intrångsdetekterings

Intrångsdetektering är processen att upptäcka obehörig åtkomst eller intrång i informationssystem och nätverk, med mål att identifiera säkerhetsbrott, policyöverträdelser och skadlig aktivitet i ett tidigt skede. Den används inom informationssäkerhet för att stödja övervakning, incidentrespons och forensiska analyser.

System och arkitekturer. Intrångsdetekteringslösningar kan vara nätverksbaserade (NIDS), som övervakar trafik mellan enheter, eller värdsbaserade (HIDS), som övervakar lokala händelser, loggar och filsystem. Hybridlösningar kombinerar båda. Vissa produkter integrerar även förebyggande funktioner (IPS) men huvudsakligen fokuserar intrångsdetektering på att känna igen och varna om misstankar, inte alltid stoppa intrånget i realtid.

Metoder. Signaturbaserad detektering jämför trafik och loggar mot en databas av kända attackmönster. Avvikelsebaserad (beteendebaserad) detektering lär sig normala beteenden och flaggar avvikelser. Protokollanalys kan analysera kommunikationsmönster, medan maskininlärning och statistiska modeller används för att upptäcka tidigare outforskade hot. Detektion kan omfatta korrelation mellan olika händelser och användar-/tjänstkontinuitet.

Data och komponenter. Sensorer samlar in nätverkstrafik, systemloggar, filintegritet och körbara processer. Detektionens kärna består av en analysmotor, larm/notification, och ofta en incidenthanteringsplattform för vidare utredning och åtgärder.

Drift och användning. Intrångsdetektering är central i säkerhetssituationrum (SOC) och i incidentresponsarbete. Utmaningar inkluderar krypterad trafik, höga volymer, falska larm och kontinuerlig uppdatering av signaturer samt anpassning till nya hot.