IDS / IPS

Основное различие между системами обеспечения информационной безопасности (IDS и IPS) заключается в их методах реагирования на угрозы. IDS-системы предназначены для мониторинга и обнаружения опасных действий, но не могут напрямую предотвратить их.

IPS-системы, с другой стороны, представляют собой более широкий инструмент безопасности. Они не только обнаруживают угрозы, но и немедленно предпринимают меры противодействия им, такие как сброс соединения или блокировка IP-адресов.

Кроме того, существуют различия в установке и отношении к сетевым потокам между IDS и IPS. IDS, как правило, устанавливаются "сбоку" от сетевых потоков и обрабатывают копию трафика, в то время как IPS обычно устанавливаются "в разрыв" и находятся на пути трафика через активное сетевое оборудование. Это преимущество IDS проявляется в том, что при исчерпании ресурсов средства защиты не будут оказывать влияние на пропуск трафика. Однако, IPS, установленный на пути обрабатываемого трафика, может стать узким местом в системе защиты.

Как дополнительный модуль в составе межсетевых экранов, IPS предоставляет дополнительные возможности для защиты сети от угроз. Как правило, является частью МЭ нового поколения (Next Generation Firewall, NGFW).

При выборе системы IPS / IDS стоит помнить, что существует несколько ее видов. Они отличаются расположением, типами сенсоров и механикой работы. Системы IPS / IDS по-прежнему развиваются, чтобы снизить количество ложных срабатываний, а также повысить их эффективность. Одним из результатов этих разработок являются системы NGIPS - так называемые IPS - системы нового поколения. Они позволяют выполнять все необходимые функции в реальном времени, не нарушая сетевой активности организации. Также они предоставляют возможности мониторинга приложения и получения информации из внешних источников, таких как базы уязвимостей, для более точного обнаружения вторжений.

Системы IDS и IPS могут быть:

• Сетевыми (NIDS) — проверяют сетевой трафик от источника к получателю.
• В основе которых лежит протокол СОВ (PIDS) — позволяет обнаруживать и анализировать различные протоколы, такие как HTTP и HTTPS.
• Основанными на прикладных протоколах СОВ (APIDS) — проверяют специализированные протоколы приложений.
• Узловыми, или Host-Based (HIDS) — анализируют журналы приложений и состояния хостов, а также выполняют системный анализ.
• Гибридными — объединяют в себе особенности нескольких типов IDS и позволяют обнаруживать различные виды угроз.

Требования к системам обнаружения вторжения в России были установлены еще в 2011 году, они делятся на 6 категорий защиты. Различия между категориями заключаются в уровнях информационных систем, а также информации, подлежащей обработке (персональная информация, конфиденциальные данные, государственная тайна).

Соответствие требованиям регуляторов является важным фактором в выборе системы предотвращения вторжения. Это также положительно влияет на развитие отечественного рынка решений в этой области.

На российском рынке есть ряд интересных IDS/IPS решений, которые отличаются функционалом, наличием необходимых сертификатом и стоимостью.

С 31 марта 2022 года президент России запретил закупать иностранный софт для критической информационной инфраструктуры (КИИ). Если нужное программное обеспечение заменить нечем, для покупки потребуется специальное разрешение. С 1 января 2025 года все государственные структуры должны избавиться от зарубежного ПО на всех объектах КИИ.

В силу этого, а также в условиях санкционного давления, системы СОВ активно развиваются, а вендоры думают над тем, как снизить количество ложных срабатываний и тратить меньше ресурсов для эффективной работы систем.