در حال بارگذاری...
سیستم‌های تشخیص و جلوگیری از نفوذ: تفاوت HIDS و NIDS، تشخیص مبتنی بر امضا و رفتار، قرارگیری passive در برابر inline، اقدامات IPS و مفهوم خطای مثبت و منفی کاذب.
اهداف این درس
فایروال به شما می‌گوید چه چیزی مجاز است و چه چیزی نه. اما نفوذها همیشه از قوانین ساده عبور نمی‌کنند؛ گاهی یک رفتار مشکوک در میان ترافیک مشروع پنهان می‌شود. برای همین به سیستم‌های تشخیص و جلوگیری از نفوذ (IDS و IPS) نیاز داریم.
سیستمی که به‌صورت غیرفعال کپی ترافیک (از TAP یا SPAN) یا فعالیت میزبان را تحلیل می‌کند و در صورت تشخیص تهدید فقط هشدار صادر می‌کند.
سیستمی که به‌صورت inline در مسیر ترافیک قرار می‌گیرد و علاوه بر تشخیص، می‌تواند بسته را drop، اتصال را reset یا منبع را مسدود کند.
مقایسه IDS و IPS
| ویژگی | IDS | IPS |
|---|---|---|
| قرارگیری | Passive (TAP/SPAN) | Inline در مسیر |
| تأثیر روی ترافیک | ندارد | دارد (اختیار حذف) |
| اقدام | هشدار و ثبت | هشدار + drop/reset/reject |
| ریسک قطعی | کم | بالاتر (در صورت خرابی) |
| کاربرد | نظارت و تحلیل | حفاظت فعال |
مقایسه ترافیک با پایگاه‌داده امضاهای حملات شناخته‌شده؛ دقت بالا و خطای مثبت کم، اما ناتوان در برابر حملات جدید (Zero-Day) و نیازمند به‌روزرسانی.
ایجاد خط مبنای رفتار نرمال و هشدار در صورت انحراف؛ قادر به تشخیص حملات جدید اما با خطای مثبت کاذب بیشتر.
هشدار یا اقدام برای ترافیک سالم که حمله نیست؛ نتیجه هشدارهای اضافه و کاهش اعتماد به سیستم.
عدم تشخیص حمله واقعی؛ خطرناک‌ترین خطا، زیرا حمله بدون هشدار و بدون اقدام انجام می‌شود.
نکته آزمون
در سوالات، سرنخ واژه‌ها را بگیرید: TAP/SPAN=IDS، inline=IPS، امضا=signature، رفتار=anomaly، هشدار بی‌حمله=false positive، حمله بی‌هشدار=false negative.
جمع‌بندی
هر سه دستگاه امنیتی را کنار هم تصور کنید: فایروال قوانین عبور را تعیین می‌کند، IDS ترافیک را تماشا و هشدار می‌دهد، و IPS همان ترافیک را در مسیر مهار می‌کند. ترکیب این سه، هسته امنیت مرز شبکه است.
IDS ترافیک را از طریق TAP یا SPAN کپی می‌گیرد و تأثیری روی جریان ندارد.
IPS در مسیر ترافیک قرار دارد؛ اگر از کار بیفتد ترافیک عبور نمی‌کند.
تشخیص امضا کم‌خطاست اما حمله جدید (Zero-Day) را نمی‌بیند؛ رفتار سنجی برعکس.
تفاوت اصلی IDS و IPS چیست؟
چرا IDS از TAP یا SPAN استفاده می‌کند؟
زیرا IDS نباید در مسیر ترافیک باشد؛ با TAP (تقسیم‌کننده پسیو) یا پورت SPAN سوییچ، کپی ترافیک را دریافت می‌کند، تحلیل و هشدار می‌دهد بدون اینکه تأخیر یا قطعی ایجاد کند.
چه زمانی از HIDS به‌جای NIDS استفاده می‌شود؟
وقتی به نظارت روی یک سرور مشخص نیاز داریم؛ HIDS لاگ‌ها، یکپارچگی فایل‌ها و فرآیندهای همان میزبان را رصد می‌کند و تغییرات فایل‌های سیستمی را گزارش می‌دهد.
کدام خطا خطرناک‌تر است: false negative یا false positive؟
false negative خطرناک‌تر است چون حمله واقعی رخ می‌دهد اما سیستم هیچ هشدار و اقدامی نمی‌کند؛ false positive فقط هشدار اضافه ایجاد می‌کند.