[et_pb_section fb_built=\u00bb1″ admin_label=\u00bbSection\u00bb _builder_version=\u00bb4.22.0″ _module_preset=\u00bbdefault\u00bb custom_margin=\u00bb0px||0px||false|false\u00bb custom_padding=\u00bb0px||0px||false|false\u00bb locked=\u00bboff\u00bb global_colors_info=\u00bb{}\u00bb][et_pb_row column_structure=\u00bb1_4,3_4″ _builder_version=\u00bb4.27.0″ _module_preset=\u00bbdefault\u00bb custom_padding=\u00bb50px||||false|false\u00bb custom_css_main_element=\u00bbz-index:0!important;\u00bb global_colors_info=\u00bb{}\u00bb][et_pb_column type=\u00bb1_4″ disabled_on=\u00bbon|on|off\u00bb _builder_version=\u00bb4.22.0″ _module_preset=\u00bbdefault\u00bb custom_padding=\u00bb||||false|false\u00bb sticky_position=\u00bbtop\u00bb sticky_offset_top=\u00bb100px\u00bb sticky_limit_bottom=\u00bbsection\u00bb motion_trigger_start=\u00bbtop\u00bb global_colors_info=\u00bb{}\u00bb][et_pb_text admin_label=\u00bbindice\u00bb _builder_version=\u00bb4.27.0″ _module_preset=\u00bbdefault\u00bb custom_margin=\u00bb||0px||false|false\u00bb custom_padding=\u00bb||14px||false|false\u00bb link_option_url=\u00bb#1″ global_colors_info=\u00bb{}\u00bb]<\/p>\n
Secciones<\/strong><\/p>\n [\/et_pb_text][\/et_pb_column][et_pb_column type=\u00bb3_4″ _builder_version=\u00bb4.27.0″ _module_preset=\u00bbdefault\u00bb custom_css_main_element=\u00bbz-index:0!important;\u00bb global_colors_info=\u00bb{}\u00bb][et_pb_text admin_label=\u00bbseccion\u00bb module_id=\u00bb1″ module_class=\u00bbittopicscontent\u00bb _builder_version=\u00bb4.27.0″ _module_preset=\u00bbdefault\u00bb z_index=\u00bb0″ custom_margin=\u00bb0px||0px||true|false\u00bb custom_padding=\u00bb0px||0px||false|false\u00bb custom_css_main_element=\u00bbfont-family:%22Pandora-Light%22;\u00bb locked=\u00bboff\u00bb global_colors_info=\u00bb{}\u00bb]Si le\u00edste 1984 de Orwell y pensaste que era una idea genial… para aplicar en tu infraestructura IT, est\u00e1s de suerte. Porque un IDS (Intrusion Detection System) permitir\u00e1 cumplir tu sue\u00f1o de controlar todo lo que ocurre en tus redes y sistemas, detectando hackers e intentos de intrusi\u00f3n como si tuvieras ojos y o\u00eddos en cada rinc\u00f3n. Un IDS<\/A> es una tecnolog\u00eda de monitorizaci\u00f3n que permite detectar cualquier acci\u00f3n sospechosa y no autorizada en nuestra red o host<\/strong>, alertando al SOC o SIEM para que act\u00fae. Toda actividad no autorizada que busca comprometer la confidencialidad, integridad o disponibilidad de un sistema<\/strong>. A veces pienso que la verdadera fuente de energ\u00eda ilimitada es el ingenio hacker para penetrar defensas. He visto cosas incre\u00edbles, pero muchos intentos de intrusi\u00f3n comienzan con:<\/p>\n El IDS tiene la funci\u00f3n de detectar todo eso y notificar, pero claro, eso lo saben tambi\u00e9n los malvados. Por eso, tratan de evitar a nuestro sistema de espionaje con maniobras de evasi\u00f3n como:<\/p>\n <\/strong><\/p>\n Los IDS se pueden clasificar de muchas maneras, incluida su naturaleza m\u00e1s b\u00e1sica, como hardware y software. Cisco, por ejemplo, ofrece sus Firepower (firewalls de hardware con prestaciones IDS) a corporaciones, igual que implementaban sus antiguos K9 en instalaciones industriales. Las clasificaciones pueden ser infinitas, como diferenciar entre Protocol-Based IDS o incluso Application Protocol-Based IDS, que monitorizan protocolos de red o de capa de aplicaci\u00f3n (HTTP, DNS…). Sin embargo, estas tipolog\u00edas, por ejemplo, se consideran dentro de IDS basados en red y detecci\u00f3n mediante anomal\u00edas. Imaginemos un administrador IT que tiene autoridad sobre los sistemas de la organizaci\u00f3n, de modo que hace lo que siempre quiso, ejercerla con pu\u00f1o de hierro para compensar sus carencias en el resto de aspectos de la vida. As\u00ed que crea su \u00abred de espionaje\u00bb. Un IPS (Intrusion Prevention System) va m\u00e1s all\u00e1 de un sistema de detecci\u00f3n. Mientras que los IDS son esp\u00edas que observan e informan, el IPS tiene \u00ablicencia para actuar\u00bb. Algunos los consideran la siguiente evoluci\u00f3n, ya que funcionan de la misma manera (por firmas, anomal\u00edas, etc), pero el IPS a\u00f1ade capacidad de acci\u00f3n<\/strong>. Si nos hemos convencido de la necesidad de un IDS, tenemos bastantes opciones, tanto de c\u00f3digo abierto como comerciales. He aqu\u00ed una peque\u00f1a comparativa, para comenzar a explorar cu\u00e1l se adapta mejor a nuestra situaci\u00f3n.<\/p>\n Herramienta<\/strong><\/p>\n<\/td>\n Tipo<\/strong><\/p>\n<\/td>\n Caracter\u00edsticas Clave<\/strong><\/p>\n<\/td>\n Casos de Uso<\/strong><\/p>\n<\/td>\n Licencia<\/strong><\/p>\n<\/td>\n<\/tr>\n Snort<\/a><\/strong><\/p>\n<\/td>\n NIDS\/IPS<\/p>\n<\/td>\n – Basado en firmas con capacidad IPS. Pymes, redes con tr\u00e1fico moderado.<\/p>\n<\/td>\n Open Source (GPLv2)<\/p>\n<\/td>\n<\/tr>\n Suricata<\/a><\/strong><\/p>\n<\/td>\n NIDS\/IPS<\/p>\n<\/td>\n – Multi-threading (alto rendimiento). Redes empresariales de alto throughput (>10 Gbps). Suricata es muy bueno, pero lastrar\u00e1 infraestructuras modestas.<\/p>\n<\/td>\n Open Source (GPLv2)<\/p>\n<\/td>\n<\/tr>\n Zeek NSM<\/strong><\/p>\n<\/td>\n NIDS<\/p>\n<\/td>\n – Enfoque forense (logs<\/A> detallados). An\u00e1lisis forense post-incidente, grandes empresas, universidades, organizaciones dedicadas a la investigaci\u00f3n o que precisen un an\u00e1lisis exhaustivo de la red.<\/p>\n<\/td>\n Open Source (BSD).<\/p>\n<\/td>\n<\/tr>\n OSSEC<\/strong><\/p>\n<\/td>\n HIDS\/IPS<\/p>\n<\/td>\n – Monitorizaci\u00f3n de logs y integridad de archivos. Al ser host-based es ideal para monitorizar endpoints<\/a> cr\u00edticos (servidores, equipos de red…).<\/p>\n<\/td>\n Open Source (GPLv2)<\/p>\n<\/td>\n<\/tr>\n Cisco Firepower<\/a><\/strong><\/p>\n<\/td>\n NIDS\/IPS<\/p>\n<\/td>\n – Firewall f\u00edsicos. Normalmente, usados por grandes corporaciones (aunque ciertos modelos como la serie 1000 est\u00e1n pensados para pymes) y entornos multicloud.<\/p>\n<\/td>\n Comercial<\/p>\n<\/td>\n<\/tr>\n Trellix<\/a> IPS<\/strong><\/p>\n<\/td>\n NIDS\/IPS<\/p>\n<\/td>\n – Capacidades m\u00e1s all\u00e1 de an\u00e1lisis por firmas. Se posiciona como una soluci\u00f3n completa, no solo IDS, comparable a Crowstrike o Sentinel One.<\/p>\n<\/td>\n Comercial<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Integrar un IDS en nuestra estrategia de seguridad no es un proyecto plug-and-play, de modo que requiere:<\/p>\n\n
\nDado el panorama en ciberseguridad, un sistema de detecci\u00f3n de intrusiones es imprescindible<\/strong> para cualquier organizaci\u00f3n. Por eso, explicaremos qu\u00e9 es un IDS, c\u00f3mo funciona, alternativas existentes y c\u00f3mo hacer realidad el verdadero sue\u00f1o de todo administrador IT: convertirse en un tirano<\/span> descubrir instant\u00e1neamente cualquier actividad sospechosa en su reino tecnol\u00f3gico.<\/p>\n\u00bfQu\u00e9 es un IDS y para qu\u00e9 sirve?<\/h2>\n
\nPodemos decir que el IDS es el sistema de vigilancia constante<\/strong>, el observador incansable tras cada esquina, nuestra propia KGB, quien enciende las almenaras de Gondor porque alguien intenta romper sus murallas.
\nSu utilidad es clara, detectar intentos de brecha antes de que tengan \u00e9xito, alertando.
\nAunque su principal funci\u00f3n es la de sistema de vigilancia y notificaci\u00f3n de cualquier sospecha, no es la \u00fanica, ya que tambi\u00e9n sirve para cumplir normativas de ciberseguridad<\/strong> que nos ata\u00f1en.
\nTanto la NIS2 europea como la NIST<\/a>, la ISO 27001 y otros marcos de regulaci\u00f3n y buenas pr\u00e1cticas exigen monitorizaci\u00f3n<\/a> continua de redes (con protocolos como SNMP<\/A>) y de sistemas contra accesos no autorizados y actividades maliciosas. El IDS es la pieza que nos ayuda a cumplir y ahorrar multas<\/strong>.
\nEs importante aclarar que el IDS realiza una vigilancia constante y pasiva, pero solo notifica, no toma decisiones ni inicia acciones<\/strong>. El IDS es esp\u00eda, pero no ejecutor.
\nLa respuesta a las alertas del IDS depender\u00e1 de la estructura de seguridad en la organizaci\u00f3n, que puede tener conectado un SIEM que inicie acciones automatizadas, que el propio IDS tenga funciones a\u00f1adidas de respuesta o bien, que sea el SOC quien act\u00fae.<\/p>\n\u00bfQu\u00e9 es una intrusi\u00f3n en ciberseguridad?<\/h2>\n
\nEsto puede tomar la forma de acceso no autorizado a datos sensibles, ejecutar malware (voluntariamente por despecho o sin querer, porque cre\u00edas que ese enlace con faltas de ortograf\u00eda te regalar\u00eda un iPhone), movimientos laterales tras un per\u00edmetro comprometido, etc.<\/p>\nLos m\u00e9todos m\u00e1s comunes de intrusi\u00f3n<\/h3>\n
\n
\n
Tipos de IDS: Host-Based (HIDS), Network-Based (NIDS) y otras variantes<\/h2>\n
\nPero con el avance de la virtualizaci\u00f3n y que muchas empresas vuelan ya montadas en la nube como Goku, muchas opciones estar\u00e1n basadas en software.
\nAs\u00ed, clasificados por su modo de operaci\u00f3n, tendr\u00edamos:<\/p>\n\n
\n
\nComo muchos habr\u00e1n adivinado, algunos de los mejores IDS funcionan de forma h\u00edbrida<\/strong>. Es decir, adoptando la filosof\u00eda Borg y asimilando lo mejor de cada mundo, al utilizar varios de los m\u00e9todos anteriores para una protecci\u00f3n integral.
\nS\u00ed, voy a llenar todo de referencias a Star Trek hasta que me echen, pero continuemos profundizando.<\/p>\n\u00bfC\u00f3mo funciona un IDS? M\u00e9todos de detecci\u00f3n y respuesta posterior a la alerta<\/h2>\n
\nEn lugar de desplegar furgonetas de pizza con parab\u00f3licas en el techo, o tipos con gabardina leyendo un peri\u00f3dico con agujeros a la altura de los ojos, implementa una soluci\u00f3n IDS que delate todo lo que no le parece adecuado<\/strong>.
\nDependiendo de la organizaci\u00f3n, seguramente optar\u00e1 por un IDS basado en red que abra cada paquete para ver si tiene regalo dentro y, en activos sensibles, desplegar\u00e1 IDS basados en Host. Muchos cargan archivos de reglas (que se van actualizando) con patrones de actuaci\u00f3n, IPs sospechosas, etc, de modo que mucho peso del trabajo lo levanta el IDS.
\nPero no le basta. Se le ha subido el poder a la cabeza y tambi\u00e9n decide establecer pol\u00edticas adicionales, como notificar IPs de VPNs conocidas como Riseup o tr\u00e1fico de torrents excepto para una m\u00e1quina (la suya).
\nCon eso, el administrador se siente Od\u00edn y sus cuervos Hugin y Munin (su IDS en realidad, pero dej\u00e9mosle so\u00f1ar) le traen todas las noticias del mundo, como al padre de Thor.
\nAs\u00ed, hay una alerta del IDS porque el becario ha tratado de conducir tr\u00e1fico por puertos p2p, mientras llega otra de paquetes extra\u00f1os que parecen un escaneo de puertos. Poco despu\u00e9s, alguien visita nuestra web desde una VPN y, por supuesto, hay un suministro inagotable de humanos haciendo clic donde no deben como si acabara el mundo.
\nEstos ser\u00edan patrones comunes detectados por IDS basados en firmas. Pero nuestro administrador quiere conservar su empleo, porque es su \u00fanica oportunidad de sentirse alguien cada ma\u00f1ana, de modo que despliega una soluci\u00f3n h\u00edbrida, con detecci\u00f3n adicional basada en anomal\u00edas y Machine Learning.
\nEntonces, ocurren varias cosas que, por s\u00ed mismas, no parecen mucho.
\nEn un equipo Windows alguien ha ejecutado Powershell. No es malware, as\u00ed que un IDS basado en firmas permanecer\u00eda callado. Pero desde ah\u00ed se intenta acceder<\/a> a un servidor de backups. De nuevo, podr\u00eda no ser una brecha, pero las piezas comienzan a tener forma rara. Poco despu\u00e9s, hay tr\u00e1fico hacia un dominio benigno, como Google Drive.
\nEl IDS basado en anomal\u00edas comprender\u00eda que esto no es habitual<\/strong>. El contable medio no sabe qu\u00e9 es Powershell y grita aterrorizado cuando aparece una terminal, o el tr\u00e1fico hacia Google Drive es habitual, pero estas tres cosas huelen a exfiltraci\u00f3n, as\u00ed que suena la alarma.
\nLos cuervos de Od\u00edn (mucho mejor nombre que IDS) han hecho su funci\u00f3n, pero queda la respuesta.
\nSi el IDS est\u00e1 conectado a un SIEM (Security Information and Event Management) como Pandora, por ejemplo, este responder\u00e1 con posibles medidas autom\u00e1ticas y aviso al SOC para atajar el incidente.
\nSe puede bloquear el tr\u00e1fico saliente del servidor de copias como medida preventiva, por ejemplo. O trazar qui\u00e9n est\u00e1 realizando esas cosas y explicarle que una infraestructura tecnol\u00f3gica bien protegida funciona como un estado policial… Y siempre te est\u00e1n mirando.<\/p>\nIDS vs IPS: \u00bfEn qu\u00e9 se diferencian?<\/h2>\n
\nPor ejemplo, un administrador instala un IPS como Fortigate, el cual, de manera similar al IDS, detecta algo sospechoso, imaginemos un ataque d\u00eda cero que obviamente no est\u00e1 en firmas, pero ha detectado como anomal\u00eda.
\nEn lugar de informar solamente, tambi\u00e9n act\u00faa, aplicando un \u00abparche<\/a> virtual\u00bb que, de momento, limite el da\u00f1o, como cortar el tr\u00e1fico.
\n\u00bfY por qu\u00e9 no usamos simplemente IPS en lugar de IDS? De hecho, muchos IDS implementan capacidades de respuesta en mayor o menor medida<\/Strong>, de modo que la frontera entre IDS e IPS es cada vez m\u00e1s borrosa. Sin embargo, no siempre es \u00abmejor\u00bb un IPS<\/strong> o activar capacidades de respuesta, especialmente, automatizadas.
\nPor ejemplo, en ciertas situaciones, actuaciones del IPS ante falsos positivos pueden cortar servicios<\/strong> que, en entornos cr\u00edticos (imagina un hospital) suponen un desastre, por poco downtime que impliquen. Por eso, siempre querremos prestaciones IDS en nuestra estrategia de seguridad, pero planificando bien las formas de responder.
\nAs\u00ed pues, todo depende. Un IPS puede ser ideal para una m\u00e1quina con tolerancia cero a intrusiones y donde un posible downtime no ponga en peligro vidas, como un servidor redundante de backups de datos personales.
\nObviamente, una combinaci\u00f3n de IPS e IDS puede ser ideal, por ejemplo, instalando el IPS en el per\u00edmetro exterior para bloquear amenazas conocidas y posibles d\u00edas cero, mientras que en red interna usamos un IDS.<\/p>\nLas mejores soluciones IDS Open Source y comerciales<\/h2>\n
\n\n
\n \n \n \n \n \n \n \n \n \n
– Reglas personalizables.
– Bajo consumo de recursos.<\/p>\n<\/td>\n\n \n \n \n \n \n
– Soporta JSON y protocolos cifrados (TLS).
– Tiene modo IPS.<\/p>\n<\/td>\n\n \n \n \n \n \n
– Flexible y adaptable, pero requiere conocimiento.
– Scripting personalizado.<\/p>\n<\/td>\n\n \n \n \n \n \n
– Arquitectura cliente-servidor.
-Uso de Machine Learning.
– Capacidad de crear respuestas activas personalizadas con scripts.<\/p>\n<\/td>\n\n \n \n \n \n \n
– Prevenci\u00f3n de amenazas en tiempo real con el poder de Cisco.<\/p>\n<\/td>\n\n \n \n \n \n \n
– Detecci\u00f3n de amenazas con IA.
– Capacidades locales y multicloud.
– An\u00e1lisis de tr\u00e1fico cifrado (SSL\/TLS).<\/p>\n<\/td>\n\n \n La implementaci\u00f3n de un IDS en una estrategia de seguridad<\/h2>\n