| Er is geen enkel ‘type’ IDS-oplossing dat op magische wijze in een IPS verandert door simpelweg ongewenste activiteiten te stoppen. Het verschil tussen een inbraakdetectiesysteem (IDS) en een inbraakpreventiesysteem (IPS) ligt fundamenteel in hun *mogelijkheden*:
* IDS (Inbraakdetectiesysteem): Een IDS *detecteert* kwaadaardige activiteit. Het controleert het netwerkverkeer en systeemlogboeken op verdachte patronen en waarschuwt beheerders. Het stopt de aanval niet actief.
* IPS (Inbraakpreventiesysteem): Een IPS *detecteert en voorkomt* kwaadaardige activiteiten. Het voert dezelfde monitoring uit als een IDS, maar onderneemt ook actie om de dreiging te blokkeren of te beperken. Dit kan inhouden dat pakketten worden verwijderd, verbindingen opnieuw worden ingesteld of de toegang wordt geblokkeerd.
Om van een IDS *een* IPS-functionaliteit te maken, heeft u een systeem nodig dat:
1. Heeft de mogelijkheid om actief in te grijpen: De kernvereiste. Veel IDS-oplossingen zijn puur passieve monitoringtools. U hebt een IPS nodig of een systeem met ingebouwde IPS-mogelijkheden. Een eenvoudig script of regel die waarschuwt voor een IDS is mogelijk niet voldoende voor preventie.
2. Biedt preventiemechanismen: Het kan hierbij gaan om zaken als:
* Pakketfiltering: Het blokkeren van kwaadaardige pakketten op netwerkniveau.
* Verbinding beëindigen: Het met geweld sluiten van kwaadaardige verbindingen.
* Toegangscontrolelijsten (ACL's): Beperking van de toegang tot specifieke bronnen of netwerken.
* Besturingselementen op applicatieniveau: Het blokkeren van specifieke acties binnen applicaties.
Daarom kunt u een basis-IDS niet zomaar "upgraden" naar een IPS. In plaats daarvan moet u:
* Vervang de IDS door een IPS: Dit is de meest eenvoudige benadering. Selecteer en installeer een IPS-oplossing die aan uw behoeften voldoet.
* Gebruik een gecombineerde IDS/IPS-oplossing: Sommige beveiligingsapparaten of softwarepakketten bieden zowel IDS- als IPS-mogelijkheden in één apparaat. Dit is vaak een efficiëntere en geïntegreerde aanpak.
* Integreer een IPS met uw bestaande IDS: Bij sommige geavanceerde instellingen kan het zijn dat een IDS gegevens doorgeeft aan een IPS die de preventieve actie zal ondernemen. Hiervoor zijn doorgaans geavanceerde netwerkbeheertools nodig.
Samenvattend is het "type" oplossing dat u nodig heeft een IPS of een gecombineerde IDS/IPS oplossing. Het simpelweg stoppen van ongewenste activiteiten op basis van de waarschuwingen van een IDS vormt niet automatisch een IPS. Actief ingrijpen is cruciaal voor het preventieaspect. |
