• Um sistema de detecção de intrusões (IDS) é uma solução tecnológica que monitora o tráfego de entrada e saída em sua rede em busca de atividades suspeitas e infrações de políticas.
  • O IDS é a primeira linha de defesa dos sistemas de rede, que pode detectar proativamente comportamentos anormais e reduzir o tempo médio de detecção.

O IDS é uma parte importante da arquitetura de segurança de rede de uma organização, pois identifica e alerta o SOC sobre ameaças que poderiam passar despercebidas, algo que os firewalls tradicionais não fazem. Embora todos os sistemas de detecção de intrusões cumpram o mesmo propósito, eles funcionam de maneiras ligeiramente diferentes. No total, existem cinco tipos de IDS.

O que é um sistema de detecção de intrusões?

Umsistema de detecção de intrusões(IDS) é uma solução tecnológica que monitora o tráfego de entrada e saída em sua rede em busca de atividades suspeitas e infrações de políticas. Como o nome indica, o propósito principal de um IDS é detectar e prevenir intrusões dentro de sua infraestrutura de TI e depois alertar as pessoas relevantes. Essas soluções podem ser dispositivos de hardware ou aplicativos de software.

Geralmente, um IDS fará parte de um sistema mais amplo degerenciamento de eventos e informações de segurança(SIEM). Quando implementado como parte de um sistema integral, seu IDS é sua primeira linha de defesa. Ele funciona para detectar proativamente comportamentos incomuns e reduzir seu tempo médio de detecção. Em última instância, quanto antes você reconhecer uma intrusão tentada ou bem-sucedida, mais cedo poderá tomar medidas e proteger sua rede.

Leia também:O que é um sistema de prevenção de intrusões de host e como ele funciona?

Leia também:Prevenção de intrusões de host: a chave para proteger hosts individuais

Diferentes tipos de sistemas de detecção de intrusões

1. Sistema de detecção de intrusões de rede

Um sistema de detecção de intrusões de rede (NIDS) é uma solução que monitora toda a rede através de um ou mais pontos de contato. Para usar o NIDS, normalmente você precisa instalá-lo em uma peça de hardware na infraestrutura da sua rede. Após a instalação, seu NIDS irá amostrar cada pacote (coleção de dados) que passar por ele.

Um NIDS típico pode verificar todo o tráfego que passa por ele. Ele pode analisar todo o tráfego de entrada e saída e detectar eventos em tempo real, permitindo respostas rápidas. Eles são mais desafiadores para os intrusos e podem ser implantados estrategicamente em áreas-chave.

2. Sistema de detecção de intrusões de nó de rede

Os sistemas de detecção de intrusões de nó de rede (NNIDS) são tecnicamente uma variante do NIDS, mas como funcionam de maneira diferente, os tratamos como um tipo diferente de ID.

O NNIDS também analisa os pacotes que passam por ele. No entanto, em vez de depender de um dispositivo central para monitorar todo o tráfego da rede, o sistema monitora cada nó conectado à rede. Como cada agente NNIDS analisa menos tráfego, o sistema pode funcionar mais rápido. Mas o NNIDS requer múltiplos dispositivos para cada servidor que você deseja monitorar.

3. Sistema de detecção de intrusões de host

O sistema de detecção de intrusões de host (HIDS) melhora ainda mais a independência do dispositivo do NNIDS. Com o HIDS, você pode instalar software IDS em cada dispositivo conectado à rede.

O HIDS funciona tirando uma “fotografia” do dispositivo que você especifica. Ao comparar as fotografias recentes com os registros anteriores, o HIDS pode identificar diferenças que poderiam indicar uma intrusão. Eles podem ser instalados em um computador ou servidor para localizar o dispositivo afetado. No entanto, as soluções HIDS podem estar sujeitas a monitoramento “a posteriori”.

4. Sistema de detecção de intrusões baseado em protocolos

Um sistema de detecção de intrusões baseado em protocolos (PIDS) é um sistema de detecção de intrusões específico que é usado para monitorar os protocolos em uso. Na prática, o sistema geralmente analisa o fluxo do protocolo HTTP ou HTTPS entre o dispositivo e o servidor.

5. Sistema de detecção de intrusões baseado em protocolos de aplicação

O sistema de detecção de intrusões baseado em protocolos de aplicação (APIDS) é um tipo de sistema de detecção de intrusões para a segurança de aplicativos de software. Os APIDS geralmente são associados aos sistemas de detecção de intrusões baseados em host (HIDS) que monitoram a comunicação que ocorre entre os aplicativos e os servidores. Os APIDS geralmente são instalados em grupos de servidores.