IDS

IDS — система обнаружения вторжений, выявляющая подозрительную активность по сигнатурам, правилам, аномалиям или корреляции событий. Результатом работы обычно являются журналы, предупреждения и данные для расследования, а не принудительное прекращение соединения. Сетевая IDS анализирует сетевой трафик; при внеполосном размещении она получает его копию через SPAN-порт, сетевой TAP либо иной механизм копирования. Хостовая IDS анализирует события ОС, журналы, целостность файлов или системные вызовы. Качество обнаружения зависит от полноты видимости, актуальности правил, настройки исключений и способности инфраструктуры обрабатывать поток событий. IDS используют для мониторинга периметра, сегментов ЦОД, критичных серверов и расследования инцидентов. При проектировании оценивают пропускную способность, хранение журналов, интеграцию с SIEM и допустимый уровень ложных срабатываний. IDS отличается от IPS тем, что обычно работает вне разрыва трафика и не обязана блокировать пакеты. IDS выполняет специализированное обнаружение по сетевой или хостовой телеметрии, тогда как SIEM централизованно собирает и коррелирует события из множества источников; эти системы могут интегрироваться.