IDSIPSjärjestelmien

IDS- ja IPS-järjestelmät (intrusion detection system ja intrusion prevention system) ovat tietoturvan komponentteja, joiden tehtävä on tunnistaa ja reagoida luvattomiin pääsyihin sekä muihin verkkoympäristön uhkiin. IDS havaitsee ja ilmoittaa havainnoista, mutta ei yleensä vaikuta liikenteeseen. IPS puolestaan toimii inline–koneena ja voi estää tai muuttaa liikennettä havaittujen uhkien perusteella.

Järjestelmiä on kaksi päätyyppiä: verkko- (NIDS/NIPS) ja isäntätason (HIDS/HIPS) ratkaisut. Verkkoversio seuraa koko verkon liikennettä, isäntäkoneen ratkaisu taas tarkkailee yksittäisen laitteen tapahtumia, kuten tiedostojen muutoksia tai ohjelmistotoimintaa.

Detektiotavat jakautuvat usein signeeripohjaiseen, poikkeavuuksiin perustuvaan sekä protokollien ja tilatietojen analyysiin. Monet järjestelmät yhdistävät useita tekniikoita ja voivat hyödyntää koneoppimista sekä tilastollisia malleja parantaakseen havaitsemiskykyä.

Toimintaperiaate ja käyttöönotto: inline- (estävän) sekä offline- tai hyökkäysten jäljitykseen tähtäävän käytön välillä sekä integraatio palomuureihin ja SIEM-järjestelmiin. IPS toimii verkon sisällä estäen haitallisen liikenteen, IDS taas tuottaa hälytyksiä ja lokitietoja valvontaa varten.

Edut ja rajoitteet: parempi tilannekuva ja nopeampi reagointi, mutta riskit virhetunnisteisiin, suorituskykyvaikutuksiin sekä haasteisiin salatun liikenteen näkyvyydessä ja säännöstöjen ylläpidossa. Sisällönhallinta ja säännölliset päivitykset ovat olennaisia järjestelmien tehokkuuden ylläpitämisessä.