IDS/IPS

Perche e Importante

I sistemi di Intrusion Detection e Prevention forniscono un livello critico di difesa della rete. Mentre i firewall controllano l'accesso basandosi su indirizzi e porte, IDS/IPS esaminano il contenuto dei pacchetti per identificare payload malevoli, signature di attacco e comportamenti sospetti che altrimenti passerebbero attraverso i perimetri di rete.

L'IDS e emerso negli anni '90 quando le organizzazioni hanno riconosciuto la necessita di rilevare attacchi che aggiravano i firewall. L'evoluzione verso l'IPS ha aggiunto capacita di prevenzione, abilitando il blocco automatico delle minacce rilevate. Oggi, la funzionalita IDS/IPS spesso si integra nei next-generation firewall e nelle piattaforme di sicurezza cloud.

La tecnologia rimane rilevante nonostante i moderni progressi nella protezione degli endpoint. Il rilevamento basato sulla rete cattura le minacce prima che raggiungano gli endpoint, identifica il movimento laterale all'interno delle reti e rileva dispositivi IoT compromessi che mancano di protezione endpoint. Molti framework di compliance richiedono specificamente capacita di intrusion detection di rete.

Per i professionisti della sicurezza, comprendere IDS/IPS informa l'architettura di sicurezza della rete, l'investigazione degli alert e lo sviluppo delle regole. I concetti si estendono agli equivalenti cloud-native e alle moderne piattaforme di network detection and response (NDR).

Come Funziona IDS/IPS

Metodi di Rilevamento

Rilevamento Basato su Signature

• Confronta il traffico con pattern di attacco noti
• Altamente accurato per minacce note
• Richiede aggiornamenti regolari delle signature
• Non puo rilevare attacchi nuovi (zero-day)

# Esempio regola Snort che rileva tentativo SQL Injection
alert tcp any any -> any 80 (
msg:"Tentativo SQL Injection";
content:"UNION SELECT";
nocase;
classtype:web-application-attack;
sid:1000001;
rev:1;
)

# Componenti regola:
# - Azione: alert
# - Protocollo: tcp
# - Sorgente/Dest: any verso porta 80
# - Match contenuto: "UNION SELECT" (case insensitive)
# - Metadata: classificazione, signature ID, revisione

Rilevamento Basato su Anomalie

• Stabilisce baseline del comportamento normale
• Allerta su deviazioni dalla baseline
• Puo rilevare attacchi sconosciuti
• Tassi di falsi positivi piu alti
• Richiede periodo di tuning

Analisi Protocollo

• Verifica che il traffico segua le specifiche del protocollo
• Rileva violazioni e abusi del protocollo
• Identifica pacchetti malformati
• Efficace contro attacchi basati sul protocollo

IDS vs. IPS

IDS (Intrusion Detection System):
- Monitoraggio passivo (out of band)
- Copia il traffico per l'analisi
- Genera alert
- Nessun impatto sul flusso di rete
- Non puo prevenire attacchi

IPS (Intrusion Prevention System):
- Deployment inline attivo
- Tutto il traffico passa attraverso
- Puo bloccare traffico malevolo
- Aggiunge latenza (minima con hardware moderno)
- Rischio di bloccare traffico legittimo

Tipi di Deployment

Network-Based (NIDS/NIPS)

Monitora il traffico di rete in punti strategici:

• Perimetro di rete
• Tra segmenti di rete
• Confini data center
• Traffico VPC cloud

Host-Based (HIDS/HIPS)

Monitora l'attivita dei singoli sistemi:

• Monitoraggio integrita file
• Analisi system call
• Analisi log
• Comportamento applicazioni

Esempi:

• OSSEC
• Tripwire
• AIDE

Wireless IDS/IPS

Monitora le reti wireless per:

• Access point rogue
• Client non autorizzati
• Attacchi wireless
• Violazioni policy

Caratteristiche Chiave

Gestione Alert

Strategie di Tuning Alert:

Ridurre Falsi Positivi:
- Sopprimi alert per traffico noto-buono
- Regola soglie per l'ambiente
- Disabilita signature irrilevanti
- Crea regole di eccezione

Migliorare Rilevamento:
- Aggiorna set signature regolarmente
- Abilita categorie regole rilevanti
- Crea regole custom per l'ambiente
- Integra threat intelligence

Gestione Regole

• Aggiornamenti signature: Aggiornamenti regolari dai vendor
• Regole custom: Rilevamento specifico per l'organizzazione
• Categorie regole: Abilita/disabilita per tipo
• Regolazione soglie: Affina la sensibilita

Logging e Reporting

• Logging alert per investigazione
• Cattura traffico per forensics
• Reporting compliance
• Analisi trend e metriche

Soluzioni IDS/IPS Popolari

Open Source

Snort

• Pioniere del settore, stabilito nel 1998
• Linguaggio regole completo
• Grande community e set di regole
• Ora di proprieta Cisco

Suricata

• Multi-threaded per le prestazioni
• Compatibile con regole Snort
• Rilevamento protocollo built-in
• Open source sviluppato attivamente

# Setup base Suricata su Ubuntu
apt install suricata

# Aggiorna regole
suricata-update

# Esegui Suricata su interfaccia
suricata -c /etc/suricata/suricata.yaml -i eth0

# Controlla log
tail -f /var/log/suricata/fast.log

Zeek (ex Bro)

• Framework analisi di rete
• Logging ricco e metadata
• Linguaggio scripting per analisi custom
• Complementare a IDS signature-based

Commerciali

• Cisco Firepower: Integrato con NGFW
• Palo Alto: Built-in nei firewall
• Check Point: Blade IPS
• Trend Micro TippingPoint: IPS dedicato

Cloud-Native

• AWS Network Firewall con IPS
• Azure Firewall con IDPS
• GCP Cloud IDS
• Soluzioni WAF cloud-native

Best Practice

Deployment

• Distribuisci inline (IPS) solo dopo tuning in modalita detection
• Posiziona ai confini di rete e segmenti interni
• Garantisci capacita adeguata per il volume di traffico
• Pianifica per failover e alta disponibilita

Operazioni

Operazioni Giornaliere:

Revisione Alert:
- Triage alert per severita
- Investiga attivita sospette
- Documenta falsi positivi
- Aggiorna regole come necessario

Manutenzione:
- Aggiornamenti signature regolari
- Monitoraggio prestazioni
- Capacity planning
- Revisione efficacia regole

Integrazione:
- Inoltra alert al [SIEM](/it/glossary/siem)
- Correla con altre fonti
- Automatizza risposta dove appropriato

Evitare Errori Comuni

Rilevanza per la Carriera

La conoscenza IDS/IPS e fondamentale per i ruoli di network security. Gli analisti SOC investigano alert IDS, gli ingegneri di rete distribuiscono e affinano i sistemi, e gli architetti di sicurezza incorporano IDS/IPS nelle strategie di difesa.