estudio de la situación actual en materia de seguridad en redes e ...

• No puede automatizar la investigación de los incidentes. Es necesaria la
intervención humana (de un analista cualificado) para descubrir la naturaleza
real de un ataque, limpiar sus efectos, descubrir al atacante y protegerse para
el futuro.
• No compensa la presencia de implementaciones débiles de la pila de
protocolos. Este tipo de implementaciones (tanto más débil, cuanto mas se
aleje del estándar) producen multitud de falsos positivos, que pueden ayudar a
disfrazar un ataque real.
• No es capaz de manejar por si solo todas las configuraciones de
red/dispositivos que existen, sobre todo en entornos atípicos (por ejemplo:
maquinaria medica conectada a la red, etc). Este tipo de configuraciones
utilizan implementaciones propietarias de protocolos que pueden confundir a
un IDS, provocando muchos falsos positivos.
REACCIONES DEL IDS: PASIVOS VERSUS REACTIVOS
Otra forma de categorizar los sistemas de detección de intrusos es según su
naturaleza de la respuesta:
Pasiva
Reactiva
Los sistemas pasivos simplemente detectan la potencial violacion de seguridad,
registran la información y generan un alerta.
Los sistemas reactivos, por el otro lado, estan diseñados para responder ante una
actividad ilegal, por ejemplo, sacando al usuario del sistema o mediante la
reprogramacion del Firewall para impedir tráfico de red desde una fuente
presumiblemente hostil.
305