آشنایی با سیستم تشخیص نفوذ یا به اختصار IDS

IDS و IPS چیست؟

سیستم های تشخیص نفوذ صرفا به منظور تشخیص و اعلام نفوذ راه اندازی می شوند و به تنهایی قدرت پیشگیرانه ندارند در حالیکه یک سیستم پیشگیری از نفوذ یا به اختصار IPS می تواند با کمک سیاست های امنیتی ایجاد شده توسط مدیر شبکه، اقدام به پیشگیری از نفوذ به سیستم نماید. لذا پیشنهاد می شود که سیستم های IDS و IPS در کنار یکدیگر قرار گیرند تا بتوان یک ثبات امنیتی پایدار را در مجموعه خود پیاده سازی نماییم.
اما مبحث ما در مورد سیستم های تشخیص نفوذ در حوزه نرم افزارهای تشخیص نفوذ قرار دارد. این نرم افزارها به منظور پیاده سازی یک مانیتورینگ قدرتمند در یک مجموعه طراحی شده اند.

در مجموع یک سیستم تشخیص نفوذ دارای اجزای زیر می باشد:

• فعالیت یا Activity
• مدیریت یا Administrator
• هشدار یا Alert
• تحلیل کننده یا Analyzer
• منبع داده یا Data Source
• رویداد یا Event
• مدیر یا Manager
• اطلاع رسانی یا Notification
• حسگر یا Sensor
• اپراتور

این اجزا در کنار یکدیگر یک سیستم تشخیص نفوذ را تشکیل می دهند. در کل ۲ نوع سیستم تشخیص نفوذ وجود دارد:

1. MD-IDS

1. AD-IDS

نوع اول براساس معماری حملات اقدام به تشخیص یک نفوذ می کند. دارای بانک اطلاعاتی از انواع حملات بوده و براساس آن بانک اطلاعاتی اقدام به تشخیص می نماید. به طور مثال در یک حمله TCP Flood اگر سیستم تشخیص نفوذ این نوع حمله را بشناسد می تواند بروز آن را تشخیص و اعلام نماید. اما در صورتیکه حملات و اتفاقات غیر متعارف در شبکه ما رخ دهد چگونه می توان از طریق این سیستم ها آنها را شناسایی نماییم؟ پاسخ این سوال نوع دوم سیستم های تشخیص نفوذ یعنی AD-IDS ها می باشند که در واقع با هوش مصنوعی خود اقدام به شناسایی اتفاقات غیرمتعارف در شبکه می کنند و آنها را گزارش می دهند. حال زمانی که این دو نوع سیستم با یکدیگر ترکیب شوند می توانند با بررسی و تجزیه تحلیل ترافیک شبکه از رخداد هرگونه نفوذ در شبکه شمارامطلع سازند.