tunkeutumisenhavaitsemisjärjestelmien

Tunkeutumisenhavaitsemisjärjestelmät, englanniksi Intrusion Detection Systems (IDS), ovat verkon tietoturvan keskeisiä työkaluja. Niiden päätarkoitus on valvoa verkkoliikennettä ja järjestelmiä epäilyttävän tai haitallisen toiminnan varalta ja ilmoittaa siitä järjestelmänvalvojille. Tällainen toiminta voi olla esimerkiksi luvattomia yrityksiä käyttää järjestelmää, haittaohjelmien leviämistä tai palvelunestohyökkäyksiä.

Tunkeutumisenhavaitsemisjärjestelmät voidaan jakaa karkeasti kahteen päätyyppiin: verkkopohjaisiin (NIDS) ja isäntäpohjaisiin (HIDS). Verkkopohjaiset järjestelmät tarkkailevat verkkoliikennettä tietyissä verkon kohdissa, kuten verkon reitittimissä tai kytkimissä, ja analysoivat paketteja. Isäntäpohjaiset järjestelmät puolestaan asennetaan yksittäisiin tietokoneisiin tai palvelimiin ja ne valvovat paikallista toimintaa, kuten lokitiedostoja, järjestelmän tapahtumia ja tiedostojen muutoksia.

IDS-järjestelmät toimivat useilla eri periaatteilla. Tilavuuspohjainen tunnistus (anomaly-based detection) luo mallin normaalista verkkokäyttäytymisestä ja hälyttää, kun havaitaan poikkeamia tästä normaalista. Tunnistepohjainen tunnistus (signature-based detection) perustuu tunnettujen hyökkäysten tunnusmerkkien (allekirjoitusten) tunnistamiseen ja vertaamiseen verkkoliikenteeseen tai järjestelmän tapahtumiin. Molemmilla menetelmillä on etunsa ja haittansa, ja usein parhaan suojan saavuttamiseksi käytetään molempia yhdisteleviä ratkaisuja.

Tunkeutumisenhavaitsemisjärjestelmät ovat olennainen osa proaktiivista tietoturvaa, mutta ne eivät itsessään estä hyökkäyksiä. Ne antavat tiedon, jonka perusteella voidaan reagoida ja ryhtyä toimenpiteisiin tietoturvan parantamiseksi tai hyökkäysten torjumiseksi. Usein IDS-järjestelmiä käytetään yhdessä tunkeutumisenestojärjestelmien (Intrusion Prevention Systems, IPS) kanssa, jotka voivat automaattisesti puuttua epäiltyyn toimintaan.