¿Qué es un sistema de prevención de intrusiones?

Los sistemas IPS son unas soluciones muy automatizadas que ayudan a filtrar la actividad maliciosa para evitar que alcance a otros dispositivos o controles de seguridad, ahorrar esfuerzo manual a los equipos de seguridad y mejorar la eficiencia de otros productos de seguridad.

Las soluciones IPS también resultan de gran utilidad para detectar los exploits que tratan de aprovecharse de las vulnerabilidades y bloquearlos. Entre la detección de una vulnerabilidad y la aplicación de una revisión de seguridad que la corrija, siempre se abre una ventana de oportunidad para explotarla que se puede cerrar rápidamente con un sistema de prevención de intrusiones.

Los primeros dispositivos IPS de mediados de la década de los 2000 se diseñaron y comercializaron como dispositivos independientes. Esta función se ha integrado tanto en soluciones de gestión unificada de amenazas (UTM) como en cortafuegos de nueva generación y, ahora, las soluciones IPS de nueva generación se conectan a los servicios informáticos y de red en la nube.

Cómo funcionan los sistemas de prevención de intrusiones

El sistema IPS se incorpora directamente al flujo de tráfico de la red —desde el origen hasta su destino— de forma integrada. Esto es lo que diferencia al sistema IPS de su predecesor, el sistema de detección de intrusiones (IDS). Al contrario que un IPS, un IDS es un sistema pasivo que analiza el tráfico y genera informes con las amenazas que encuentra.

La solución suele ubicarse detrás del cortafuegos y analiza todos los flujos de tráfico que entran en la red para, en un momento dado, tomar las medidas oportunas de forma automatizada.

Estas medidas pueden ser:

• enviar una alarma al administrador (igual que lo haría un sistema IDS);
• descartar los paquetes maliciosos;
• bloquear el tráfico procedente de la dirección original;
• restablecer la conexión;
• configurar los cortafuegos para evitar futuros ataques.

Un sistema IPS es un componente de seguridad integrado. Por lo tanto, es necesario que:

• sea eficiente, para evitar el empeoramiento de la calidad de la red;
• sea rápido, dado que los exploits pueden producirse en cualquier momento;
• detecte los riesgos y responda a ellos con precisión para eliminar las amenazas y los falsos positivos (p. ej., tratar un paquete legítimo como amenaza).

Para ello, hay varias técnicas que permiten localizar los exploits y proteger la red frente a los accesos no autorizados. Entre ellas se incluyen:

• Detección basada en firmas: se trata de un método de detección basado en un diccionario de patrones con una identidad única (o «firmas») contenidos en el código de cada exploit. Al detectar un exploit, su firma queda registrada y almacenada en un diccionario de firmas que se actualiza constantemente. En lo que a los sistemas IPS se refiere, hay dos tipos de detección de firmas:
  • Firmas asociadas a exploits: permiten identificar los exploits a partir de patrones de intentos de exploit. El sistema IPS puede identificar un exploit buscando su firma en el flujo de tráfico.
  • Firmas asociadas a vulnerabilidades: se trata de firmas más genéricas que identifican ataques a vulnerabilidades de los sistemas supervisados. A riesgo de aumentar el número de falsos positivos, estas firmas permiten proteger las redes frente a los exploits desconocidos.
• Detección basada en anomalías: toma muestras de tráfico de red aleatorias y las compara con un nivel de rendimiento de referencia precalculado. Cuando la actividad del tráfico se sale de los parámetros del rendimiento de referencia, el sistema IPS toma medidas.
• Detección basada en políticas: en este caso, los administradores del sistema deben configurar políticas de seguridad basadas en las propias políticas de seguridad de la organización y su infraestructura de red. Si se produce algún tipo de actividad que incumpla alguna de las políticas de seguridad definidas, los administradores reciben una alerta.

Tipos de sistemas de prevención de intrusiones

Existen varios tipos de soluciones IPS que pueden implementarse para distintos propósitos. Entre ellas se incluyen:

• Sistemas de prevención de intrusiones basados en la red (NIPS), que se instalan en puntos estratégicos para supervisar todo el tráfico de la red y buscar amenazas en él.
• Sistemas de prevención de intrusiones en el host (HIPS), que se instalan en un endpoint y solamente buscan en el tráfico entrante y saliente de ese equipo. Suelen combinarse con los sistemas NIPS y sirven de última línea de defensa ante las amenazas.
• Análisis del comportamiento de la red (NBA), que analiza el tráfico de la red para detectar flujos de tráfico inusuales y encontrar nuevos ataques de malware o vulnerabilidades de día cero.
• Sistemas de prevención de intrusiones en redes inalámbricas (WIPS), que analizan las redes wifi para buscar accesos y dispositivos no autorizados.

Ventajas de los sistemas de prevención de intrusiones

Los sistemas de prevención de intrusiones ofrecen las siguientes ventajas:

• Menos riesgos para la empresa y mayor seguridad
• Una mayor protección derivada de una mejor visibilidad de los ataques
• Una mayor eficiencia que permite inspeccionar todo el tráfico para buscar amenazas
• Una menor necesidad de recursos para gestionar las vulnerabilidades y las revisiones

Aprendizaje profundo para la detección de amenazas evasivas

Todo sistema de prevención de intrusiones que pretenda proteger del aumento de amenazas evasivas y sofisticadas debería utilizar el aprendizaje profundo de forma integrada. El aprendizaje profundo integrado mejora de forma significativa las detecciones e identifica con precisión el tráfico malicioso nunca visto sin recurrir a las firmas.

Los modelos de aprendizaje profundo analizan varias capas y procesan millones de puntos de datos en cuestión de milisegundos. Estos sofisticados sistemas de reconocimiento de patrones analizan la actividad del tráfico de la red con una precisión sin rival y, además, pueden identificar el tráfico malicioso desconocido de forma integrada con muy pocos falsos positivos. Este extra de seguridad inteligente ofrece una mayor protección de la información confidencial y previene ataques que pueden llegar a paralizar la actividad de una organización.

Para saber cómo funcionan las soluciones IPS en una infraestructura de seguridad, le recomendamos echar un vistazo a este informe: Cómo aborda Palo Alto Networks la prevención de intrusiones.

Preguntas frecuentes sobre los sistemas de prevención de intrusiones

P: ¿Qué dos tipos de sistemas de prevención de intrusiones básicos existen?

R: Los sistemas de prevención de intrusiones pueden detectar la actividad maliciosa de varias maneras, pero los dos métodos principales son la detección basada en firmas y la detección estadística basada en anomalías.

P: ¿Cuál es la ventaja de usar un sistema IPS?

R: Con un sistema IPS, tiene la ventaja de poder identificar la actividad maliciosa, registrar las amenazas detectadas y dar aviso de ellas, y tomar medidas preventivas para evitar que una amenaza vaya a mayores.

P: ¿Es necesario usar cortafuegos con un sistema IPS?

R: Sí. Los sistemas IPS son necesarios, en parte, porque cubren los agujeros de seguridad que dejan los cortafuegos. Una solución de prevención de intrusiones está diseñada para detectar y denegar el acceso a los atacantes antes de que puedan dañar el sistema. Un sistema IPS es una parte integral de los cortafuegos de nueva generación, que proporcionan una muy necesaria capa adicional de seguridad.