Podemos classificar os IDS quanto às técnicas com que eles reconhecem um ataque :

 

–Sistemas Baseados em Regras: baseado em bibliotecas ou base de dados com padrões de ataques, conhecidos como assinaturas. Deve-se manter abase de dados constantemente atualizada e essa técnica detecta apenas ataques conhecidos. Além disso, se uma regra para identificação de ataque for muito específica, ataques que sejam parecidos porém não iguais não serão identificados.

 

–Sistemas Adaptáveis: utiliza técnicas de inteligência artificial para reconhecer novos ataques. Apresentam porém custo elevado e dificuldade no gerenciamento, que envolve grandes conhecimentos de matemática e estatística.

 

Temos também a classificação baseada nas arquiteturas dos IDS. Um IDS tem uma arquitetura centralizada quando a coleta, a análise e a gerência de dados são de responsabilidade de um mesmo componente. Essa arquitetura simplifica o projeto de IDS e quase não interfere no desempenho da rede. Além disso, não há problemas de autenticidade, visto que o componente faz todo o “serviço” sozinho. Com essa arquitetura, porém, tem-se um ponto único de falha. Uma falha nesse componente comprometeria todo o trabalho do IDS. Além disso, são difíceis a instalação e a manutenção em grandes redes. Dificulta também um crescimento modular do seu sistema.

 

Temos a arquitetura distribuída hierárquica, onde as funções são distribuídas entre componentes, mas com forte relação hierárquica. Essa arquitetura apresenta uma maior facilidade de desenvolvimento, mas ainda apresenta o problema do ponto único de falha, visto que um problema no seu componente de maior grau na hierarquia compromete todo o sistema.

 

Já a arquitetura livremente distribuída não tem essa relação hierárquica. Temos então um sistema de fácil crescimento modular e com uma abrangente detecção, com sua distribuição de tarefas. Temos, porém, um sistema complexo, que necessita de autenticação e que interfere no desempenho da rede.

 

IDS podem ser divididos ainda em três tipos: NIDS, HIDS e IDS Híbrido.

 

NIDS (Network-based IDS):

 

            Produtos NID trabalham observando a rede e examinando se pacotes se assemelham a assinaturas de invasões. Essa forma de trabalhar é bastante eficiente contra ataques conhecidos.

 

            Uma desvantagem presente é que novos ataques podem passar despercebidos, se eles não seguirem nenhum padrão de ataque já definido.

 

            Alguns obstáculos estão presentes contra os NIDS:

 

-Velocidade da linha: Os sistemas podem não suportar um grande volume de dados que percorra a rede.

 

-Ambientes com “switch”: NIDS devem ser cautelosos em ambientes com “switch”. Para examinar todo pacote que chega no switch seria necessário um esforço computacional gigantesco. A maioria dos switchs não tem um sistema de monitoramento de portas, limitando o NIDS a aalisar apenas uma estação. Uma possível solução seria instalar NIDS diretamente no switch, usando a área de “backplane”.

 

 

-Dados encriptados: Nenhum NID pode avaliar dados encriptados, já que não possuem a chave de encriptação. Para que se conseguisse analisar um dado encriptado, o sistema precisaria:

 

oSer programado com as chaves de encriptação ou obtê-las enquanto a conexão é estabelecida (não desejável em um bom algoritmo de encriptação).

 

oConhecer o algoritmo de encriptação.

 

oEntender o protocolo da aplicação.

 

oCapturar e decriptar toda a sessão em tempo real.

 

oGarantir aos administradores da rede que não há como comprometer a estação NID.

 

–A maioria dos NIDS não reconhece se um ataque foi bem sucedido, apenas apontam que um ataque foi iniciado.

–Alguns IDS têm problemas em lidar com pacotes de dados fragmentados.

 

Algumas vantagens dos NIDS que podemos ressaltar são que um NIDS tem pouco impacto sobre a performance da rede, NIDS bem posicionados podem monitorar grandes redes e ficam invisíveis aos atacantes.

 

NIDS são empregados em pontos chaves da rede. É comum tê-los instalados em pontos de acesso à sua rede interna, onde trabalham em conjunto com os firewalls para proteger o perímetro da rede. O emprego estratégico de NIDS também inclui NIDS em segmentos críticos de LANs e WANs.

 

Um estudo recente do MIT mostrou que vários NIDS só conseguem detectar entre 60 e 80 % dos ataques que acontecem.

 

IDS podem ter respostas passivas ou ativas. Quando passivas, eles apenas alertam os operadores responsáveis pelo gerenciamento.Podem alertar através de e-mail ou Pager, por exemplo. Uma resposta ativa requer uma integração entre o NIDS e o firewall. Respostas ativas típicas são:

–Abortar uma sessão de usuário.

–Bloquear uma conexão TCP.

–Rodar um script definido pelo usuário.

–Reconfiguração do firewall:

–Bloqueio de um endereço IP

–Bloqueio do tráfego entre IPs específicos e portas específicas

–Desconexão de uma porta.

 

NIDS baseados em assinaturas são os mais comuns ultimamente. Um sensor NIDS é instalado num segmento de rede e examina cada pacote que passa pelo firewall mais próximo. Esse tipo de IDS trabalha com a pespectiva de que intrusões podem ser caracterizadas por padrões de tráfego de rede qualificados como suspeitos. Esses padrões suspeitos são chamados de assinaturas e são comparados com os padrões de tráfego de rede. Se o sensor detecta que determinado pacote tem características tidas como as de um padrão suspeito, ele sinaliza uma intrusão, ou tentativa de intrusão e é ligado um alerta. As estações que rodam esses sensores devem estar limitadas a executar somente o IDS, para que se mantenham mais seguras contra ataques.

 

O valor de um IDS baseado em assinaturas é determinado por alguns aspectos:

 

-é importante que a capacidade de detecção de um IDS esteja de acordo com as taxas de dados com as quais o IDS é planejado para trabalhar.

-Quanto tempo leva-se para identificar um ataque? Até ser identificado é adicionado à base de dados, um tipo de ataque pode corromper o sistema.

-Para que esse tempo de identificação seja encurtado, é preciso ter sempre o banco de dados atualizado.

-A qualidade e a experiência do profissional que irá solucionar os problemas referentes à invasão é um fator crucial.

 

Temos também NIDS baseados em “anomalias”, que se subdividem em dois grupos: estatísticos e de protocolo.

 

Os estatísticos são os menos comuns. O sistema examina determinadas estatísticas do sistema, ou padrões de comportamento. Mudanças nesses padrões indicam um ataque em potencial e resultam em um alerta.

 

Os baseados em protocolos identificam as anomalias na camada dos protocolos de aplicação. Regras do protocolo são carregadas nos sensores. Esses IDS baseados em protocolos são úteis na identificação de ataques como Code Red, enquanto que os baseados em assinaturas deixarão os pacotes passarem até que uma assinatura seja identificada e aplicada para se detectar o novo padrão.

 

            Podemos ainda qualificar NIDS com base em se é um NIDS feito em hardware ou em software.

 

            Os feitos baseados em hardware são soluções aplicadas. Constituem-se de uma plataforma de hardware com um ambiente específico, conectado a um segmento de rede da mesma forma que outros elementos de rede. Como é uma solução específica, deve-se sempre considerar a quantidade de tráfego esperado no segmento de rede monitorado. Para se atualizar o sistema normalmente precisa-se modificar tanto a parte de hardware como de software usado para gerenciá-lo.

 

            Os baseados em software residem apenas nos sistemas operacionais, tais como Windows ou Solaris.

 

HIDS (Host-based IDS):

 

            Os HIDS operam sobre informações provindas de computadores individuais. HIDS observam as atividades e os acessos referentes a servidores chave nos quais foram instalados. Eles analisam essas atividades determinando quais processos e usuários estão envolvidos em um tipo particular de ataque. Podem então ver as conseqüências de uma tentativa de ataque, podendo acessar e monitorar os arquivos e processos que normalmente são alvos de ataque. HIDS é valioso para detectar não só intrusão externa como também acessos por usuários internos com aparente confiança. HIDS procuram por atividades suspeitas tais como falhas de login, mudanças nas autorizações dos sistemas e acessos a arquivos não autorizados. HIDS agem  nas máquinas que devem proteger. Os sistemas HIDS parecem ser o ponto de ligação entre firewalls e NIDS. Porém, ainda há alguns obstáculos a esse tipo de sistema:

 

-Resposta em tempo real: Para entrar em ação, HIDS utiliza recursos do resto do sistema. Para estar sempre analisando sistemas de arquivos gasta uma quantidade considerável de recursos do sistema, o que para algumas aplicações pode não ser vantajoso.

 

-É um tipo difícil de se gerenciar, precisando que haja a configuração de cada host monitorado.

 

-HIDS não reconhecem ataques que sejam destinados a toda a rede.

 

Temos também as vantagens da utilização de um HIDS :

 

-Pode monitorar eventos locais de um host, detectando ataques que passariam despercebidos pelos IDS de rede.

 

-Podem operar em ambiente cujo tráfego de rede é criptografado, analisando a informação antes do processo de criptografia, se estiver instalado na origem, ou depois de ser decriptada, se estiver no destino.

 

-Se o HIDS operar em nível de sistema operacional, pode detectar “Cavalos de Tróia”, assim como ataques que envolvem problemas de integridade nos programas.

 

IDS Híbrido é simplesmente a combinação de um IDS de rede (NIDS) com um local (HIDS)

.

Exemplo de implementação de um IDS Híbrido:

 

 Figura 1- Exemplo tirado do white paper "Effective Intrusion Detection" da Insight Consulting.