IDS və IPS Nədir, Aralarındakı Fərqlər Hansılardır?

Təsəvvür edin ki, böyük bir holdinqin mərkəzi ofisindəsiniz. Binanın girişində iki fərqli mühafizə konsepti qura bilərsiniz:

1. Birinci variant: Qapıda bir mühafizəçi dayanır. O, içəri girib-çıxan hər kəsi diqqətlə izləyir. Əgər içəri əlində şübhəli bir çanta olan və ya maska taxmış şəxs daxil olarsa, mühafizəçi dərhal telsizlə rəhbərliyə xəbər verir: "Cənab menecer, binaya şübhəli şəxs daxil oldu!" Lakin bu mühafizəçi həmin şəxsi fiziki olaraq saxlamır, sadəcə işi xəbər verməkdir.

2. İkinci variant: Qapıda turniketlər və xüsusi təyinatlı polis dayanıb. Şübhəli şəxs qapıdan içəri addımını atan kimi, polis onu yerindəcə qandallayır, çantasını əlindən alır və binaya daxil olmasına icazə vermir.

Kibertəhlükəsizlik dünyasında birinci variant IDS (Intrusion Detection System), ikinci variant isə IPS (Intrusion Prevention System) adlanır.

Hər iki sistem şəbəkəmizi xarici və daxili təhdidlərdən qorumaq üçün kritik əhəmiyyətə malikdir. Gəlin bu iki texnologiyanın dərinliklərinə enək, onların necə işlədiyini, şəbəkədə harada yerləşdiyini və real dünyada hansı problemlərə səbəb ola biləcəyini asan dillə analiz edək.

1. IDS Nədir? (Intrusion Detection System)

IDS, yəni Müdaxilənin Aşkar Edilməsi Sistemi, şəbəkə daxilindəki trafiki və ya sistem fəaliyyətlərini passiv şəkildə izləyən bir monitorinq mexanizmidir.

IDS Necə İşləyir?

IDS şəbəkədəki əsas magistral xəttin birbaşa üzərində dayanmır. O, kənarda durur. Şəbəkə keçid cihazlarından (Switch) keçən bütün trafikin bir nüsxəsi (kopyası) SPAN (Switch Port Analyzer) və ya TAP adlanan xüsusi portlar vasitəsilə IDS-ə göndərilir.

IDS bu kopyalanmış paketləri analiz edir. Əgər trafikin içində bir zərərli kod (malware), port skanlama fəaliyyəti (reconnaissance) və ya məlum bir kiberhücum ssenarisi taparsa, dərhal təhlükə siqnalı (Alert) generasiya edir və bunu SIEM (Təhlükəsizlik Məlumatlarının və Hadisələrinin İdarə Edilməsi) sisteminə və ya SOC analitikinə ötürür.

IDS-in qızıl qaydası: O, reaktivdir. Hücumu görür, qeydə alır, xəbər verir, amma hücumun qarşısını özü kəsmir.

2. IPS Nədir? (Intrusion Prevention System)

IPS, yəni Müdaxilənin Qarşısının Alınması Sistemi, IDS-in bir addım daha təkmilləşdirilmiş və aktiv formasıdır.

IPS Necə İşləyir?

IPS şəbəkədə In-Line rejimində, yəni trafik xəttinin tam ortasında yerləşir. İnternetdən gələn hər bir paket sizin serverinizə çatmazdan əvvəl mütləq IPS-in içindən keçməlidir.

IPS paketi real vaxt rejimində (real-time) analiz edir. Əgər paketdə hər hansı bir təhlükə aşkarlanarsa, IPS aşağıdakı addımları ata bilir:

• Zərərli paketi dərhal məhv edir (Drop).

• Hücum edən IP ünvanından gələn bütün bağlantıları müvəqqəti və ya daimi olaraq bloklayır.

• Şəbəkə sessiyasını sıfırlayır (Reset connection).

IPS-in qızıl qaydası: O, proaktivdir. Hücumu hələ hədəfə çatmamış yolda yaxalayır və zərərsizləşdirir.

3. IDS və IPS-in Şəbəkə Memarlığındakı Mövqeyi

Bu iki sistemin fərqini anlamağın ən yaxşı yolu onların şəbəkədə harada qurulduğuna (deployment) baxmaqdır.

Plaintext

[ İNTERNET ]
     │
[ Firewall (Atəş divarı) ]
     │
     ├───────► [ IPS ] ───────► [ Daxili Şəbəkə / Serverlər ] (In-Line)
     │
[ Switch (Keçid Cihazı) ] 
     │ (SPAN / TAP portu ilə trafikin kopyası)
     ▼
[ IDS ] (Out-of-Line / Passiv)

• IPS xəttin üstündədir: Əgər IPS xarab olsa və ya donub qalsa, trafik kəsilə bilər. Çünki o, bir növ körpüdür.

• IDS xəttin kənarındadır: IDS-in başına nə gəlirsə gəlsin, əsas şəbəkə trafiki problemsiz axmağa davam edir, çünki IDS sadəcə kənardan izləyir.

4. Təhlükələri Necə Tanıyırlar? (Aşkar Etmə Metodları)

Həm IDS, həm də IPS sistemləri zərərli trafiki tanımaq üçün əsasən iki böyük metodologiyadan istifadə edir:

A) İmza Əsaslı Aşkar Etmə (Signature-based Detection)

Bu metod antivirusların işləmə prinsipinə bənzəyir. Hər bir məlum hücumun, zərərli proqramın özünəməxsus rəqəmsal izi (signature) var. Sistemlər gələn trafiki öz bazalarındakı minlərlə imza ilə müqayisə edir.

• Müsbət tərəfi: Çox sürətlidir və tanınan hücumları demək olar ki, 100% dəqiqliklə tutur.

• Mənfi tərəfi: Əgər haker tamamilə yeni, dünyada ilk dəfə istifadə olunan bir hücum metodu (Zero-day) tətbiq edirsə, imza bazasında olmadığı üçün sistem bunu ötürüb keçəcək.

B) Anomaliya Əsaslı Aşkar Etmə (Anomaly-based Detection)

Bu metod süni intellekt və ya statistik modellərlə işləyir. Sistem öncə şəbəkənin normal davranışını öyrənir (Baseline). Məsələn: "Bu şirkətin işçiləri gün ərzində ortalama 50 GB data yükləyir və gecə saat 22:00-dan sonra trafik demək olar ki, sıfıra enir." Əgər bir gün gecə saat 03:00-da hansısa kompüterdən xarici bir IP-yə dərhal 200 GB data transferi başlasa, sistem bunu "anomaliya" kimi qeyd edir.

• Müsbət tərəfi: Yeni və naməlum (Zero-day) hücumları tapmaq üçün mükəmməldir.

• Mənfi tərəfi: Yanılma ehtimalı yüksəkdir. Legitim (normal) bir prosesi hücum kimi görə bilər.

5. Müqayisə Cədvəli: Fərqlər Bir Baxışda

6. Real Dünyadan Bir Problem: "False Positive" Fəlakəti

Kibertəhlükəsizlikdə False Positive (Yalançı Həyəcan) anlayışı var. Bu, təhlükəsiz bir faylın və ya hərəkətin sistem tərəfindən "təhlükəli" kimi qəbul edilməsidir.

• Əgər IDS-də False Positive baş verərsə, çox böyük bir fəlakət olmur. SOC analitikinə yalandan bir bildiriş düşür, analitik baxır ki, hər şey qaydasındadır və alarmı bağlayır. Şirkətin işi dayanmır.

• Əgər IPS-də False Positive baş verərsə, bu, biznes üçün böyük ziyana səbəb ola bilər. Təsəvvür edin ki, şirkətin ən vacib müştərisi saytdan alış-veriş edir, lakin onun etdiyi hansısa sorğu IPS-in qaydalarına (signatures) təsadüfən bənzəyir. IPS dərhal müştərini bloklayır. Müştəri sayta daxil ola bilmir, şirkət isə pul itirir.

Məhz buna görə də bir çox böyük şirkətlər yeni bir IPS cihazı aldıqda, onu ilkin olaraq bir neçə həftə və ya ay boyunca sadəcə IDS rejimində (bloklamadan, sadəcə izləmə) işlədirlər. Sistem tam optimizasiya olunduqdan və yalançı həyəcanlar minimuma endirildikdən sonra bloklama funksiyası (IPS) aktiv edilir.

7. Ən Məşhur IDS/IPS Alətləri

Bu sahədə həm pullu (Enterprise), həm də açıq mənbəli (Open-Source) çox güclü alətlər mövcuddur. Əgər bu sahəni dərindən öyrənmək istəyirsinizsə, aşağıdakı alətlərə mütləq nəzər salmalısınız:

1. Snort: Dünyanın ən məşhur və ən qədim açıq mənbəli IDS/IPS sistemlərindən biridir (Cisco tərəfindən dəstəklənir). Öz qaydalarınızı (rules) yazmaq üçün mükəmməldir.

2. Suricata: Snort-un ən böyük rəqibidir. Müasir, çoxşaxəli (multi-threaded) memarlığı sayəsində yüksək sürətli şəbəkə trafiklərini çox rahatlıqla analiz edə bilir.

3. Zeek (Köhnə adı ilə Bro): Klassik IDS-lərdən bir az fərqlidir. Şəbəkə trafikinin loqlarını inanılmaz dərəcədə detallı çıxarır və anomaliyaları tapmaq üçün unikal imkanlar təqdim edir.

Yekun Nəticə

Müasir kibermüdafiə strategiyasında "IDS yoxsa IPS?" sualı artıq aktual deyil. Çünki müasir NGFW (Next-Generation Firewall) cihazları artıq hər iki texnologiyanı öz daxilində birləşdirir.

Yaxşı bir təhlükəsizlik memarlığı qurmaq üçün həm şəbəkənin dərinliklərində nə baş verdiyini görmək üçün IDS-in vizuallığına, həm də kritik anlarda hücumları saniyələr içində dayandırmaq üçün IPS-in gücünə ehtiyacımız var. Şəbəkənizi tanımaq, onun normal ritmini bilmək isə bu sistemlərin düzgün işləməsinin yeganə açarıdır.