IDS - Historial de revisiones

Wendy idict en 18:52 4 nov 2019

2019-11-04T18:52:21Z

Javiermartin jc: Texto reemplazado: «
» por «»

2019-06-23T21:51:03Z

Texto reemplazado: «<div align="justify">» por «»

Mayte ciget.cfg en 15:33 10 jul 2012

2012-07-10T15:33:37Z

Antonio jc.vcl en 19:29 17 dic 2011

2011-12-17T19:29:13Z

Cardet0302 jc en 16:31 25 oct 2011

2011-10-25T16:31:48Z

Karell08012: /* Fuente */

2011-09-23T13:14:09Z

‎Fuente

Karell08012 en 19:57 22 sep 2011

2011-09-22T19:57:19Z

Karell08012 en 19:52 22 sep 2011

2011-09-22T19:52:44Z

Karell08012: Página creada con '{{Ficha_Software |nombre= IDS |imagen= IDS.png |descripción= (Sistema de detección de intrusiones) hace referencia a un mecanismo que, sigilosamente, escucha el tráfico en la...'

2011-09-22T19:36:05Z

Página creada con '{{Ficha_Software |nombre= IDS |imagen= IDS.png |descripción= (Sistema de detección de intrusiones) hace referencia a un mecanismo que, sigilosamente, escucha el tráfico en la...'

Página nueva

{{Ficha_Software
|nombre= IDS
|imagen= IDS.png
|descripción= (Sistema de detección de intrusiones) hace referencia a un mecanismo que, sigilosamente, escucha el tráfico en la red para detectar actividades anormales o sospechosas, y de este modo, reducir el riesgo de [[intrusión]].
|creador=
|desarrollador=
|lanzamiento inicial=
|última versión estable=
|género=
|idioma=
|licencia=
|web=
}}
<div align="justify">
'''sistema de detección de intrusos''' (o IDS de sus siglas en inglés Intrusion Detection System) es un [[programa]] usado para detectar accesos no autorizados a un [[computador]] o a una [[red]]. Estos accesos pueden ser ataques de habilidosos [[hackers]], o de [[Script]] Kiddies que usan herramientas automáticas.
El IDS suele tener sensores virtuales (por ejemplo, un sniffer de red) con los que el núcleo del IDS puede obtener datos externos (generalmente sobre el tráfico de red). El IDS detecta, gracias a dichos sensores, anomalías que pueden ser indicio de la presencia de ataques o falsas alarmas.
== Funcionamiento ==
El funcionamiento de estas herramientas se basa en el análisis pormenorizado del tráfico de red, el cual al entrar al analizador es comparado con firmas de ataques conocidos, o comportamientos sospechosos, como puede ser el escaneo de puertos, paquetes malformados, etc. El IDS no sólo analiza qué tipo de tráfico es, sino que también revisa el contenido y su comportamiento.
Normalmente esta herramienta se integra con un [[firewall]]. El detector de intrusos es incapaz de detener los [[ataques]] por sí solo, excepto los que trabajan conjuntamente en un dispositivo de [[puerta]] de [[enlace]] con funcionalidad de [[firewall]], convirtiéndose en una herramienta muy poderosa ya que se une la inteligencia del [[IDS]] y el poder de bloqueo del firewall, al ser el punto donde forzosamente deben pasar los paquetes y pueden ser bloqueados antes de penetrar en la red.
Los IDS suelen disponer de una base de datos de “firmas” de ataques conocidos.
Dichas firmas permiten al IDS distinguir entre el uso normal del [[PC]] y el uso fraudulento, y/o entre el tráfico normal de la red y el tráfico que puede ser resultado de un ataque o intento del mismo.

== Tipos de IDS ==
Existen dos tipos de sistemas de detección de intrusos:
# HIDS (HostIDS): (Sistema de detección de intrusiones de red), que garantiza la seguridad dentro de la red, el principio de funcionamiento de un HIDS, depende del éxito de los intrusos, que generalmente dejaran rastros de sus actividades en el equipo atacado, cuando intentan adueñarse del mismo, con propósito de llevar a cabo otras actividades. El HIDS intenta detectar tales modificaciones en el equipo afectado, y hacer un reporte de sus conclusiones.
# NIDS (NetworkIDS): (Sistema de detección de intrusiones en el host), que garantiza la seguridad en el [[host]], un IDS basado en red, detectando ataques a todo el segmento de la red. Su [[interfaz debe funcionar en modo promiscuo capturando así todo el tráfico de la red.

== Qué hacen los IDS ==
Los principales métodos utilizados por N-IDS para informar y bloquear intrusiones son:
* Reconfiguración de dispositivos externos (firewalls o ACL en routers): Comando enviado por el N-IDS a un dispositivo externo (como un filtro de [[paquetes]] o un firewall) para que se reconfigure inmediatamente y así poder bloquear una intrusión. Esta reconfiguración es posible a través del envío de datos que expliquen la alerta (en el encabezado del paquete).
* Envío de una trampa SNMP a un hipervisor externo: Envío de una alerta (y detalles de los datos involucrados) en forma de un datagrama SNMP a una consola externa como HP Open View Tivoli, Cabletron, Spectrum, etc.
* Envío de un correo electrónico a uno o más usuarios: Envío de un correo electrónico a uno o más buzones de correo para informar sobre una intrusión seria.
* Registro del ataque: Se guardan los detalles de la alerta en una base de datos central, incluyendo información como el registro de fecha, la [[dirección IP]] del intruso, la dirección IP del destino, el protocolo utilizado y la carga útil.
* Almacenamiento de paquetes sospechosos: Se guardan todos los paquetes originales capturados y/o los paquetes que dispararon la alerta.
* Apertura de una aplicación: Se lanza un programa externo que realice una acción específica (envío de un mensaje de texto [[SMS]] o la emisión de una alarma sonora).
* Envío de un "ResetKill": Se construye un paquete de alerta TCP para forzar la finalización de una conexión (sólo válido para técnicas de intrusión que utilizan el [[protocolo]] de transporte TCP).
* Notificación visual de una alerta: Se muestra una alerta en una o más de las consolas de administración.

== Desafíos de IDS ==
En la prensa especializada, cada vez resuena más el término IPS (Sistema de prevención de intrusiones) que viene a sustituir al IDS "tradicional" o para hacer una distinción entre ellos.

El IPS es un sistema de prevención/protección para defenderse de las intrusiones y no sólo para reconocerlas e informar sobre ellas, como hacen la mayoría de los IDS. Existen dos características principales que distinguen a un IDS (de red) de un IPS (de red):
* El IPS se sitúa en línea dentro de la red IPS y no sólo escucha pasivamente a la red como un IDS (tradicionalmente colocado como un rastreador de puertos en la red).
* Un IPS tiene la habilidad de bloquear inmediatamente las intrusiones, sin importar el protocolo de transporte utilizado y sin reconfigurar un dispositivo externo. Esto significa que el IPS puede filtrar y bloquear paquetes en modo nativo (al utilizar técnicas como la caída de una conexión, la caída de paquetes ofensivos o el bloqueo de un intruso).

== Sistemas pasivos y sistemas reactivos ==
En un sistema pasivo, el sensor detecta una posible intrusión, almacena la información y manda una señal de alerta que se almacena en una base de datos. En un sistema reactivo, el IDS responde a la actividad sospechosa reprogramando el cortafuegos para que bloquee tráfico que proviene de la red del atacante. Un sistema que reacciona ante el ataque previniendo que este continúe, se denomina [[IPS]] por sus siglas en ingles de "Intrusion prevention system".

== Comparación con Cortafuegos ==
Si bien ambos están relacionados con seguridad en redes de información, un IDS, difiere de un cortafuego, en que este último generalmente examina exteriormente por intrusiones para evitar que estas ocurran. Un [[cortafuegos]] limita el acceso entre redes, para prevenir una intrusión, pero no determina un ataque que pueda estar ocurriendo internamente en la red. Un IDS, evalúa una intrusión cuando esta toma lugar, y genera una alarma. Un IDS además observa ataques que se originan dentro del sistema. Este normalmente se consigue examinando comunicaciones, e identificando mediante heurística, o patrones (conocidos como firmas), [[ataques]] comunes ya clasificados, y toma una acción para alertar a un [[operador]].

== Mecanismos de detección de un ataque ==
Un IDS, usa alguna de las dos siguientes técnicas para determinar que un ataque se encuentra en curso:

=== Heurística ===
Un IDS basado en heurística, determina actividad normal de red, como el orden de ancho de banda usado, protocolos, puertos y dispositivos que generalmente se interconectan, y alerta a un administrador o usuario cuando este varía de aquel considerado como normal, clasificándolo como anómalo.

=== Patrón ===
Un IDS basado en patrones, analiza paquetes en la red, y los compara con patrones de ataques conocidos, y preconfigurados. Estos patrones se denominan firmas. Debido a esta técnica, existe un periodo de tiempo entre el descubrimiento del ataque y su patrón, hasta que este es finalmente configurado en un IDS. Durante este tiempo, el IDS será incapaz de identificar el ataque.

=== Implementación ===
Para poner en funcionamiento un sistema de detección de intrusos se debe tener en cuenta que es posible optar por una solución [[hardware]], [[software]] o incluso una combinación de estos dos. La posibilidad de introducir un elemento hardware es debido al alto requerimiento de procesador en redes con mucho [[tráfico]]. A su vez los registros de firmas y las bases de datos con los posibles ataques necesitan gran cantidad de [[memoria]], aspecto a tener en cuenta.
En redes es necesario considerar el lugar de colocación del IDS. Si la red está segmentada con [[hub]] (capa 1 del modelo OSI) no hay problema en analizar todo el tráfico de la red realizando una conexión a cualquier puerto. En cambio, si se utiliza un [[switch]] (capa 2 del modelo OSI), es necesario conectar el IDS a un puerto [[SPAN]] (Switch Port Analiser) para poder analizar todo el tráfico de esta red.

== Fuente ==
* PDF-Presente y futuro de los IDS autor-Alejandro Barrera García-Orea
Departamento de Inteligencia Artiﬁcia, Facultad de Informática, Universidad Politécnica de Madrid
* Dennin, D. E. (1986). An Intrusion-Detection Model. IEEE Computer Society
Symposium on Research in Security and Privacy. 118-131.
* Carrascal, A., Couchet, J., Ferreira, E. & Manrique, D. (2005). Arquitectura
neural jer´ arquica para la detecci´ on de anomal´ ıas en el tr´ aﬁco TCP/IP.

[[Category:Redes_informáticas]] [[Category:Software]]

@@ Línea 12: / Línea 12: @@
 |web=
 }}
 '''Sistema de detección de intrusos''' (o IDS de sus siglas en inglés Intrusion Detection System). Programa usado para detectar accesos no autorizados a una [[computadora]] o a una [[red]].
@@ Línea 66: / Línea 65: @@
 === Implementación ===
-Para poner en funcionamiento un sistema de detección de intrusos se debe tener en cuenta que es posible optar por una solución [[hardware]], [[software]] o incluso una combinación de estos dos. La posibilidad de introducir un elemento hardware es debido al alto requerimiento de procesador en redes con mucho [[tráfico]]. A su vez los registros de firmas y las bases de datos con los posibles ataques necesitan gran cantidad de [[memoria]], aspecto a tener en cuenta.
+Para poner en funcionamiento un sistema de detección de intrusos se debe tener en cuenta que es posible optar por una solución [[hardware]], [[software]] o incluso una combinación de estos dos. La posibilidad de introducir un elemento hardware es debido al alto requerimiento de procesador en redes con mucho tráfico. A su vez los registros de firmas y las bases de datos con los posibles ataques necesitan gran cantidad de [[memoria]], aspecto a tener en cuenta.
 En redes es necesario considerar el lugar de colocación del IDS. Si la red está segmentada con [[hub]] (capa 1 del modelo OSI) no hay problema en analizar todo el tráfico de la red realizando una conexión a cualquier puerto. En cambio, si se utiliza un [[switch]] (capa 2 del modelo OSI), es necesario conectar el IDS a un puerto [[SPAN]] (Switch Port Analiser) para poder analizar todo el tráfico de esta red.

@@ Línea 12: / Línea 12: @@
 |web=
 }}
-<div align="justify">
 '''Sistema de detección de intrusos''' (o IDS de sus siglas en inglés Intrusion Detection System). Programa usado para detectar accesos no autorizados a una [[computadora]] o a una [[red]].

@@ Línea 15: / Línea 15: @@
 '''Sistema de detección de intrusos''' (o IDS de sus siglas en inglés Intrusion Detection System). Programa usado para detectar accesos no autorizados a una [[computadora]] o a una [[red]].
-Estos accesos pueden ser ataques de habilidosos [[hackers]], o de [[Script]] Kiddies que usan herramientas automáticas.
+Estos accesos pueden ser ataques de habilidosos [[hacker]]s, o de [[Script]] Kiddies que usan herramientas automáticas.
 El IDS suele tener sensores virtuales (por ejemplo, un sniffer de red) con los que el núcleo del IDS puede obtener datos externos (generalmente sobre el tráfico de red). El IDS detecta, gracias a dichos sensores, anomalías que pueden ser indicio de la presencia de ataques o falsas alarmas.

← Revisión anterior		Revisión del 16:31 25 oct 2011
Línea 1:		Línea 1:
		+	{{normalizar}}
	{{Ficha_Software		{{Ficha_Software
	\|nombre= IDS		\|nombre= IDS

@@ Línea 1: / Línea 1: @@
 {{Ficha_Software
 |nombre= IDS
@@ Línea 14: / Línea 13: @@
 }}
 <div align="justify">
-'''sistema de detección de intrusos''' (o IDS de sus siglas en inglés Intrusion Detection System) es un [[programa]] usado para detectar accesos no autorizados a un [[computadora]] o a una [[red]]. Estos accesos pueden ser ataques de habilidosos [[hackers]], o de [[Script]] Kiddies que usan herramientas automáticas.
+'''Sistema de detección de intrusos''' (o IDS de sus siglas en inglés Intrusion Detection System). Programa usado para detectar accesos no autorizados a una [[computadora]] o a una [[red]].
 El IDS suele tener sensores virtuales (por ejemplo, un sniffer de red) con los que el núcleo del IDS puede obtener datos externos (generalmente sobre el tráfico de red). El IDS detecta, gracias a dichos sensores, anomalías que pueden ser indicio de la presencia de ataques o falsas alarmas.
 == Funcionamiento ==
 El funcionamiento de estas herramientas se basa en el análisis pormenorizado del tráfico de red, el cual al entrar al analizador es comparado con firmas de ataques conocidos, o comportamientos sospechosos, como puede ser el escaneo de puertos, paquetes malformados, etc. El IDS no sólo analiza qué tipo de tráfico es, sino que también revisa el contenido y su comportamiento.
 Normalmente esta herramienta se integra con un [[firewall]]. El detector de intrusos es incapaz de detener los [[ataques]] por sí solo, excepto los que trabajan conjuntamente en un dispositivo de [[puerta]] de [[enlace]] con funcionalidad de [[firewall]], convirtiéndose en una herramienta muy poderosa ya que se une la inteligencia del [[IDS]] y el poder de bloqueo del firewall, al ser el punto donde forzosamente deben pasar los paquetes y pueden ser bloqueados antes de penetrar en la red.
 Los IDS suelen disponer de una base de datos de “firmas” de ataques conocidos.
 Dichas firmas permiten al IDS distinguir entre el uso normal del [[PC]] y el uso fraudulento, y/o entre el tráfico normal de la red y el tráfico que puede ser resultado de un ataque o intento del mismo.
@@ Línea 65: / Línea 70: @@
 == Fuente ==
-* PDF-Presente y futuro de los IDS autor-Alejandro Barrera García-Orea Departamento de Inteligencia Artiﬁcia, Facultad de Informática, Universidad Politécnica de Madrid
+* Barrera García-Orea, Alejandro . PDF-Presente y futuro de los IDS autor- Departamento de Inteligencia Artiﬁcia, Facultad de Informática, Universidad Politécnica de Madrid
 * Dennin, D. E. (1986). An Intrusion-Detection Model. IEEE Computer Society Symposium on Research in Security and Privacy. 118-131.
 * Carrascal, A., Couchet, J., Ferreira, E. & Manrique, D. (2005). Arquitectura neural jer´ arquica para la detecci´ on de anomal´ ıas en el tr´ aﬁco TCP/IP.
 [[Category:Redes_informáticas]] [[Category:Software]]

@@ Línea 1: / Línea 1: @@
 {{Ficha_Software
 |nombre= IDS
-|imagen= IDS.png
+|imagen= IDS.gif
-|descripción= (Sistema de detección de intrusiones) hace referencia a un mecanismo que, sigilosamente, escucha el tráfico en la red para detectar actividades anormales o sospechosas, y de este modo, reducir el riesgo de [[intrusión]].
+|descripción= (Sistema de detección de intrusiones) hace referencia a un mecanismo que, sigilosamente, escucha el tráfico en la red para detectar actividades anormales o sospechosas, y de este modo, reducir el riesgo de intrusión.
 |creador=
 |desarrollador=