Un sistema di rilevamento delle intrusioni (IDS) è una tecnologia di sicurezza progettata per monitorare le attività di rete e di sistema alla ricerca di attività dannose o di violazioni dei criteri. Un IDS analizza il traffico per rilevare anomalie, schemi di attacco noti e tentativi di accesso non autorizzati, fornendo avvisi agli amministratori per potenziali violazioni della sicurezza.
Esistono diverse classificazioni dei sistemi di rilevamento delle intrusioni. Le classificazioni più comuni sono:
Le soluzioni IDS e IDPS utilizzano una combinazione di tecniche di rilevamento basate su firme e anomalie per analizzare il traffico di rete e le attività del sistema. Ecco come funzionano:
I sistemi di rilevamento delle intrusioni (IDS) e i sistemi di rilevamento e prevenzione delle intrusioni (IDPS) sono componenti essenziali della strategia di sicurezza informatica di un'organizzazione per diversi motivi:
Gli aggressori oggi possono facilmente eludere ed evitare le tecniche di rilevamento perimetrale e malware . L'elusione del rilevamento può assumere una delle cinque caratteristiche, o una combinazione di tutte, tra cui:
L'approccio più semplice per eludere gli IDPS basati sulle firme consiste nell'utilizzare traffico che non corrisponde alle firme conosciute. Questa operazione può essere banale o molto complessa. Ad esempio, il rilevamento delle firme si basa spesso su indirizzi IP e URL compromessi "noti" utilizzati da botnet e malware. Per gli aggressori, evitarli è facile come registrare un nuovo dominio.
All'altro estremo dello spettro, gli aggressori altamente sofisticati possono trovare e sfruttare vulnerabilità precedentemente sconosciute. Gli attacchi a tali vulnerabilità "sconosciute" mancano naturalmente del tipo di firma che l'IDPS potrebbe cercare di individuare.
Un altro modo per evitare le firme è oscurare il traffico. Ciò può essere semplice come la crittografia del traffico di rete dannoso. La decodifica SSL sul perimetro è un'opzione, ma è costosa in quanto introduce penalizzazioni sulle prestazioni ed è diventata complicata da mettere in pratica.
I sofisticati aggressori di oggi utilizzano una crittografia personalizzata che non può essere decifrata, nemmeno nelle migliori circostanze. I team di sicurezza devono quindi decidere se bloccare o consentire il traffico sconosciuto sul perimetro.
Gli aggressori hanno imparato a evitare il perimetro e le sue protezioni. Infettando i dispositivi degli utenti a casa o al di fuori del perimetro, le minacce possono entrare direttamente dalla porta principale.
In particolare, i dispositivi mobili forniscono percorsi logici e fisici intorno al perimetro. I dispositivi mobili con connettività dati LTE o 5G hanno un facile accesso a Internet e agiscono come un condotto invisibile che gli aggressori amano utilizzare per entrare nelle reti.
Dato che l'attenzione quasi esclusiva degli IDPS è rivolta al perimetro, una volta aggirate le difese iniziali, gli aggressori possono muoversi molto più liberamente. Ciò comporta un processo continuo di ricognizione interna, movimento laterale, accesso e furto di risorse chiave. Ciascuna area impiega un'ampia varietà di tecniche di attacco e tutte si svolgono all'interno della rete, dove la visibilità è in genere ridotta.
Con l'avvento delle implementazioni ibride e multicloud, le lacune di visibilità della rete si estendono spesso alle connessioni tra istanze di calcolo e storage. Gli aggressori informatici amano sfruttare questa lacuna di visibilità.
Una volta entrati nella rete, gli aggressori esperti non hanno bisogno di exploit e malware per estendere la loro incursione. Si limitano invece a raccogliere le credenziali degli utenti dagli host compromessi per diffondersi attraverso la rete. In genere, catturano un nome utente e un login durante il processo di autenticazione o rubano credenziali o hash dalla memoria. In entrambi i casi, gli aggressori possono diffondersi nella rete utilizzando credenziali valide senza dover ricorrere a exploit o a malware.
Sebbene le soluzioni IDS/IDPS svolgano un ruolo cruciale nella sicurezza della rete, da sole potrebbero non fornire una protezione completa contro le minacce informatiche avanzate e in continua evoluzione. È qui che entra in gioco Vectra AI .
Vectra AI offre una piattaforma avanzata di rilevamento e risposta alle minacce che va oltre le tradizionali funzionalità IDS/IDPS.
Sfruttando l'intelligenza artificiale e gli algoritmi di apprendimento automatico, Vectra AI analizza il traffico di rete e i comportamenti degli utenti in tempo reale, rilevando attacchi sofisticati che potrebbero eludere i sistemi IDS/IDPS.
Vectra AILa capacità di di identificare le minacce nascoste, gli attacchi zero-day e le minacce interne colma il vuoto di sicurezza lasciato dalle soluzioni IDS/IDPS, consentendo alle aziende di difendere proattivamente le proprie reti e di rispondere rapidamente alle minacce emergenti. Con Vectra AI, le aziende possono migliorare la loro posizione di sicurezza complessiva e rimanere un passo avanti rispetto ai criminali informatici.
> Leggete perché i team di sicurezza stanno sostituendo i loro vecchi IDPS con l'NDR.
Contattateci per scoprire come possiamo aiutarvi a rafforzare le vostre difese e a raggiungere una posizione di cybersecurity più resiliente.