Saldırı Önleme Sistemleri IDS ve IPS Arasındaki Farklar Nedir?

Ağ yöneticilerinin ağlarını korumak ve kötü niyetli kişilerin ağa erişimini önlemek için bazı araçlar kullanması gerekmektedir. Saldırı tespit sistemleri (IDS) ve saldırı önleme sistemleri (IPS),  bu amaç için yaygın olarak kullanılan araç çeşitleridir. Bu araç türleri arasında kullandığınız ağ için en iyi olanı, ikisi arasındaki farkı ve bunların etkililiğini nasıl en üst düzeye çıkaracağınızı bilmek önemlidir.

Bu makalede, sizin ağınız için hangisinin en iyi olduğuna karar vermenize yardımcı olmak için iki sistem arasındaki farkları gözden geçireceğiz.

Saldırı Tespit Sistemi Nedir?

Saldırı tespit sistemi, kullandığınız ağı izleyip güvenlik açıkları ve saldırıları tespit etmek üzere ayarlanmış yazılım veya donanım şeklinde çalışan siber güvenlik sistemidir. IDS ve IPS olarak bilinen bu saldırı tespit sitemleri kendi içlerinde ağ yapılanmasına göre çalışma prensiplerinde farklılıklar göstermektedir.

Saldırı Tespit Sistemi IDS Nedir, Nasıl Çalışır?

IDS, bir ağdaki trafiği şüpheli etkinlik belirtileri açısından izleyen, yazılım veya donanım tabanlı bir siber güvenlik aracıdır. Dağıtıldığında, bir siber saldırı belirtisi ararken işletmenizin ağındaki trafiğini sürekli olarak tarar. IDS, potansiyel siber tehditleri aramak için ağ trafiğini izler.

IDS’ler, ağ trafiğini bilinen siber tehditlerden oluşan bir veri tabanına çapraz referans vererek çalışır. IDS, işletmenizin ağında bir siber tehdit tespit ederse, daha fazla araştırma yapabilmeniz veya uygun adımları atabilmeniz için olayı günlüğe kaydeder.

IDS'nin izinsiz girişleri izlemek için kullandığı üç yaygın tespit çeşidi vardır:

İmza tabanlı algılama: Ağ trafiğindeki bayt dizileri veya kötü amaçlı yazılım tarafından kullanılan imzaları kullanma gibi belirli kalıpları arayarak saldırıları algılar. Bu terminoloji, bu kalıplara imza olarak atıfta bulunan virüsten koruma yazılımından kaynaklanmaktadır. İmza tabanlı IDS, bilinen siber saldırıları kolayca tespit edebilirken, hiçbir modelin bulunmadığı yeni saldırıları tespit etmekte zorlanır.

Anomali tabanlı algılama: Sistem etkinliğini izleyerek ve bunu normal veya anormal olarak sınıflandırarak hem ağ hem de bilgisayar izinsiz girişlerini ve kötüye kullanımları tespit etmeye yönelik bir izinsiz giriş tespit sistemidir. Bu tür bir güvenlik sistemi, kısmen kötü amaçlı yazılımların hızla gelişmesi nedeniyle bilinmeyen saldırıları tespit etmek için geliştirilmiştir. Temel yaklaşım, güvenilir bir etkinlik modeli oluşturmak ve yeni davranışı modelle karşılaştırmak için makine öğrenimini kullanmaktır. Bu modeller, belirli uygulama ve donanım yapılandırmalarına göre eğitilebildikleri için, geleneksel imza tabanlı IDS ile karşılaştırıldığında daha özelliklere sahiptir. 

İtibar tabanlı tespit: İtibar puanlarına göre potansiyel siber tehditleri tanır.

Saldırı Tespit Sistemi IDS Türleri Nelerdir?

Saldırı Tespit Sistemleri, sistemlerinin kapsamı, tek bilgisayarlardan büyük ağlara kadar değişebilir ve genellikle iki tipte sınıflandırılır:

Ağ saldırı tespit sistemi (NIDS): Gelen ağ trafiğini analiz eden sistemdir. NIDS, cihazlara gelen ve cihazlardan gelen trafiği izlemek için ağ içindeki stratejik noktalara yerleştirilir. Tüm alt ağda geçen trafiğin bir analizini gerçekleştirir ve alt ağlarda geçirilen trafiği bilinen saldırılardan oluşan bir kitaplıkla eşleştirir. Bir saldırı tanımlandığında, yöneticiye bir uyarı gönderilebilir.

Ana bilgisayar tabanlı izinsiz giriş tespit sistemi (HIDS): Bireysel ana bilgisayarlarda veya cihazlarda önemli işletim sistemi dosyalarını çalıştıran ve izleyen bir sistemdir. Bir HIDS, cihazdan gelen ve giden paketleri izler ve şüpheli etkinlik algılanırsa kullanıcıyı veya yöneticiyi uyarır. Mevcut sistem dosyalarının anlık görüntüsünü alır ve bunları önceki anlık görüntülerle eşleştirir, kritik dosyalar değiştirilmiş veya silinmişse bir uyarı verilir.

Saldırı Önleme Sistemi IPS Nedir, Nasıl Çalışır?

İzinsiz giriş önleme sistemi IPS, olası kötü amaçlı etkinlikleri belirlemeye, bilgileri günlüğe kaydetmeye, girişimleri bildirmeye ve bunları engellemeye odaklanan ağ güvenlik uygulamalarıdır. IPS sistemleri genellikle doğrudan güvenlik duvarının arkasında bulunur.

Ek olarak, IPS çözümleri, güvenlik stratejileriyle ilgili sorunları belirlemek, mevcut tehditleri belgelemek ve kişileri güvenlik ilkelerini ihlal etmekten caydırmak için kullanılabilir.

Saldırıları durdurmak için bir IPS, bir güvenlik duvarını yeniden yapılandırarak veya saldırının içeriğini değiştirerek güvenlik ortamını değiştirebilir.

Birçoğu izinsiz giriş önleme sistemlerini, hem ağ trafiğini hem de sistem etkinliklerini kötü amaçlı etkinlik açısından izledikleri için izinsiz giriş tespit sistemlerinin uzantıları olarak görür.

Saldırı Tespit Sistemi IPS Türleri Nelerdir?

Saldırı Önleme Sistemi IPS bulundukları ağlara göre farklı şekillere ayrılmaktadır:

Network Based Intrusion Prevention Systems (NIPS): Ağ üzerinde çalışarak anomali trafiği protokol analizi yaparak inceleyen sistemlerdir.

Host Based Intrusion Prevention Systems (HIPS): Sadece ana bilgisayara karşı gerçekleştirilen saldırıları engellemeyi hedefleyen sistemlerdir.

Wireless Intrusion Prevention Systems (WIPS):  Kablosuz ağ trafiğini analiz ederek anomaliyi tespit edip saldırı girişimini engellemeyi hedefler.

Saldırı Önleme Sistemleri IDS ve IPS Arasındaki Farklar Nedir?

- IPS saldırılara karşı aksiyon almak üzere kurulmuştur ancak IDS ise sadece tespit etmek üzere çalışmaktadır.

- Her ikisi de donanımsal veya yazılımsal çalışabilir.

- Her ikisi de bilinen tehditleri ve davranış modellerini kendi veritabanları ile karşılaştırarak saldırıları tespit etmeye çalışır.

- IPS kendi başına aksiyona geçer, IDS ise aksiyon alacak kişiye rapor verir. Bu sebeple IDS sistemini sürekli takip eden bir personel ihtiyacı doğar.

- Her ikisi de bir firewall (güvenlik duvarı) arkasında konumlanarak çalışır.

Kısaca özetlemek gerekirse, saldırı yöntemleri çeşitlendikçe siber güvenlik yöntemleri ve araçları da aynı oranda gelişip çeşitleniyor.  Profesyonel güvenlik sistemleri olan IPS ve IDS sistemleri büyük oranda koruma sağlayan siber güvenlik sistemleridir. Önemli veriler içeren ve yüksek öncelikli bilgileri işleyen bir sisteminiz varsa böyle bir sistem kurmanız kaçınılmazdır.  

Her ikisi de bilinen siber tehditlere karşı ağ trafiğini kontrol ederek çalışır. IDS’ler yalnızca siber tehditleri belirlemek için tasarlanmışken, IPS’ler siber tehditleri hem belirlemek hem de engellemek için tasarlanmıştır. 

Bu fark dışında, hemen hemen çalışma prensipleri aynıdırlar.