sistemele de detectare și prevenire a intruziunilor (IDP) funcționează prin monitorizarea traficului în rețea, analizarea acestuia și furnizarea de tactici de remediere atunci când este detectat un comportament rău intenționat. Ei caută un comportament sau caracteristici care să indice traficul rău intenționat, să trimită alerte și să blocheze atacurile.având atât capacitățile de detectare și de prevenire sunt vitale pentru infrastructura de securitate eficientă., Detectarea identifică doar comportamentul rău intenționat, dar nu va lua măsuri pentru a bloca sau preveni atacurile atunci când unul este detectat. Acesta va înregistra numai aceste alerte. Sistemele de prevenire pot ajusta regulile firewall-ului în zbor pentru a bloca sau a scădea traficul rău intenționat atunci când este detectat, dar nu au capacitățile robuste de identificare ale sistemelor de detectare.instrumentele IDPS pot detecta malware, atacuri create social și alte amenințări bazate pe web, inclusiv atacuri DDoS. Ele pot oferi, de asemenea, capabilități de prevenire a intruziunilor preemptive pentru amenințările interne și sistemele potențial compromise.,
păstrați în minte în timp ce revizuirea lista noastră de top IDP instrumente software care nu trebuie să le cumpere ca produse de sine stătătoare. Acestea pot fi, de asemenea, incluse cu alte instrumente de securitate, cum ar fi firewall-urile de generație următoare (NGFW) și pot avea alte nume, cum ar fi prevenirea amenințărilor.,td>Signature based
McAfee NSP
McAfee Rețea Platforma de Securitate (PNS) este un urmatoarea generatie de detectare a intruziunilor și de prevenire soluție care protejează sistemele informatice și datele unde își au reședința, în centre de date, cloud și hibride medii enterprise., McAfee a fost mult timp unul dintre cele mai mari nume din domeniul securității cibernetice și a dovedit de ce cu acest produs cuprinzător IDPS.poate suporta până la 32 de milioane de conexiuni pe un singur dispozitiv și folosește inteligența pentru a găsi și bloca amenințări malware sofisticate și atacuri direcționate avansate într-o rețea. Oferă analize inteligente ale botului, monitorizare îmbunătățită a aplicațiilor, analiză a fluxului de date, profiluri DoS de auto-învățare și o funcție de analiză pentru identificarea gazdelor potențial dăunătoare.,utilizatorii laudă McAfee NSP pentru flexibilitatea, arhitectura cuprinzătoare și operabilitatea simplă. Când vine vorba de hardware, NSP poate satisface întreaga gamă de nevoi ale clienților cu cele patru modele de senzori.Trend Micro TippingPoint identifică și blochează traficul rău intenționat, previne mișcarea laterală a malware-ului, asigură disponibilitatea rețelei și reziliența și îmbunătățește performanța rețelei. Poate fi implementat în rețea fără adresă IP sau MAC pentru a filtra imediat traficul rău intenționat și nedorit., Filtrele de securitate a amenințărilor digitale ale vaccinului acoperă întreaga amprentă a vulnerabilității, nu doar exploatări specifice. Soluția oferă un debit de inspecție a traficului în rețea de până la 120 Gbps.TippingPoint utilizează o combinație de tehnologii, cum ar fi inspecția profundă a pachetelor și reputația amenințărilor, pentru a adopta o abordare proactivă a securității rețelei. Analiza sa aprofundată a traficului asigură o precizie ridicată a detectării amenințărilor și oferă conștientizare contextuală pentru a oferi echipelor de securitate o mai bună înțelegere a modului de remediere a unei amenințări., Soluțiile TippingPoint sunt furnizate ca hardware sau platforme virtuale și oferă protecție împotriva vulnerabilității în timp real prin intermediul inteligenței automate a amenințărilor cu vaccinurile.sistemul imunitar al întreprinderii Darktrace este tehnologia de învățare automată și inteligență artificială (AI) pentru apărarea cibernetică. Își trăiește numele prin modelarea funcționalității sale după sistemul imunitar uman. Învață iterativ un „model de viață” unic pentru fiecare dispozitiv și utilizator dintr-o rețea și corelează aceste informații pentru a identifica amenințările emergente care altfel ar trece neobservate.,Darktrace Enterprise Immune System poate implementa, de asemenea, eforturi automate de prevenire pentru a oferi echipelor de securitate timp prețios pentru a lupta înapoi. Acest sistem poate detecta amenințări în medii cloud, rețele corporative și sisteme de control industrial. Darktrace premiat threat visualizer oferă vizibilitate holistică în infrastructura de securitate a rețelei și supravegherea completă a alertelor și acțiunilor AI.Darktrace nu se consideră o soluție IPS sau IDPS, iar Gartner este de acord că compania nu se încadrează în această categorie., Cu toate acestea, firma analistă a numit-o un furnizor de urmărit în această zonă a pieței. Acest produs IDPS este disponibil ca un aparat software și hardware.sistemul Cisco de prevenire a intruziunilor de ultimă generație vine în software și aparate fizice și virtuale pentru sucursale mici până la întreprinderi mari, oferind o viteză de transfer de 50 Mbps până la 60 Mbps. NGIPS oferă informații de securitate bazate pe URL, integrare AMP Threat Grid și este susținută de echipa de cercetare Talos security a companiei.,Centrul de gestionare a puterii de foc oferă date contextuale despre amenințări pentru a ajuta echipele să identifice ce fel de amenințare se confruntă și ajută la găsirea cauzei principale a problemei. Cisco actualizează Firepower cu semnături noi la fiecare două ore, asigurându-se că sistemul este capabil să detecteze cele mai noi și mai avansate amenințări.Gartner a clasat Cisco Firepower NGIPS ca lider Magic Quadrant timp de șapte ani, iar organizația independentă de testare NSS Labs a considerat-o o soluție IPS „recomandată” în ultimii opt ani.,
LA&T de securitate Cibernetică a USM
LA&T de securitate Cibernetică Unificat de Management al Securității (USM) – fostă AlienVault – oferă detectare a amenințărilor, de răspuns la incidente, și de management de conformitate într-o singură platformă unificată. Acesta integrează cinci componente esențiale ale unei soluții complete de securitate: descoperirea activelor, evaluarea vulnerabilității, detectarea intruziunilor, monitorizarea comportamentală și gestionarea jurnalelor SIEM.,
actualizat Continuu de informații amenințare la ambele AlienVault Laboratoare și AlienVault Deschide Amenințare Schimb tot sistemul de până-la-data de pe actorii malware, amenințări, instrumente și metode. De asemenea, oferă context cu privire la cele mai recente alarme și vulnerabilități pentru a salva echipele în timpul efectuării cercetării. Sistemul său de alarmă clasifică amenințările în funcție de nivelul de risc pentru a ajuta echipele de securitate să acorde prioritate răspunsurilor.,capacitățile sale robuste de căutare și filtrare permit echipelor să izoleze alarme sau evenimente de interes, astfel încât să poată afla detalii despre informații despre amenințări, evenimente conexe, precum și recomandări pentru răspunsurile la incidente. Există, de asemenea, o listă lungă de opțiuni de răspuns la incidente care pot fi lansate direct de la consolă.AlienVault USM poate fi implementat în medii locale și cloud.
Palo Alto Networks
Palo Alto Networks este probabil cel mai faimos pentru firewall-urile sale puternice de generație următoare., Produsul de prevenire a amenințărilor Palo Alto Networks a fost dezvoltat pentru a accelera capacitățile NGFW lor prin scanare inteligentă și prevenire. Acesta își propune să prevină atacurile cibernetice de succes prin automatizare.prevenirea amenințărilor poate inspecta tot traficul cu contextul complet al utilizatorului, prevenind automat amenințările cunoscute, indiferent de port, protocol sau criptare SSL. Inteligența sa de amenințare este actualizată automat în fiecare zi, livrată către NGFW și implementată prin prevenirea amenințărilor pentru a opri toate amenințările.,Palo Alto Networks a făcut, de asemenea, un efort pentru a asigura performanțe impresionante consistente. Arhitectura sa cu un singur pas și gestionarea politicilor oferă detectarea și prevenirea completă a amenințărilor, fără a sacrifica performanța.
NSFocus NGIPS
sistemul de prevenire a intruziunilor de ultimă generație NSFocus (NGIPS) oferă protecție împotriva amenințărilor care blochează intruziunile, previne încălcările și protejează activele., Acesta utilizează o abordare multi-strat pentru a identifica și adresa cunoscute, Zero-day și amenințări persistente avansate pentru a proteja de malware, viermi, spyware, troieni backdoor, scurgeri de date, brute force cracare, atacuri de protocol, scanare/sondare și amenințări web.Aceasta susține capacitatea de procesare de până la 20 Gbps de date strat aplicație. Instrumentul NSFocus Virtual sandboxing poate identifica, evalua și atenua amenințările persistente cunoscute și avansate.NSFocus NGIPS este disponibil atât ca mașini fizice, cât și virtuale.,
Blumira Automate de Detectare & Răspuns
Blumira Automate de Detectare & Răspuns platforma permite organizațiilor să-și mai eficient apăra împotriva amenințărilor securității cibernetice în aproape în timp real. Acesta este conceput pentru a reduce zgomotul alertelor fals pozitive și să se concentreze doar atenția asupra comportamentului rău intenționat adevărat pentru a ușura povara oboselii de alertă.dincolo de identificarea amenințărilor, Blumira răspunde automat la amenințări în timp aproape real pentru a opri amenințările interne și externe., Sistemul include, de asemenea, PlayBook-uri pas cu pas pentru a ghida eforturile de remediere. Tabloul de bord de management oferă informații suplimentare despre amenințări în timp, analize deschise și amenințări suspectate.
Blumira este o platformă complet livrată în cloud, astfel încât să poată fi implementată ușor și rapid. Iar cu orchestrarea robustă a securității și automatizarea integrată în acest IDP, acesta poate fi gestionat de echipe de aproape orice dimensiune.,funcțiile principale ale soluțiilor IDPS pot fi împărțite în patru categorii principale:
- monitorizare: IDPS monitorizează sistemele IT folosind detectarea intruziunilor pe bază de semnătură sau pe bază de anomalie pentru a identifica comportamentul anormal și activitatea rău intenționată a semnăturii.
- Alerte: După identificarea potențialelor amenințări, PSI software-ul se va conecta și trimite notificări de alertă pentru a Informa administratorii de activitate anormală.,
- remediere: instrumentele IDPS oferă mecanisme de blocare a amenințărilor rău intenționate, oferind administratorilor timp să ia măsuri. În unele cazuri, este posibil ca echipele IT să nu fie obligate să ia măsuri deloc după blocarea unui atac.
- întreținere: pe lângă monitorizarea comportamentului anormal, instrumentele IDPS pot monitoriza, de asemenea, performanța hardware-ului IT și a componentelor de securitate cu verificări de sănătate. Acest lucru asigură o infrastructură de securitate funcționează corect în orice moment.
sisteme de detectare a intruziunilor (IDS) vs., Sisteme de prevenire a intruziunilor (IPS)
așa cum am menționat anterior, un instrument IDPS cu adevărat holistic necesită atât capacități de detectare, cât și de prevenire. Când căutați soluții, probabil că veți întâlni atât sisteme de detectare a intruziunilor (IDS), cât și sisteme de prevenire a intruziunilor (IPS). Acestea sunt produse de sine stătătoare și nu trebuie confundate cu IDP-urile, ceea ce vă va ajuta să evitați găuri mari în infrastructura dvs. de securitate.
instrumentele IDS sunt concepute doar pentru a detecta activități rău intenționate și pentru a înregistra și trimite alerte. Nu sunt capabili să prevină un atac., Alertele pe care le ridică necesită întotdeauna intervenție umană.IPS, pe de altă parte, răspunde pe baza unor criterii predeterminate de tipuri de atacuri prin blocarea traficului și renunțarea la procesele rău intenționate. Din păcate, instrumentele IPS conduc la mai multe fals pozitive, deoarece au capacități de detectare inferioare în comparație cu ID-urile.
soluțiile IDPS încorporează punctele forte ale ambelor sisteme într-un singur produs sau suită de produse.
tipuri de IDP
tipurile de IDP pot fi clasificate în funcție de ceea ce sunt concepute pentru a proteja., În general, acestea se încadrează în două tipuri: bazate pe gazdă și bazate pe rețea.
IDP-uri bazate pe gazdă
IDP-uri bazate pe gazdă este un software implementat pe gazdă care monitorizează exclusiv traficul pentru a se conecta la și de la acea gazdă. De obicei, protejează doar un singur punct final specific. În unele cazuri, poate monitoriza, de asemenea, fișierele de sistem stocate pe gazdă pentru modificări și procese neautorizate care rulează pe sistem.,
IDP bazate pe rețea
IDP bazate pe rețea, de asemenea, uneori numite sisteme de detectare a intruziunilor de rețea (NIDS), sunt implementate într-un loc unde poate monitoriza traficul pentru un întreg segment de rețea sau subrețea. Funcționalitatea lor seamănă oarecum cu firewall-urile, care sunt capabile să prevină intruziunile care vin din afara rețelei și să impună liste de control al accesului (ACL) între rețele.NID-urile sunt concepute pentru a detecta și alerta asupra traficului intern potențial rău intenționat care se deplasează lateral într-o rețea; acest lucru îl face un instrument excelent pentru un cadru de securitate zero trust., Traficul este analizat pentru semne de comportament rău intenționat pe baza profilurilor tipurilor comune de atacuri.aceste sisteme identifică potențialele amenințări bazate pe reguli și profiluri încorporate. Cele mai frecvente sunt metodologiile de detectare bazate pe semnături și pe anomalii.
detectarea intruziunilor bazată pe semnături
detectarea intruziunilor bazată pe semnături caută cazuri de atacuri cunoscute. Când este identificat conținut rău intenționat, acesta este analizat pentru caracteristici unice pentru a crea o amprentă sau o semnătură pentru acel atac specific., Această semnătură ar putea fi sub forma unei identități sau a unui model de comportament cunoscut. Sistemele bazate pe semnături compară apoi această amprentă cu o bază de date cu semnături preexistente pentru a identifica tipul specific de atac. Dezavantajul acestor sisteme este că acestea trebuie actualizate în mod regulat pentru a putea recunoaște tipuri noi și în evoluție de atacuri.detectarea intruziunilor bazată pe anomalie
detectarea intruziunilor bazată pe anomalie construiește un model inițial de comportament „normal” pentru un anumit sistem, mai degrabă decât crearea amprentelor digitale., Sistemul va compara apoi toate comportamentele în timp real cu modelul normal creat anterior pentru a identifica anomaliile comportamentale. Aceste cazuri de comportament anormal sunt utilizate pentru a identifica potențialele atacuri și pentru a declanșa alerte.
contrastant pe bază de semnătură vs. IDP-uri bazate pe anomalie
există probleme cu ambele sisteme în mod individual. Detectarea bazată pe semnătură are rezultate fals pozitive scăzute, dar poate detecta doar atacuri cunoscute. Acest lucru le face vulnerabile la noi metode de atac în evoluție.detectarea bazată pe anomalie poate duce la rezultate fals pozitive ridicate, deoarece avertizează asupra tuturor comportamentelor anormale., Dar are potențialul de a prinde amenințări zero-day. Din fericire, multe produse PSI combină ambele metodologii pentru a-și completa punctele forte și punctele slabe.
provocări atunci când gestionați IDP-uri
este posibil să întâmpinați unele provocări atunci când vine vorba de instrumente software IDP. Iată câteva pentru a păstra top-of-mind:
- fals pozitive: aproape sigur va rula în problema de alerte fals-pozitive, care pot pierde timp și resurse. Fiți vigilenți atunci când sunteți notificat de un comportament potențial rău intenționat, dar, de asemenea, să fie conștienți de faptul că nu este o garanție a unui atac.,
- personal: securitatea cibernetică este atât de esențială pentru organizațiile moderne, încât în prezent există un deficit de profesioniști în securitate disponibili. Înainte de a implementa un sistem IDPS, asigurați-vă că ați format o echipă care are capacitatea de a-l gestiona eficient.
- riscuri reale: dincolo de gestionarea unui IDP, vor exista cazuri în care este necesară intervenția administratorului. Un IDP poate bloca multe atacuri, dar nu toate. Asigurați-vă că echipele își păstrează cunoștințele actualizate cu privire la noile tipuri de atacuri, astfel încât să nu fie luate prin surprindere atunci când unul este identificat.