IDS mi IPS mi? Saldırı Tespit Sistemi ile Saldırı Önleme Sistemi Arasındaki Fark

Ortak zemin: aynı gözler, farklı eller

IDS ve IPS, ağda ya da sistemlerde gerçekleşen olayları izleyip olası saldırı belirtilerini arayan teknolojilerdir. NIST'in bu alandaki rehberi (NIST SP 800-94), iki teknolojinin birçok yeteneği paylaştığını ve yöneticilerin IPS ürünlerinde önleme özelliklerini genellikle kapatıp onları IDS gibi çalıştırabildiğini belirtir; bu yüzden rehber ikisini birlikte saldırı tespit ve önleme sistemleri (IDPS) olarak ele alır.

İkisinin de ortak işleri şunlardır: gözlenen olaylarla ilgili bilgiyi kaydetmek, önemli olaylarda güvenlik yöneticilerini uyarmak ve rapor üretmek. Ayrıldıkları nokta, uyarıdan sonra ne olduğudur.

NIST'in ifadesiyle IPS teknolojilerini IDS teknolojilerinden ayıran tek özellik, tespit edilen tehdide saldırının başarılı olmasını engellemeye çalışarak yanıt verebilmeleridir. IDS bir gözdür; IPS hem göz hem eldir.

Ölçüt ölçüt IDS ve IPS

• Ölçüt: Temel işlev. IDS: şüpheli etkinliği tespit eder, kaydeder ve uyarır. / IPS: bunlara ek olarak saldırıyı durdurmaya çalışır.
• Ölçüt: Ağdaki konumu. IDS: çoğunlukla pasif sensörle, trafiğin bir kopyası üzerinden izler. / IPS: önleme yapabilmesi için trafiğin içinden geçtiği hat içi (inline) konumda durur.
• Ölçüt: Müdahale biçimi. IDS: müdahaleyi insana ya da başka sistemlere bırakır. / IPS: bağlantıyı sonlandırabilir, saldırganın erişimini engelleyebilir, güvenlik duvarı gibi başka kontrollerin ayarını değiştirebilir ya da saldırının zararlı kısmını ayıklayabilir.
• Ölçüt: Yanlış alarmın bedeli. IDS: analistin boşuna incelediği uyarılar. / IPS: engellenen meşru trafik, yani iş kesintisi.
• Ölçüt: Kaçırılan saldırının bedeli. IDS: saldırı yalnız sonradan fark edilir. / IPS: saldırı hem fark edilmez hem engellenmez.
• Ölçüt: Performans etkisi. IDS: trafik akışını yavaşlatmaz. / IPS: hat içinde durduğu için trafiği işleme hızı ve arızası ağın kendisini etkileyebilir.
• Ölçüt: Ekip iş yükü. IDS: uyarıları inceleyip karar verecek bir ekip ister. / IPS: kural ayarlama ve istisna yönetimi için düzenli bakım ister.

NIST, hat içi sensörlerin genellikle güvenlik duvarlarının bulunduğu yerlere, yani dış ağ bağlantıları ve ayrılması gereken iç ağların sınırlarına konduğunu belirtir. Pasif sensörler ise ağ sınırları ve dış dünyaya açık sunucuların bulunduğu bölümler gibi kritik noktaları izlemek için yerleştirilir.

İkisi de aynı yöntemlerle tespit eder

IDS ile IPS arasındaki fark tespit yönteminde değil, tespitten sonra yapılandadır. NIST, tespit yöntemlerini ana sınıflara ayırır ve çoğu ürünün bunları birlikte kullandığını belirtir.

• İmza tabanlı tespit: gözlenen olayları bilinen tehditlere karşılık gelen kalıplarla karşılaştırır. Bilinen tehditlerde çok etkilidir ama daha önce görülmemiş tehditleri, kılık değiştirmiş saldırıları ve bilinen tehditlerin birçok varyantını yakalamakta büyük ölçüde etkisizdir. Zararlı bir dosyanın adındaki küçük bir değişiklik bile imzayı atlatabilir.
• Anomali tabanlı tespit: kullanıcı, sunucu ya da ağ bağlantısı için normal etkinlik profili oluşturur ve anlamlı sapmaları arar. Daha önce bilinmeyen tehditleri yakalayabilir; buna karşılık özellikle değişken ortamlarda, profilden sapan zararsız etkinlik nedeniyle çok sayıda yanlış alarm üretebilir.
• Durum bilgili protokol analizi: bir protokolün nasıl kullanılması gerektiğine dair genel kabul görmüş profilleri gözlenen olaylarla karşılaştırır ve beklenmedik komut dizilerini yakalayabilir. Kaynak tüketimi yüksektir.

Bu yöntemlerin hiçbiri tam doğruluk sağlamaz. NIST, zararsız etkinliği zararlı sanmaya yanlış pozitif, zararlı etkinliği kaçırmaya yanlış negatif dendiğini, ikisini birden sıfırlamanın mümkün olmadığını ve birini azaltmanın çoğu zaman diğerini artırdığını vurgular.

Hangi durumda hangisi?

• Ağı yeni izlemeye başlıyorsanız ve trafiğin karakterini henüz tanımıyorsanız, önce tespit modunda çalışmak mantıklıdır. Bu dönemde hangi kuralların meşru trafiği yanlışlıkla işaretlediği görülür ve ayarlama yapılır.
• Bilinen ve yüksek güvenle tanımlanabilen saldırılar, örneğin bilinen zararlı yazılım iletişimi ya da açıkça yasaklanmış erişim denemeleri için önleme açılabilir. Burada yanlış pozitif ihtimali düşük, kaçırmanın bedeli yüksektir.
• Kesintiye tahammülü olmayan sistemlerde, örneğin üretim hattı kontrol ağlarında ya da yoğun işlem yapılan ödeme sistemlerinde, önleme kuralları dar tutulur ve geniş tespit kuralları uyarı modunda kalır.
• Trafiği izleyip değerlendirecek bir ekip yoksa yalnız IDS kurmak az işe yarar; uyarılar okunmadıkça tespit bir şey değiştirmez. Bu durumda yönetilen bir izleme hizmeti ya da sınırlı ama otomatik önleme daha gerçekçi olabilir.

Pratikte seçim çoğu zaman "IDS mi IPS mi" değil, aynı IDPS ürününde hangi kuralın uyarı, hangisinin engelleme modunda çalışacağıdır.

Sık yapılan hatalar

Önleme özelliğini kurulum günü bütün kurallar için açmak, pahalıya patlayan bir hatadır. Ayarlanmamış kurallar meşru trafiği keser, kullanıcılar şikâyet eder ve ekip baskı altında önlemeyi tamamen kapatır. Sonuçta kurum ne önleme ne de güvenilir tespit elde eder.

Doğrusu, önce izleme modunda trafiği tanımak, yanlış pozitif üreten kuralları ayarlamak ve önlemeyi yüksek güvenli kurallarla sınırlı başlatıp kademeli genişletmektir. NIST, tespit doğruluğunu artırmak için yapılandırmanın değiştirilmesine ayarlama (tuning) dendiğini belirtir; bu, kurulumla biten değil, sürekli yapılan bir iştir.

• Uyarıları merkezi bir yerde toplamamak da bir hatadır. IDPS uyarıları güvenlik bilgi ve olay yönetimi araçlarına ve merkezi log sistemine aktarılmadığında, başka kaynaklardaki ipuçlarıyla birleştirilemez.
• Şifreli trafiği hesaba katmamak, sensörün aslında göremediği bir trafiği izliyormuş gibi rapor üretmesine yol açar.

Mindset programlarında saldırı tespiti ve önleme

Ağ yöneticileri, sistem yöneticileri ve güvenlik operasyon merkezi analistleri için IDS ve IPS, savunmanın en görünür katmanlarından biridir. Sistem ve Ağ Güvenliğine Giriş Eğitimi, sistem izinsiz girişlerini tespit etme ve önleme ile ağ izinsiz girişlerine karşı korumayı ayrı modüllerde ele alır. Uyarıları inceleyip değerlendirme tarafında uzmanlaşmak isteyenler için SOC Analist Sertifika Programı, ağ tarafını temelden kurmak isteyenler için Ağ Güvenliği Temelleri eğitimi bu bilgiyi tamamlar.