⭕سیستم تشخیص نفوذ (IDS) چیه و چجوری کار می‌کنه؟
یکی از اجزای مهم امنیت شبکه، چیزی نیست جز سیستم تشخیص نفوذ یا همون IDS (Intrusion Detection System)

کار اصلی IDS اینه که نفوذ یا حمله‌های احتمالی رو شناسایی کنه و هشدار بده. البته خودش مستقیماً جلو حمله رو نمی‌گیره (اون کار وظیفه‌ی IPS هست) ولی به‌عنوان دیده‌بان شبکه، می‌تونه حسابی مفید باشه
سیستم IDS چطوری کار می‌کنه؟
برای اینکه IDS بتونه کاری انجام بده باید یه کپی از ترافیک شبکه رو بگیره و بررسیش کنه. این سیستم معمولاً با استفاده از یک پایگاه داده از الگوها یا رفتارها، تصمیم می‌گیره که آیا ترافیکی مشکوک هست یا نه‼

انواع IDS
سیستم IDSها به طور کلی به دو دسته تقسیم می‌شن:
۱. Signature-based IDS
این نوع IDS بر اساس الگوها ( پترن حملات) یا امضاهای حملات شناخته‌شده کار می‌کنه. مثل وقتی که آنتی‌ویروس یه ویروس خاص رو از رو امضاش می‌شناسه. سیستم‌هایی مثل Snort و Suricata از این دسته هستن
ابزار های Snort و Suricata هر دو اوپن‌سورس و رایگان هستن
ولی نکته اینه که رول‌های دقیق و آپدیت‌شده برای Snort معمولاً پولی‌ان
و رول‌های Snort رو می‌تونیم توی Suricata هم استفاده کنیم
۲. Behavior-based IDS
این سیستم‌ها بر اساس تحلیل رفتار ترافیک کار می‌کنن مثلاً اگه یه سیستم معمولاً روزی ۱۰۰ پکت می‌فرسته ولی یهو شد ۱۰ هزار تا، این ممکنه نشونه‌ای از حمله باشه
وIDSهای رفتاری می‌تونن کمک زیادی توی شناسایی حملات Zero-day بکنن
یه مثال خوبش Zeek هست که خیلی هم محبوبه این ابزار
⬇️
چجوری ترافیک رو به IDS می‌دیم؟
خب، IDS خودش ترافیک رو sniff نمی‌کنه، باید یه کپی از ترافیک بهش داده بشه
برای این کار چند تا روش وجود داره:
۱. Port Mirroring یا SPAN
توی سوییچ‌های سیسکو بهش می‌گن SPAN، یعنی ترافیک یه پورت یا VLAN رو کپی می‌کنیم می‌فرستیم برای IDS.
ولی این روش یه مشکل اساسی داره: به منابع سوییچ فشار میاره و ممکنه باعث افت کارایی بشه.
۲. استفاده از TAP
میاییم از TAP (Test Access Point) استفاده میکنیم 
یه سخت‌افزار لایه یکه که بدون فشار به سوییچ، یه کپی از ترافیک رو به IDS می‌ده.

     ‼یه مشکل اساسی: ترافیک رمز‌شده‼

سیستم های IDS تا وقتی می‌تونه مفید باشه که بتونه محتوای بسته‌ها رو ببینه اگه ترافیک رمز شده باشه (SSL/TLS) IDS عملاً نمی‌تونه چیزی بفهمه

راهکار چیه؟
برای این موضوع هم راه‌حل هست:
از Forward Proxy یا Reverse Proxy استفاده می‌کنیم که بتونن ترافیک رو رمزگشایی کنن و یه کپی رمز نشده بدن به IDS

مثلاً روی دستگاه‌هایی مثل Gigamon TAP می‌تونیم کلید رمزگشایی SSL رو بدیم تا یه نسخه‌ی رمزگشایی‌شده برای IDS داده بشه
حتی توی فایروال‌های جدید، قابلیتی به نام SSL Decryption Mirroring داریم که همین کارو انجام میده
ذخیره‌سازی پکت‌ها: IDS پکت رو نگه نمی‌داره، پس چی کار کنیم؟
نکته مهم اینه که IDS ترافیک رو ذخیره نمی‌کنه، فقط تحلیل میکنه
ولی اگه بخوایم برای بررسی‌های فارنزیک یا بعد از حمله پکت‌ها رو داشته باشیم، باید از ابزارهایی برای ذخیره‌سازی استفاده کنیم

راه‌حل: FPC یا Full Packet Capture
با استفاده از سیستم‌هایی مثل Arkime (قبلاً به اسم Moloch بودش) می‌تونیم پکت‌ها رو به‌طور کامل ذخیره کنیم

حالا اگه با روش‌هایی که بالا گفتیم ترافیک رمزگشایی شده باشه، می‌تونیم نسخه‌ی قابل تحلیلش رو هم ذخیره کنیم، و بعداً برای بررسی‌های دقیق‌تر استفاده کنیم

اگه بخوام جمع‌بندی کنم
سیستم IDSوظیفش تحلیل و هشدار دادنه نه جلوگیری
ترافیک باید براش کپی بشه، با TAP بهتر از SPAN
موضوع رمزنگاری رو با ابزارهایی مثل proxy و SSL mirroring حلش میکنیم
برای ذخیره‌سازی دقیق‌تر FPC مثل Arkime استفاده میکنیم

https://t.me/ViperNull