IDS ve IPS nedir? Firewall'da saldırı önleme özelliğini açmak gerekir mi?

Modern firewall'ların ve UTM cihazlarının çoğu, temel trafik filtrelemenin yanında saldırı tespit ve önleme (IDS/IPS) özellikleri sunar. Bu özellikler çoğu zaman lisansla birlikte gelir ama kapalı bırakılır ya da ayarları hiç yapılmaz. Peki IPS ne işe yarar ve açılmalı mı?

IDS ve IPS

IDS (saldırı tespit sistemi), ağ trafiğini inceler ve bilinen saldırı kalıplarına benzeyen hareketleri tespit edip bildirir. IPS (saldırı önleme sistemi) ise bir adım ileri giderek bu trafiği engeller. Firewall'larda genellikle aynı motor, ayara göre yalnızca bildirim veya engelleme modunda çalışır.

Ne yakalar?

• Bilinen yazılım açıklarını istismar etmeye çalışan saldırılar.
• Port ve zafiyet taramaları.
• Kaba kuvvet şifre deneme girişimleri.
• Bilinen zararlı yazılımların komut sunucularıyla haberleşmesi.
• Protokol kurallarına aykırı, şüpheli trafik.

İmza güncellemeleri

IPS, bilinen saldırıları tanımlayan imzalarla çalışır. Yeni açıklar ortaya çıktıkça imzalar güncellenir. Güncelleme lisansı biten veya imzaları güncellenmeyen bir IPS, zamanla etkisini kaybeder. Firewall lisanslarının ve güncellemelerin takibi bu yüzden önemlidir; bunu firewall bakımı yazımızda anlattık.

Performans

Trafiği derinlemesine incelemek işlem gücü gerektirir. Firewall'un IPS açıkken sunabildiği hız, üreticinin belirttiği maksimum hızdan genellikle düşüktür. Cihaz seçerken internet hızınıza ve kullanıcı sayınıza göre IPS açıkken yeterli performans veren bir model seçmek gerekir. Yetersiz cihazda IPS açmak internetin yavaşlamasına yol açabilir.

Yanlış pozitifler

IPS bazen meşru trafiği de saldırı olarak algılayabilir; örneğin eski bir ticari programın alışılmadık haberleşmesi engellenebilir. Bu yüzden yeni açılan IPS önce bir süre izleme modunda çalıştırılıp kayıtlar incelenebilir, ardından engelleme moduna geçilir. Engellenen meşru trafik için istisna tanımlanır.

Hangi trafiğe uygulanmalı?

İnternetten içeri açılan servisler (VPN, e-posta sunucusu, web sunucusu) IPS korumasından en çok fayda sağlayan noktalardır. Kullanıcıların internete çıkış trafiğinde de zararlı yazılım haberleşmesini yakalamak için kullanılabilir.

Tek başına yeterli değil

IPS, güvenlik katmanlarından biridir. Güncel işletim sistemleri, uç nokta koruması, düzenli yedekleme ve çalışan farkındalığı olmadan yalnızca IPS'e güvenmek yanıltıcı bir güven duygusu yaratır. Firewall'un genel rolü için KOBİ'ler için firewall yazımıza bakabilirsiniz.

Sur Bilgisayar olarak firewall satış, kurulum ve IPS dahil güvenlik özelliklerinin yapılandırmasını yapıyoruz. Ayrıntılar için network güvenliği sayfamıza bakabilirsiniz.