Che cos'è un sistema di rilevamento delle intrusioni (IDS)?

Gli IDS possono essere applicazioni software installate sugli endpoint o dispositivi hardware dedicati connessi alla rete. Alcune soluzioni IDS sono disponibili come servizi cloud. Qualunque sia la sua forma, un IDS utilizza uno o entrambi i metodi principali di rilevamento delle minacce: basati sulle firme o sulle anomalie.

Il rilevamento basato sulle firme analizza i pacchetti di rete alla ricerca di firme di attacchi, caratteristiche o comportamenti unici associati a una specifica minaccia. Una sequenza di codice visualizzata in una particolare variante malware è un esempio di una firma di attacco.

Un IDS basato su firme mantiene un database di firme di intrusioni con cui confronta i pacchetti di rete. Se un pacchetto attiva una corrispondenza con una delle firme, l'IDS lo segnala. Per essere efficaci, i database delle firme devono essere aggiornati regolarmente con nuova threat intelligence man mano che emergono nuovi attacchi informatici e gli attacchi esistenti si evolvono. I nuovi attacchi non ancora analizzati per le firme possono eludere un IDS basato su firme.

I metodi di rilevamento basati sulle anomalie utilizzano l'apprendimento automatico per creare e perfezionare costantemente un modello di riferimento per la normale attività di rete. Quindi confronta l'attività di rete con il modello e contrassegna le deviazioni, ad esempio un processo che utilizza più larghezza di banda del normale o un dispositivo che apre una porta.

Poiché segnala qualsiasi comportamento anomalo, gli IDS basati sulle anomalie spesso riescono a rilevare nuovi attacchi informatici che potrebbero eludere il rilevamento basato sulle firme. Ad esempio, gli IDS basati sulle anomalie possono rilevare exploit zero-day, ovvero attacchi che utilizzano al meglio le vulnerabilità del software prima che lo sviluppatore del software ne venga a conoscenza o abbia il tempo di correggerle.

Ma gli IDS basati sulle anomalie sono anche più soggetti a falsi positivi. Anche l'attività non dannosa, ad esempio un utente autorizzato che accede a una risorsa di rete sensibile per la prima volta, può attivare un IDS basato sulle anomalie.

Il rilevamento basato sulla reputazione blocca il traffico proveniente da indirizzi IP e domini connessi a attività dannose o sospette. L'analisi del protocollo con stato si concentra sul comportamento del protocollo: ad esempio, potrebbe individuare un attacco denial-of-service (DoS) rilevando un singolo indirizzo IP, facendo numerose richieste di connessione TCP simultanee in un breve periodo.

Indipendentemente dai metodi utilizzati, quando un IDS rileva una potenziale minaccia o violazione delle politiche, avvisa il team di risposta agli incidenti affinché indaghi. Gli IDS registrano anche gli incidenti di sicurezza, sia nei propri log, sia registrandoli all'interno di uno strumento di gestione delle informazioni e degli eventi di sicurezza (SIEM) (vedi di seguito "IDS e altre soluzioni di protezione"). I log degli incidenti possono essere utilizzati per affinare i criteri degli IDS, ad esempio aggiungendo nuove firme di attacchi o aggiornando il modello di comportamento della rete.

Gli IDS non sono strumenti autonomi. Sono progettati come parte di un sistema di sicurezza informatica olistico e spesso sono strettamente integrati con una o più delle seguenti soluzioni di sicurezza:

Gli avvisi IDS vengono spesso incanalati nel SIEM di un'organizzazione, dove possono essere combinati con avvisi e informazioni provenienti da altri strumenti di sicurezza in un'unica dashboard centralizzato. L'integrazione degli IDS con i SIEM consente ai team addetti alla sicurezza di arricchire gli avvisi IDS con informazioni sulle minacce e dati provenienti da altri strumenti, filtrare falsi allarmi‌ e assegnare priorità agli incidenti per la correzione.

Come osservato in precedenza, un IPS monitora il traffico di rete alla ricerca di attività sospette, come gli IDS, e intercetta le minacce in tempo reale, interrompendo automaticamente le connessioni o attivando altri strumenti di sicurezza. Dal momento che gli IPS devono fermare gli attacchi informatici, solitamente vengono posizionati all'interno, il che significa che tutto il traffico deve attraversare l'IPPS prima di poter raggiungere il resto della rete.

Alcune organizzazioni implementano un IDS e un IPS come soluzioni separate. Più spesso, IDS e IPS vengono combinati in un unico sistema di rilevamento e prevenzione delle intrusioni (IDPS) che rileva le intrusioni, le registra, avvisa i team addetti alla sicurezza e risponde in modo automatico.

IDS e firewall sono complementari. I firewall sono rivolti all'esterno della rete e hanno funzione di barriera utilizzando set di regole predefinite per consentire o impedire il traffico. Gli IDS spesso si trovano vicino ai firewall e aiutano a fermare tutto ciò che li supera. Alcuni firewall, in particolare i firewall di nuova generazione, dispongono di funzioni IDS e IPS integrate.