IDS ve IPS farkı

Güvenlik duvarı port ve adrese bakar, paketin içine pek girmez. IDS ve IPS bir adım ileri gider ve paketin içeriğini inceler. IDS, saldırı tespit sistemi anlamına gelir. Ağın bir kopyasını izler, genelde bir anahtarın yansıtma portundan ya da bir ağ musluğundan beslenir. Şüpheli bir örüntü gördüğünde alarm üretir ama paketi durdurmaz, çünkü trafiğin asıl yolunda değildir. IPS, saldırı önleme sistemi anlamına gelir ve trafiğin tam ortasında durur. Her paket önce IPS'ten geçer, IPS karar verdikten sonra hedefe ulaşır. Kötü bulduğu paketi anında düşürebilir. Bu fark konumdan gelir: biri kenarda dinler, öteki yolun üstünde durur. Suricata gibi araçlar her iki modda da çalışabilir; aynı motor, farklı yerleşimle IDS ya da IPS olur. Bir e-ticaret sitesinde bu ayrım somutlaşır: IDS arka planda alarm biriktirirken IPS aynı trafiği canlı süzer ve şüpheli isteği hedefe ulaşmadan keser.

Tespit iki temel yöntemle çalışır. İmza tabanlı tespit bilinen saldırı örüntülerini bir kural listesiyle karşılaştırır. Belirli bir dizgiyi ya da paket biçimini arar, tıpkı bir virüs tarayıcının imza dosyası gibi. Hızlıdır ve yanlış alarmı azdır, ama daha önce görülmemiş bir saldırıyı yakalayamaz. Anormallik tabanlı tespit ise normal trafiğin bir modelini çıkarır ve bu modelden sapan her şeyi işaretler. Yeni bir saldırı türünü de yakalayabilir, ama normalin ne olduğunu yanlış öğrenirse alarmı da yanlış üretir.

İki tür hata vardır. Yanlış pozitif, zararsız bir trafiği saldırı diye işaretlemektir; analisti gereksiz yere meşgul eder. Yanlış negatif, gerçek bir saldırıyı kaçırmaktır; en pahalı hatadır, çünkü kimse fark etmez. İyi bir tespit sistemi ikisini de en aza indirmeye çalışır, ama ikisi genelde ters orantılıdır.