👁‍🗨Hello world~

Как работают cистемы предотвращения вторжений (IPS)

• Мы рассмотрели IDS системы и кратко проговорили их отличие от IPS, сегодня более детально разберем что это такое.

• IPS (Intrusion Prevention System) — система предотвращения вторжений, как можно понять из названия, предназначенна она для обнаружения и автоматической блокировки вредоносной активности в сети или на хосте в реальном времени.

• В отличие от IDS (Intrusion Detection System), которая лишь обнаруживает и уведомляет, IPS активно вмешивается в сетевой трафик, чтобы остановить угрозу до её реализации.

• Процесс обнаружения атак IPS напоминает работу антивируса, он включает:

• Анализ сигнатур: Поиск в трафике известных шаблонов вредоносной активности. Эффективен для известных атак, но бесполезен против новых эксплойтов.
• Поведенческий анализ: Динамический анализ аномалий, IPS формирует модель "нормального поведения" и фиксирует отклонения.

• Классификация IPS:

• Сетевые (NIPS): Размещаются в точке входа/выхода трафика и полностью его контролируют.
• Системные (HIPS): Устанавливаются на конкретных хостах и контролируют системные вызовы, процессы и т.д.
• Беспроводные (WIPS): Обнаруживают и предотвращают атаки в Wi-Fi сетях, включая попытки подмены SSID, несанкционированные точки доступа и т.д.
• Сетевые периметральные IPS в облаке (Cloud IPS): Работают на уровне виртуализованных инфраструктур и часто интегрированы в облачные платформы.

• Популярные IDS/IPS решения:

• Snort: IDS/IPS с сигнатурным движком.
• Suricata: Популярная опенсурс IPS/IDS платформа, поддерживающая сигнатуры Snort.
• Zeek (Bro): Больше фокусируется на поведенческом анализе.

• В будущем еще разберем SIEM системы. Удачи!

• Поддержать автора монеткой: @v_meshke