La cyber security punta storicamente verso paradigmi eretti attorno al concetto di sfiducia e non potrebbe essere che così. Tra questi si inserisce l’Intrusion detection system (IDS) che si affianca a tecnologie di protezione come quelle Zero Trust in un contesto nel quale tutto ciò che non è noto o che risulta anomalo è potenzialmente pericoloso. Oggi, il vecchio adagio suonerebbe così: “Fidarsi è male, non fidarsi è doveroso”.
Il funzionamento dell’Intrusion detection system è lineare e le tecniche per il rilevamento delle intrusioni rispondono a logiche obiettivamente perfettibili. Ecco cosa tenere in considerazione e quali limiti devono essere conosciuti.
Guida al ransomware: cos’è, come si prende e come rimuoverlo
Indice degli argomenti
Cos’è l’Intrusion detection system
Si può paragonare l’Intrusion detection system (IDS) a dei soldati di ronda che pattugliano costantemente il perimetro assegnatogli, senza sosta, senza bisogno di rifocillarsi e sempre vigili, concentrati e pronti a lanciare l’allarme.
L’IDS monitora e analizza il traffico di rete, gli host, i log dei sistemi e si concentra sui comportamenti anomali, sugli attacchi noti e sulle regole e i modelli che sono configurati da chi ne fa uso.
Nel caso di attività sospette l’IDS genera avvisi che vengono diramati per escalation coinvolgendo – anche in questo caso secondo regole prestabilite – il Security Operation Center (SOC), sia questo interno o esterno all’azienda.
Come funziona l’Intrusion detection system
Di norma gli IDS vengono messi tra la rete e i firewall, monitorando così i pacchetti di dati in entrata e in uscita.
A differenza dei firewall che definiscono regole a cui i pacchetti di dati devono assoggettarsi, gli IDS monitorano lo stato dei pacchetti all’interno della rete aziendale confrontandoli con situazioni anomale e tendenzialmente pericolose determinate in base ai parametri impostati dagli amministratori e alla storia pregressa delle vulnerabilità dell’azienda stessa.
Va anche detto che un firewall può bloccare un pacchetto, mentre un sistema IDS si limita a lanciare un allarme e, soltanto in ambienti in cui vigono norme ferree, estrapola e blocca i dati sospetti. Va quindi compreso che IDS e firewall sono complementari.
I sensori degli IDS sono dislocati nei punti della rete ritenuti opportuni e raccolgono informazioni che inviano a un server affinché le elabori, attingendo a un database che contiene informazioni sulle minacce e i pericoli potenziali. Nel caso in cui viene identificato un evento anche soltanto potenzialmente temibile, il sistema di notifiche lancia l’allarme.
Alla base degli IDS c’è l’analisi comportamentale che poggia le proprie fondamenta su due metriche:
- misuse detection: rileva le sequenze di dati specifiche di attacchi noti
- anomaly detection: aiuta a identificare attacchi sospetti e non ancora noti facendo ricorso a uno standard d’uso, a quello che può essere definito come “uso normale”.
Due metriche che vanno considerate come complementari e che, come vedremo, tendono a rappresentare uno dei limiti degli IDS.
Le tipologie dei sistemi Intrusion detection system
Ci sono diverse tipologie di IDS, le tre principali sono incentrate sulla firma, sul comportamento e sull’analisi dei dati. In sintesi:
- SIDS, ossia un sistema IDS basato sul confronto delle firme degli attacchi già conosciuti il quale, laddove incontra una ricorrenza (o una presunta tale) fa scattare il sistema di allarme
- BIDS, basato sul comportamento ritenuto normale e misurato sulla scorta delle attività di rete normali. Laddove la rete presenta picchi che si discostano da quelli ritenuti standard, attiva il sistema di allarme. Tipologia soggetta a falsi positivi perché non tutte le attività di rete considerate anomale sono tali
- SBIDS, si occupa del monitoraggio dei pacchetti TCP/IP mentre attraversano la rete e si fa carico di estrarre quelli ritenuti dannosi prima che applicazioni o sistemi operativi possano elaborarli. In questo caso le tecnologie IDS non si limitano soltanto a lanciare allarmi ma compiono operazioni più concrete.
A queste tipologie si aggiunge quella ibrida, ossia un mix che ampia il raggio di azione dell’Intrusion detection system.
I limiti dell’Intrusion detection system
Come qualsiasi altra tecnologia anche al di fuori della cyber security, esistono dei limiti che occorre conoscere nel momento in cui si opta per una soluzione IDS.
Il primo e più comune è rappresentato dal database utile al rilevamento delle minacce il quale non è in grado di riconoscere quelle non ancora note.
A seguire occorre sottolineare che i sistemi IDS non analizzano pacchetti di dati criptati e, laddove un attaccante riuscisse a identificarsi correttamente per accedere al sistema vittima, l’IDS considererebbe normali eventuali picchi di traffico.
Il controllo degli accessi e dei dispositivi utilizzati per connettersi alla rete aziendale resta di vitale importanza.
La metrica basata sulle anomalie è difficile da tarare, soprattutto nelle reti più grandi: definire degli standard attorno ai quali costruire la definizione di “anomalo” è complesso.
Inoltre, le policy di misuse detection anomaly detection possono restituire falsi positivi ma questi, nella cultura della fiducia zero, tendono a rappresentare un prezzo accettabile da pagare.
I sistemi di Intrusion detection system sono da valutare soltanto nell’ottica della co-operazione con altri sistemi di cyber security e non possono lavorare da soli. I soldati di guardia sono volenterosi, ma non onniscienti.
