ips

Ante el aumento de ataques en entornos empresariales, enfocándonos en este caso en la pequeña empresa, hemos decidido escribir un artículo para dar una serie de consejos a la hora de implantar un sistema de detección de intrusiones o también denominado Intrusion Detection System (IDS). Como hemos comentado, ante la oleada de ataques que sufrimos día a día, deberías considerar implementar un sistema de detección de intrusos para detectar y proteger tu red de los atacantes.

Snort es un software creado por Martin Roesch, que se utiliza ampliamente como sistema de detección de intrusiones (IDS) en la red. Se divide en los cinco mecanismos más importantes; motor de detección, sistema de registro y alerta, un decodificador de paquetes, preprocesador y módulos de salida. El software es bastante famoso por realizar análisis de tráfico en tiempo real, también se utiliza para detectar consultas o ataques, registro de paquetes en redes, para detectar actividad maliciosa, ataques de denegación de servicio o botnets y escaneos de puertos mediante la supervisión del tráfico de red, desbordamientos de búfer, escaneos de puertos furtivos y un largo etc.

Qué es un sistema de detección de intrusiones

Un sistema de detección de intrusiones, es un sistema protege tu red contra atacantes, amenazas, exploits, malware, etc. Snort detecta métodos de ataque, incluida la denegación de servicio, el desbordamiento de búfer, monitorizando el tráfico de la red y analizándolo con reglas predefinidas. Generalmente se ubica directamente detrás del firewall, agregando otra capa de análisis que elimina los contenidos peligrosos del flujo de datos. El IDS se encuentra directamente en las rutas de comunicaciones entre el origen y el destino, analizando el tráfico y tomando medidas, como enviar alertas, eliminar paquetes maliciosos, bloquear el tráfico y restablecer las conexiones. Como resultado, el IDS puede provocar un rendimiento de red degradado si no se ha configurado correctamente.

Debido a que opera fuera del flujo de tráfico, generalmente no afecta el rendimiento de la red. Los sistemas IDS de red están ubicados dentro de la red para monitorear el tráfico y desde todos los dispositivos internos de la red. Si se identifica un ataque, envía una alerta a un administrador. Un IDS se ejecuta en dispositivos individuales en tu red, monitorizando los paquetes entrantes y salientes de ese dispositivo únicamente. Un IDS se diferencia de un firewall en que busca internamente amenazas y ataques en lugar de un firewall que gestiona directamente los accesos a la red.

Implantación de un sistema de detección de intrusiones

Primero, implementa tu dispositivo con las reglas predeterminadas. Esto le dará una buena línea de base desde la que trabajar cuando sintonice el dispositivo. A continuación, ajusta el dispositivo para asegurarte de que las alertas que ve reflejen eventos reales y procesables. Como regla general, al configurar sus reglas de bloqueo de IDS, la mejor práctica es comenzar con las reglas de bloqueo más estrictas y luego modificarlas lentamente hasta que las lleve a donde las deseas. Por lo general, se debe buscar un equilibrio entre la identificación de amenazas y no afectar tu negocio diario. La mayoría de los dispositivos que monitorizan la red están limitados en la cantidad de tráfico que pueden monitorizar. Por ejemplo, puedes optar por supervisar cada interacción externa con el tráfico entrante a tu red interna. Además, ciertos servicios como tu servidor de correo electrónico y tu servidor web deben ser monitorizados por reglas relativamente estrictas porque suelen ser blanco de ataques.

Por último, probablemente no desees monitorizar el tráfico interno con un IDS. Por lo general, la mayor parte del tráfico de tu red es interno, por lo que, si monitorizas todo, el sistema no podría mantenerse al día. Los verdaderos peligros suelen venir del exterior, aunque no debemos dejar de lado el análisis del tráfico interno.

¿Vuestra PYME dispone de sistemas de detección de intrusiones? ¿Consideráis que tiene la misma importancia que un Firewall o se deben complementar? Desde Prestigia Seguridad, nuestros expertos realizan test de intrusión para identificar posibles amenazas antes de que las detecten los cibercriminales, no dudes en contactar con nosotros para informarte.