Sistema di rilevamento intrusioni (IDS): il dispositivo di sicurezza per il monitoraggio di rete basato su firme
Il dispositivo che monitora il traffico di rete per attività illegali basandosi su firme di attacco note è un Sistema di rilevamento intrusioni (IDS).
Come funziona l'IDS
- Cattura traffico: TAP di rete, porta SPAN, o deployment inline
- Corrispondenza firme: Confronta pacchetti/flussi contro database di pattern di attacco noti (regole Snort, Emerging Threats, feed vendor)
- Generazione avviso: Al match → log, notifica (SIEM, email, SNMP), opzionalmente blocca (se IPS)
Due modelli di deployment
| Tipo | Host-Based (HIDS) | Network-Based (NIDS) |
|---|---|---|
| Ambito | Singolo host (server, workstation) | Segmento di rete / intera LAN |
| Visibilità | Processo, file, log, livello syscall | Livello pacchetto/flusso |
| Esempi | OSSEC, Wazuh, Tripwire, Auditd | Snort, Suricata, Zeek, Cisco FirePOWER |
| Traffico cifrato | Vede decifrato (vista host) | Cieco senza ispezione TLS |
IDS vs IPS
- IDS: Rileva + Avvisa (passivo). "Vedi qualcosa, di' qualcosa"
- IPS (Intrusion Prevention System): Rileva + Blocca (inline). "Vedi qualcosa, ferma qualcosa"
- Moderno: Spesso combinato come IDS/IPS o NIPS (Network IPS)
Limitazioni
- Solo firme: Manca attacchi zero-day/sconosciuti
- Falsi positivi: Traffico legittimo corrisponde a firma → affaticamento avvisi
- Evasione: Frammentazione, cifratura, polimorfismo aggirano le firme
- Nessuna prevenzione (IDS): Avvisi dopo il fatto
Evoluzione moderna
NDR (Network Detection & Response) / XDR: Aggiunge analisi comportamentale, rilevamento anomalie ML, threat hunting, risposta automatizzata—andando oltre la pura corrispondenza di firme.