IDS 침입탐지시스템

방화벽의 부족함을 채우기 위해 외부 침입에 대한 정보를 수집, 분석해 침입을 탐지하고 관리자에게 알려 대응하는 시스템
네트워크 공격의 증거를 찾기 위한 트래픽 분석의 역할로 시작했지만 점차 시스템의 침해여부를 보기 위해 로그를 조사해 파일을 분석하는 것이 되었고, 점차 허니팟 개념으로 확장 중에 있다.

규칙기반(지식기반, 오용 침입탐지)
- 시스템 로그, 네트워크 입력정보, 알려진 침입방법, 비정상적인 행위 패턴 등의 특징을 비교해 탐지한다.
- 기존의 침입 방법을 DB에 저장해뒀다가 사용자 행위 패턴이 기존의 침입 패턴과 유사한 경우 침입으로 판단
- 새로운 공격이나 침입 방법이 출현했을 경우에는 그에 맞는 공격 패턴을 생성해 추가한다.
- 장점
  - 오탐률(False positive)이 낮다.
- 단점
  - 새로운 공격 탐지를 위해 지속적인 공격 패턴 갱신이 필요하다.
  - 패턴이 없는 새로운 공격에 대해서는 탐지가 불가능하다.
통계기반(행위기반, 비정상 행위 침입 탐지)
- 정상적인 패턴을 수집하고 사용자가 패턴의 범위에서 벗어나는 경우 침입으로 탐지한다.
- 장점
  - 규칙기반 기법보다 DB 관리가 용이
  - 제로데이공격도 탐지할 수 있다.
- 단점
  - False-positive가 높다.
  - 정상과 비정상 구분을 위한 임계치 설정이 어렵다.

NIDS(Network-based)
- 네트워크를 통해 전송되는 정보(패킷 헤더, 데이터 및 트래픽 양, 응용프로그램 로그)를 분석해 침입여부를 판단한다.
- SW 또는 HW로 만들어진다.
- NIC에 promiscuous mode를 이용해 패킷을 감시한다.
- 독립된 시스템으로 운영된다. (ex. tcp dump를 기반으로 하는 침입탐지시스템 snort)
- 장점
  - 감시 영역이 네트워크 전반
  - IP 주소를 갖지 않으므로 존재 사실을 외부로부터 숨길 수 있다.
- 단점
  - 암호화된 패킷을 분석할 수 없다.
  - 고속 네트워크 환경에서는 패킷 손실율이 많아 탐지율이 떨어진다.
HIDS(Host-based)
- 서버에 직접 설치되어 네트워크 환경과는 무관하다.
- 컴퓨터 자체를 제한한다.
- 기록되는 로그를 통해 호스트에 대한 침투를 탐지한다.
- 장점
  - 정확한 탐지 가능
  - 암호화 및 스위칭 환경에 적합
  - 트로이 목마, 백도어, 내부 사용자에 의한 공격 탐지가 가능하다.
- 단점
  - 해커가 로그를 변조하거나 dos 공격으로 IDS 무력화 가능
  - 네트워크 전반적인 탐지는 못하고 오직 자신이 공격당하는 것만 탐지한다.
  - OS 기반으로 호스트 성능에 부하 발생

정보보안기사 정리 27 - IDS, IPS, 방화벽, 웹 방화벽

IDS(개요, 분류, NIDS, HIDS, 설치위치, 허니팟), IPS(개요, 분류, NIPS, HIPS, 설치위치), 방화벽(유형(패킷 필터링 방화벽, 스테이트풀 패킷 검사 방화벽, NAT, Proxy 방화벽), 방화벽 배치(Bastion Host,...

vnfmsehdy.blogspot.com

snort 설치 방법 (0)	2022.02.08
firewall 방화벽, 침입차단시스템 (0)	2022.02.07

Steadily