IPS se categorizan en la forma que detectan el tráfico malicioso:

• Detección Basada en Firmas

• Detección Basada en Políticas

• Detección Basada en Anomalías

• Detección Honey Pot (Jarra de Miel)

Detección Basada en Firmas:

Una firma tiene la capacidad de reconocer una determinada cadena de bytes en cierto contexto, y entonces lanza un alerta. Por ejemplo, los ataques contra los servidores Web generalmente toman la forma de URLs. Por lo tanto se puede buscar utilizando un cierto patrón de cadenas que pueda identificar ataques al servidor Web. Sin embargo, como este tipo de detección funciona parecido a un Antivirus, el Administrador debe verificar que las firmas estén constantemente actualizadas.

Detección Basada en Políticas:

En este tipo de detección, el IPS requiere que se declaren muy específicamente las políticas de seguridad. Por ejemplo, determinar que hosts pueden tener comunicación con determinadas redes. El IPS reconoce el tráfico fuera del perfil permitido y lo descarta.

Detección Basada en Anomalías:

Este tipo de detección tiende a generar muchos falsos positivos, ya que es sumamente difícil determinar y medir una condición ‘normal’. En este tipo de detección tenemos dos opciones:

Detección

...