estudio de la situación actual en materia de seguridad en redes e ...

FUNCIONAMIENTO DE LOS IDS
Los IDS son parte de las defensas que deben utilizarse en los sistemas de
transmisión de datos, ya que son capaces de alertarnos acerca de toda actividad
sospechosa que típicamente ocurre antes y durante un ataque.
Un IDS es aquel que tiene como función el detectar y alertar sobre las intrusiones
intentadas en un sistema o en la red. Se considera que una intrusión es toda
actividad no autorizada o no deseada ocurrida en ese sistema o red.
Los IDS básicamente son una máquina de decisión, capturar un determinado dato y
deciden si es un ataque o no en función de una colección de datos etiquetados
relevantes almacenados en una base de datos. El inconveniente es que los IDS
“clásicos” hacen esta decisión de una manera muy mecánica. Comparan el dato
(paquete) recibido contra todos los demás que posee en su base de datos y si se da
una coincidencia exacta, se decide si es un ataque o no.
Para realizar su labor, muchos IDS’s basan sus operaciones en el análisis de un
seguimiento realizado sobre el sistema operativo. Los datos asi obtenidos
constituyen una “huella” del uso del sistema a lo largo del tiempo. A partir de esta
información, los IDS’s calculan métricas sobre el estago global del sistema y deciden
si en un momento determinado el sistema esta sufriendo algún tipo de intrusión. Los
IDS’s también pueden realizar su propio sistema de monitoreo, manteniendo un
conjunto de estadísticas que ofrecen un perfil del uso del sistema. Las estadísticas
citadas pueden ser obtenidas de varias fuentes como pueden ser:
El uso de la CPU, las entradas y salidas del disco, el uso de memoria, las actividades
realizadas por los usuarios, el número de conexiones intentadas, etc. Estos datos
deben ser actualizados continuamente para reflejar el estado actual del sistema y a
partir de un modelo interno, el IDS determinara si una serie de acciones constituyen
una intrusión o un intento de intrusión.
302