Tema 12
Un IDS aporta visibilidad y alerta sobre actividad sospechosa. Un IPS puede ir un paso más allá y bloquear tráfico peligroso. Ambos son controles valiosos, pero necesitan buena ubicación, ajuste y operación.
Hasta ahora nos enfocamos principalmente en firewalls, reglas, segmentación, publicación segura y monitoreo. Ahora empezamos el bloque de IDS/IPS, que agrega una capacidad fundamental: detectar actividad que puede indicar intrusión, abuso o comportamiento anómalo.
Un firewall decide si una comunicación está permitida por política. Un IDS/IPS intenta determinar si esa comunicación, aun estando permitida, contiene señales de ataque o actividad sospechosa.
Por ejemplo, una regla puede permitir HTTPS hacia una aplicación web pública. Eso no significa que todo lo que llegue por HTTPS sea seguro. Un IDS/IPS puede analizar ese tráfico y alertar o bloquear intentos de explotación.
IDS significa Intrusion Detection System, que en español se traduce como sistema de detección de intrusos.
Su función principal es observar actividad y generar alertas cuando detecta indicios de ataque, abuso, anomalía o violación de política. Un IDS normalmente no bloquea por sí mismo; informa para que una persona, proceso o plataforma responda.
Ejemplos de eventos que puede detectar:
IPS significa Intrusion Prevention System, que en español se traduce como sistema de prevención de intrusos.
Un IPS también detecta actividad sospechosa, pero puede actuar automáticamente para prevenir o interrumpir el ataque. Puede descartar paquetes, cerrar conexiones, bloquear una IP, aplicar una acción sobre una sesión o integrarse con otros controles.
La capacidad de bloqueo es poderosa, pero también introduce riesgo operativo. Si una firma o regla genera falsos positivos, el IPS puede bloquear tráfico legítimo. Por eso debe configurarse, probarse y ajustarse con cuidado.
| Aspecto | IDS | IPS |
|---|---|---|
| Acción principal | Detectar y alertar. | Detectar y bloquear o prevenir. |
| Ubicación típica | Fuera de línea, observando una copia del tráfico. | En línea, en el camino del tráfico. |
| Impacto operativo | Menor riesgo de interrumpir servicios. | Puede interrumpir tráfico legítimo si está mal ajustado. |
| Uso común | Monitoreo, investigación, generación de alertas. | Bloqueo de ataques conocidos o actividad de alto riesgo. |
| Riesgo principal | Generar alertas que nadie atiende. | Bloquear de más o afectar rendimiento. |
Un sensor fuera de línea observa una copia del tráfico. Suele recibir datos desde un puerto espejo, TAP de red o integración equivalente. Como no está en el camino directo, puede alertar pero no bloquear el tráfico por sí mismo.
Un sensor en línea está colocado en el camino del tráfico. Todo lo que se comunica entre dos puntos pasa por él. Esto le permite bloquear, pero también lo convierte en un componente crítico: si falla o se configura mal, puede afectar la comunicación.
| Modo | Ventaja | Riesgo |
|---|---|---|
| Fuera de línea | Observa sin interrumpir tráfico. | No bloquea automáticamente. |
| En línea | Puede prevenir ataques en tiempo real. | Puede afectar disponibilidad si falla o bloquea de más. |
La ubicación define qué tráfico puede ver el IDS/IPS. Un sensor mal ubicado puede dejar ciegas zonas importantes o generar demasiadas alertas poco útiles.
Puntos habituales de despliegue:
Los IDS/IPS pueden clasificarse según dónde observan y actúan.
| Tipo | Significado | Qué observa |
|---|---|---|
| NIDS | Network Intrusion Detection System | Tráfico de red para detectar actividad sospechosa. |
| NIPS | Network Intrusion Prevention System | Tráfico de red y puede bloquear en línea. |
| HIDS | Host Intrusion Detection System | Eventos dentro de un sistema: archivos, procesos, logs, integridad. |
| HIPS | Host Intrusion Prevention System | Actividad del host y puede bloquear acciones locales. |
Las capacidades dependen de la herramienta, licencias y configuración, pero muchas soluciones IDS/IPS pueden incluir:
Una firma describe un patrón asociado a una amenaza o comportamiento. Puede buscar cadenas, secuencias, encabezados, comandos, características de protocolo o combinaciones de condiciones.
Por ejemplo, una firma puede detectar un intento de explotación contra una versión vulnerable de un servidor web. Si el sistema está en modo IDS, genera alerta. Si está en modo IPS y la política lo permite, puede bloquear.
Las firmas deben actualizarse, pero también ajustarse. Una firma útil en un entorno puede generar ruido en otro.
Un falso positivo ocurre cuando el IDS/IPS alerta o bloquea algo legítimo. Un falso negativo ocurre cuando no detecta actividad maliciosa.
| Concepto | Ejemplo | Impacto |
|---|---|---|
| Falso positivo | Bloquear una petición legítima de una aplicación. | Afecta operación y genera desconfianza en la herramienta. |
| Falso negativo | No detectar un ataque real. | Permite que la actividad maliciosa continúe. |
El objetivo no es eliminar por completo ambos casos, porque eso no es realista. El objetivo es ajustar la herramienta para reducirlos y responder mejor.
El tuning es el proceso de ajustar reglas, firmas, umbrales y acciones para que el IDS/IPS sea útil en un entorno concreto. Sin tuning, puede generar demasiadas alertas o bloquear tráfico legítimo.
Actividades de tuning:
IDS e IPS son controles importantes, pero no resuelven todo. Tienen limitaciones técnicas y operativas.
El cifrado protege confidencialidad, pero también puede limitar la inspección. Si el IDS/IPS no puede ver el contenido de una conexión cifrada, tal vez solo observe metadatos: origen, destino, puerto, certificados, SNI, volumen o comportamiento.
Algunas organizaciones implementan inspección TLS en puntos controlados, pero esto requiere mucho cuidado: certificados, privacidad, rendimiento, cumplimiento y excepciones para servicios sensibles.
Aunque no se inspeccione contenido, los metadatos siguen aportando valor defensivo.
Un IDS/IPS genera más valor cuando se integra con otros controles. Puede enviar eventos a un SIEM, alimentar reglas de firewall, activar respuestas automáticas o enriquecer investigaciones.
Ejemplos de integración:
Una empresa publica una aplicación web en DMZ. Coloca un IDS observando tráfico hacia esa zona. El IDS alerta sobre intentos repetidos de explotación contra la aplicación.
Acciones defensivas posibles:
Una organización coloca un IPS entre la red de usuarios y la red de servidores. El objetivo es reducir movimiento lateral y bloquear intentos de explotación interna.
Este diseño puede ser útil, pero requiere cuidado:
IDS e IPS agregan una capa importante de defensa porque permiten observar y, en algunos casos, bloquear actividad maliciosa que atraviesa comunicaciones permitidas. Su valor depende de una buena ubicación, reglas adecuadas, integración con monitoreo y respuesta operativa.
En el próximo tema estudiaremos detección basada en firmas, anomalías, reputación, comportamiento e inteligencia de amenazas.