IPS ve IDS Nedir?

Veri güvenliğinin gerekliliği modern dünyada oldukça kritik öneme sahiptir. Bu nedenle kurumsal ağların da güvenliğini izlemek, sorunları tespit etmek, çözmek ve önlemler almak için çok sayıda teknoloji tercih edilebilir. IPS ve IDS methodları da bu teknolojilerden biridir. Kurumsal ağlarda tehditlerin izlenmemesi ve önlemlerin alınmaması ciddi risklerin yaşanmasına neden olur. IPS ve IDS kullanımı hakkında daha fazla bilgi için yazımızın devamını okuyabilirsin.

IPS Nedir?

IPS, bir ağa gerçekleştirilen izinsiz girişleri tespit eden ve olası kötü amaçlı etkinlikleri izleyen ağ güvenlik aracıdır. Bu araçlar bir donanım veya yazılım olabilir. (Intrusion Prevention System) yani Saldırı Önleme Sistemi’dir. IPS, IDS’den farklı olarak tespit edilen saldırıları önleme yeteneğine de sahiptir. “IPS nedir?” sorusuna “saldırılara gerçek zamanlı olarak müdahale eden sistem” şeklinde cevap verilebilir. IPS sistemi bir saldırı tespit ettiğinde aksiyon alarak saldırıların ağa zarar vermesini engeller. Bu sayede iki sistem bir arada kullanıldığında IDS, saldırıları tespit ederken IPS ise saldırıları önleyerek kapsamlı bir koruma sağlar.

IPS Çeşitleri Nelerdir?

Günümüzde kullanılan 4 farklı IPS türü bulunur. Bunlar;

• Network-based intrusion prevention system (NIPS)
• Wireless intrusion prevention system (WIPS)
• Network behavior analysis (NBA)
• Host-based intrusion prevention system (HIPS) olarak listelenebilir.

NIPS, protokol etkinliği açısından tüm ağı analiz ederken WIPS ise kablosuz ağ protokollerini izleyerek şüpheli trafik açısından ağı kontrol eder. Olağan dışı trafik analizlerini sağlamak ve belirli kötü amaçlı yazılım biçimleri ve politika ihlalleri gibi olağandışı trafik akışını kontrol etmek de NBA’in görevidir. HIPS ise bir ana bilgisayarı ve o bilgisayar içinde gerçekleşen olayları tarayarak şüpheli davranışları kontrol eden bir yazılım paketidir.

IDS Nedir?

IDS açılımı (Intrusion Detection System) Türkçe’ye Saldırı Algılama Sistemi olarak çevirilebilir. Bir çeşit saldırı önleme sistemidir. IDS'in açılımı Intrusion Detection System yani saldırı algılama sistemi olarak açıklanabilir ve IDS, tespit ettiği saldırıların engellenmesini sağlar. Ayrıca IDS bu saldırılara anlık olarak müdahale edebilir. Saldırı olarak tanımlanmış bir eyleme otomatik olarak müdahale eder ve ağda daha fazla zarara yol açmasını önler. Ağda tespit ettiği potansiyel saldırıların log kayıtlarını tutar. Ağ trafiğini düzenli olarak analiz eder. Tespit ettiği anomalileri kaydeder.

IDS Çeşitleri Nelerdir?

Farklı özelliklere sahip IDS çeşitleri vardır. Bunlar;

• NIDS (Network Based IDS), ağ trafiğini takip eder ve saldırıları algılar.
• HIDS (Host Based IDS), bir aygıtın tüm aktivitelerini izleyerek cihazlardaki saldırıları tespit edebilir.

IPS ve IDS Sistemleri Nasıl Çalışır?

Bir ağa izinsiz ya da şüpheli girişler olduğunda ağ trafiğini izleme, bu saldırıları işaretleme analiz etme işlemlerinde çalışan sistemlerdir. İzinsiz girişleri önleme, izinsiz giriş tespitlerinin yapılması ve tespit edilen saldırıların durdurulması birlikte çalışan IPS ve IDS sistemleri ile mümkündür. Öncelikle IPS ve IDS birlikte kullanıldığında nasıl çalıştığına bakalım:

1. Olayları tespit etmek için 3 tespit metodolojisi kullanılır.
2. İmza yöntemi ile olası olayların tanımlanması yapılır. Bu en temel algılama yöntemlerinden biridir. İmza ya da imza paketleri karşılaştırma işlemi yapılır.
3. Ekili bir anomali tespiti yapılması için daha önce tehlike olarak işaretlenmiş yazılımlar ile mevcut saldırıyı karşılaştırır. Bu tespit yöntemi, güvenlik durumu bilinmeyen tehditlerin sağlıklı bir şekilde tespit edilebilmesi için oldukça önemlidir.
4. Güvenlik protokol aktivitelerine yönelik olarak kabul görmüş profiller de mevcut olaylar ile kıyaslanır.
5. Anomali tehlike ya da saldırı olarak tanımlanırsa IPS tehdit trafiğinin cihaza giriş yaparak hedefine ulaşmasını engellemek için bağlantıyı keser, oturumu ya da trafiği kapatır.

IPS ve IDS Farkları

IPS ve IDS tam anlamıyla aynı işi yapmasa bile iki çözüm de aynı amaca hizmet eder. Her iki sistem de ağları izler. Ağ trafiğini, cihazlar ve sunucular arasındaki veri akışını izler. Ancak iki sistemin yeteneklerinin hedef ve kapsamları farklıdır. Potansiyel bir tehdit algılandığında, yalnızca IPS gerekli aksiyonu alabilir. Ancak iki sistemde keşif ve eylem yapılması konusunda uyarı yapabilir. Bir IPS ya da IDS sistemi tarafından kullanılan algılama sistemine göre her iki sistem de olası şüpheli davranışları tepsit eder ve yanlış pozitif aksiyonların sayısını azaltmak için çalışır. İki sistem de saldırı ve tehlike öğrenme konusunda benzer teknolojilere sahiptir. Ayrıca iki sistem de izleme ve analizler için günlük kaydı tutar. Bu sayede performans ölçümleri ve raporlamalar yapılabilir.

IPS ve IDS arasındaki en temek fark, IDS’in bir izleme sistemi olması, IPS’in ise bir kontrol sistemi olmasıdır. Her iki sistem de ağ paketlerini okur ve ağ içeriklerini tanımlı tehditler ya da temel eylemleri barındıran bir veritabanı ile karşılaştırır. Fakat IDS, ağ paketlerini değiştiremez. Bunun yanı sıra IPS, güvenlik duvarının IP adresi ile yaptığı yöntemi kullanarak paket içeriklerine göre iletimi kesebilir. Ayrıca farklı kullanım türleri ve özelliklerine göre sınıflandırılmış IPS çeşitleri, IDS çeşitlerine göre sayısı ve özellikleri daha fazladır.

IPS ve IDS Kullanım Alanları

Temel güvenlik mimarilerinde IPS ve IDS genellikle güvenlik duvarı ile birlikte çalışır. Güvenlik duvarının arkasında yer alır. Güvenlik seviyesini yükseltebilmek için güvenlik duvarı ile birlikte çalışır. Ayrıca güvenlik duvarının tek başına yakalayamayacağı ve önleyemeyeceği tehditleri yakalayabilir. Diğer yandan ağı devamlı olarak takip eder. Sürekli izlemenin bir sonucu olarak, raporlama, saldırı engelleme dahil olmak üzere önlem amaçlı aksiyonlar alabilir. Bu ağı kullanan cihazlar bir donanım, yazılım ya da sanal bir sunucu da olabilir.

IPS ve IDS Kullanmanın Faydaları

Herhangi bir kötü amaçlı etkinliği tanımlamak için ağdaki tüm trafiği izleyen IDS ve IPS sistemlerini kullanmanın çok önemli avantajları vardır. Bir saldırgan ağdaki güvenlik duvarını aşabilmek için ilk olarak cihazda ya da yazılımda bulunan bir güvenlik açığını tespit eder ve bu açığı kullanır. IPS ve IDS bu açıklardan faydalanma eylemlerini tanımlar ve ağda bulunan herhangi bir endpoint etkilenmeden saldırıları engeller. IPS ve IDS sistemlerinin en önemli katkılarından biri de hem ağda hem veri merkezlerinde çalışabilir olmasıdr. Bu sayede kapsamlı bir koruma sağlayabilir.

Giderek daha önemli olan siber güvenlik yönetimi için kurumlar belli bir bütçe ayırır. Zararlı yazılımlar ve saldırılardan koruyan çok sayıda araç ve yazılım bulunur. Ancak IDS ve IPS teknolojilerini bir arada kullanarak güvenlik yönetimini önemli ölçüde kapsayabilecek bir sisteme sahip olursun.

IPS ve IDS yapılandırma ve kurulum işlemleri tamamlandıktan sonra genellikle insan gücüne ihtiyaç kalmaz. IPS ve IDS’in bu otomasyon özelliği sayesinde ağ güvenlik kontrollerini iyileştirirken genelde bir ekibe ihtiyaç duymadan hızlı karar alabilirsin.

IPS ve IDS kullanımın sırasında pek çok farklı araç ve standart ile uyumlu çalışabilirsin. Hassas verilerini korumak için gerekli çok sayıda standart ve dokümana uyumlu sistemlerdir.

Bilgi güvenliği politikalarının uygulanmasına destek olacak şekilde yapılandırılabilir. Ayrıca kullanıdığın sistemi koruma seviyesine uygun olacak şekilde ayarlayabilirsin. Örneğin; tek bir işletim sistemi kullanıyorsan diğer işletim sistemlerinden gelen ağ trafiğini engelleyebileceğin ayarlamalar yapabilirsin.

IDS, IPS gibi tehlikeleri önleme yeteneğine sahip değildir ancak endüstriyel kontrol sistemleri (ICS) ya da kritik altyapılara sahip kesintilerin en az sayıda olması beklenen sistemler için kullanımı idealdir. Sorunları tespit eder ve SOC ekibi gibi güvenlikten sorumlu ekiplere aktarır. Bu sayede “Kesinti yapılması gerçekten gerekiyor mu?”, “Ağ trafiği durdurulmalı mı?” gibi soruların cevapları için yeterli zamanı kazandırır.

IPS ise kötü amaçlı yazılımlar hızlı ve daha kompleks seviyelere ulaştıkça daha önemli bir gereksinim olmuştur. Bu nedenle IPS, hassas veriler içeren veritabanları gibi herhangi bir izinsiz girişin ciddi hasara yol açabileceği ortamlar için idealdir.

IPS ve IDS kullanımının pek çok avantajı vardır. Doğru sistemi seçerken, kullanılabilirlik ve koruma seviyesinin dengesini de detaylı olarak değerlendirmek gerekir. En doğru sistemi seçmeden önce daha fazla bilgi için Bootcamp eğitimleri ve blog sayfamızı inceleyebilirsin.