IDS e IPS: quali sono le dif­fe­ren­ze e le analogie tra i sistemi di sicurezza?

Il metodo più efficace per pro­teg­ge­re una rete o un singolo sistema in­for­ma­ti­co è quello di in­di­vi­dua­re e prevenire gli attacchi fin da subito, prima ancora che possano causare danni. Un’aggiunta utile al firewall sono i sistemi di ri­le­va­men­to e di pre­ven­zio­ne delle in­tru­sio­ni. Ti spie­ghia­mo cosa accomuna e distingue gli IDS dagli IPS.

Prima di entrare nel dettaglio del confronto tra IDS e IPS, ti pre­sen­tia­mo in breve i due sistemi. IDS è l’acronimo di intrusion detection system (sistema di ri­le­va­men­to delle in­tru­sio­ni), vale a dire un sistema in grado di rilevare il prima possibile attacchi a un client o a una rete. Qualora l’IDS rilevi un traffico di dati insolito durante la sua analisi, invia un avviso all’am­mi­ni­stra­to­re o all’am­mi­ni­stra­tri­ce. L’IDS opera una di­stin­zio­ne tra i metodi di ri­le­va­men­to degli attacchi basati sull’host e quelli basati sulla rete. IPS, ovvero intrusion pre­ven­tion system (sistema di pre­ven­zio­ne delle in­tru­sio­ni), indica invece un sistema che non solo rileva e segnala po­ten­zia­li attacchi, ma li contrasta con con­tro­mi­su­re attive. Questo sistema utilizza anche sensori basati su host e rete per valutare i dati di sistema e i pacchetti di rete.

IDS e IPS: quali sono le analogie?

Con questa breve in­tro­du­zio­ne è già chiaro che IDS e IPS non sono concetti dia­me­tral­men­te opposti, ma anzi con­di­vi­do­no alcuni aspetti im­por­tan­ti. I sistemi di ri­le­va­men­to delle in­tru­sio­ni e i sistemi di pre­ven­zio­ne delle in­tru­sio­ni sono ac­co­mu­na­ti dai seguenti elementi:

Analisi

In molti casi i metodi di analisi uti­liz­za­ti da entrambi i sistemi sono quasi o com­ple­ta­men­te equi­va­len­ti. IPS e IDS si avvalgono entrambi di sensori sull’host, nella rete o in entrambi i punti per con­trol­la­re i dati del sistema e i pacchetti di dati nella rete ed esa­mi­nar­li alla ricerca di minacce. A questo scopo ricorrono a parametri definiti, in modo da rilevare le de­via­zio­ni, ma spesso iden­ti­fi­ca­no anche anomalie in realtà innocue. In base al sistema, l’analisi viene ef­fet­tua­ta tramite misuse detection (ri­le­va­men­to di abusi) o anomaly detection (ri­le­va­men­to delle anomalie). Ne consegue che anche le po­ten­zia­li vul­ne­ra­bi­li­tà sono simili: in caso di ri­le­va­men­to di abusi, le minacce sco­no­sciu­te possono essere tra­scu­ra­te, mentre il ri­le­va­men­to delle anomalie segnala più fre­quen­te­men­te pacchetti di dati innocui.

Database

Ai fini del ri­le­va­men­to delle minacce, entrambi i sistemi si basano su un database che viene uti­liz­za­to per iden­ti­fi­ca­re le minacce in modo più rapido e accurato. Più questa libreria è fornita, più alto è il tasso di successo di entrambi i sistemi. Pertanto, anche IDS e IPS non devono essere intesi come di­spo­si­ti­vi statici, ma come sistemi mo­di­fi­ca­bi­li e in grado di ap­pren­de­re, co­stan­te­men­te mi­glio­ra­bi­li grazie agli ag­gior­na­men­ti.

Ricorso all’in­tel­li­gen­za ar­ti­fi­cia­le

Uno dei fattori che gioca un ruolo im­por­tan­te per gli IDS e gli IPS è l’in­tel­li­gen­za ar­ti­fi­cia­le. Mediante l’ap­pren­di­men­to au­to­ma­ti­co, i sistemi moderni riescono a per­fe­zio­na­re il ri­le­va­men­to delle minacce e ad ampliare i propri database. In questo modo sono in grado di com­pren­de­re meglio i nuovi schemi di attacco, di rilevarli prima e, allo stesso tempo, di segnalare meno fre­quen­te­men­te i pacchetti innocui.

Opzioni di con­fi­gu­ra­zio­ne

Entrambi i sistemi possono essere per­so­na­liz­za­ti e adattati alle esigenze di una rete o di un sistema in­for­ma­ti­co. Con questa con­fi­gu­ra­zio­ne si ga­ran­ti­sce che i processi non vengano in­ter­rot­ti e che tutti i com­po­nen­ti fun­zio­ni­no senza problemi no­no­stan­te il mo­ni­to­rag­gio. Dal momento che IDS e IPS ef­fet­tua­no scansioni e analisi in tempo reale, anche questo è un fattore im­por­tan­te.

Au­to­ma­tiz­za­zio­ne

IDS e IPS lavorano entrambi in modo au­to­ma­ti­co e autonomo. Dopo essere stati con­fi­gu­ra­ti, non ri­chie­do­no la su­per­vi­sio­ne del personale di sicurezza, ma eseguono i propri compiti come richiesto. For­ni­sco­no un feedback solo in caso di si­tua­zio­ni di pericolo.

Ri­le­va­men­to e avviso delle minacce

No­no­stan­te alcuni fattori che dif­fe­ren­zia­no IDS e IPS, la loro funzione di base è comune: entrambi i sistemi non solo rilevano le minacce, ma avvertono im­me­dia­ta­men­te l’am­mi­ni­stra­to­re o l’am­mi­ni­stra­tri­ce. L’avviso può essere inviato per e-mail, come notifica su un di­spo­si­ti­vo mobile o di­ret­ta­men­te come allarme di sistema. Ciò offre a chi di dovere l’op­por­tu­ni­tà di decidere le azioni da in­tra­pren­de­re.

Funzione di pro­to­col­lo

Sia i sistemi IDS che IPS di­spon­go­no di un’im­por­tan­te funzione di pro­to­col­lo. Ciò consente loro non solo di segnalare (o con­tra­sta­re) le minacce, ma anche di in­clu­der­le nel proprio database. Questo li rende ancora più forti e in grado di iden­ti­fi­ca­re e ideal­men­te anche risolvere le po­ten­zia­li vul­ne­ra­bi­li­tà.

Col­la­bo­ra­zio­ne con il firewall

Per quanto vi siano alcune dif­fe­ren­ze tra IDS e IPS, entrambi devono essere intesi come un’in­te­gra­zio­ne del firewall. Tutti i mec­ca­ni­smi di sicurezza devono essere coor­di­na­ti per pro­teg­ge­re al meglio il sistema dagli attacchi. Uti­liz­zan­do solo un sistema di ri­le­va­men­to delle in­tru­sio­ni o un sistema di pre­ven­zio­ne delle in­tru­sio­ni, la rete o il computer non sono suf­fi­cien­te­men­te protetti.

IDS e IPS: che cosa dif­fe­ren­zia i due approcci?

Abbiamo dunque ri­scon­tra­to alcune so­mi­glian­ze tra i due sistemi. Nel complesso, tuttavia, si possono in­di­vi­dua­re diverse dif­fe­ren­ze nel confronto tra IDS e IPS. Ri­por­tia­mo le più im­por­tan­ti di seguito:

Pre­ven­zio­ne dei rischi

Come già detto in pre­ce­den­za, IDS e IPS ef­fet­tua­no entrambi il mo­ni­to­rag­gio del ri­spet­ti­vo sistema, segnalano le minacce e le re­gi­stra­no. Il lavoro di un sistema di ri­le­va­men­to delle in­tru­sio­ni si ferma qui, ma il sistema di pre­ven­zio­ne delle in­tru­sio­ni va ben oltre: l’IPS, infatti, è un sistema di sicurezza attivo in grado di con­tra­sta­re au­to­no­ma­men­te eventuali minacce. A tale scopo, può in­ter­rom­pe­re le con­nes­sio­ni, se ne­ces­sa­rio, o arrestare e scartare i pacchetti di dati se pre­sen­ta­no anomalie. L’IDS, invece, è da con­si­de­rar­si un sistema passivo che si limita a mo­ni­to­ra­re e segnalare eventuali pericoli.

Po­si­zio­na­men­to

Anche le pos­si­bi­li­tà di po­si­zio­na­men­to dei sistemi IDS rispetto a quelli IPS sono dif­fe­ren­ti: l’IDS viene collocato su un computer o ai margini di una rete. Da qui è più facile con­trol­la­re i pacchetti di dati in entrata e in uscita. L’IPS, invece, si colloca dietro il firewall. Qui può non solo segnalare le minacce, ma anche bloccarle nel miglior modo possibile.

Tipologie

Pur essendo entrambe le soluzioni basate su host (HIPS) o su rete (NIPS), esistono anche soluzioni IPS che vengono inserite in una rete Wi-Fi. Questa versione è chiamata WIPS.

In­di­pen­den­za

Gli IPS fun­zio­na­no in modo del tutto in­di­pen­den­te e ge­ne­ral­men­te trovano soluzioni per diversi scenari di minaccia. Anche gli IDS mo­ni­to­ra­no i pacchetti di dati senza in­ter­ven­to esterno, ma in caso di ri­le­va­men­to di una tra­smis­sio­ne sospetta non possono agire au­to­no­ma­men­te. Dopo l’invio dell’avviso, l’am­mi­ni­stra­to­re o l’am­mi­ni­stra­tri­ce deve prendere au­to­no­ma­men­te le con­tro­mi­su­re ne­ces­sa­rie.

Con­fi­gu­ra­zio­ne

Di solito, l’IDS funziona “in-line,” ovvero po­si­zio­na­to come un firewall o uno switch sulla “tra­iet­to­ria” dei pacchetti, e quindi non ha un impatto negativo sulle pre­sta­zio­ni della rete. Questa modalità di fun­zio­na­men­to, tuttavia, deve essere presa in con­si­de­ra­zio­ne nella con­fi­gu­ra­zio­ne. Ad esempio, è possibile che l’IDS inoltri una minaccia rilevata di­ret­ta­men­te al router o al firewall e ne informi l’am­mi­ni­stra­to­re o l’am­mi­ni­stra­tri­ce. L’IPS può influire ne­ga­ti­va­men­te sulle pre­sta­zio­ni della rete. Perciò è ancora più im­por­tan­te che il sistema sia con­fi­gu­ra­to in modo preciso. Se consente il passaggio di pacchetti di dati pe­ri­co­lo­si, la pro­te­zio­ne non è più garantita. Se invece blocca tra­smis­sio­ni innocue, ne risentirà l’intera rete.