Ağ güvenliği, modern bilgi teknolojisi dünyasında büyük bir öneme sahiptir. İşletmeler, bireyler ve devlet kurumları, ağlarını korumak ve güvenli hale getirmek için çeşitli araçlar ve teknikler kullanmaktadır. Bu araçlardan ikisi, Saldırı Tespit Sistemleri (IDS – Intrusion Detection Systems) ve Saldırı Önleme Sistemleri (IPS – Intrusion Prevention Systems) olarak bilinir. Bu makalede, IDS ve IPS’in ne olduğunu, nasıl çalıştığını ve aralarındaki farkları detaylı bir şekilde inceleyeceğiz.
Saldırı Tespit Sistemi (IDS)
IDS, ağ veya sistem üzerinde şüpheli etkinlikleri izleyen ve bu etkinlikleri raporlayan bir güvenlik cihazıdır. Temel amacı, ağdaki potansiyel tehditleri tespit etmek ve bu tehditlere karşı uyarılar oluşturmaktır.
Çalışma Prensibi
- Ağ Trafiği İzleme: IDS, ağ trafiğini sürekli olarak izler ve analiz eder.
- Anormal Davranış Algılama: Belirlenen normal davranıştan sapmalar veya bilinen saldırı imzaları ile karşılaştırmalar yaparak anormallikleri tespit eder.
- Uyarı Sistemi: Şüpheli bir etkinlik tespit edildiğinde, sistem yöneticisine uyarı gönderir. Bu uyarılar genellikle log dosyalarına kaydedilir veya e-posta ile bildirilir.
IDS Türleri
- Ağ Tabanlı IDS (NIDS): Ağ trafiğini izler ve analiz eder. Ağdaki farklı noktalara yerleştirilir.
- Host Tabanlı IDS (HIDS): Belirli bir cihazın veya sunucunun sistem çağrılarını, log dosyalarını ve diğer etkinliklerini izler.
Saldırı Önleme Sistemi (IPS)
IPS, IDS’e benzer şekilde çalışır, ancak bir adım daha ileri giderek tespit edilen tehditlere karşı aktif önlemler alır. Yani, sadece saldırıyı tespit etmekle kalmaz, aynı zamanda bu saldırıyı engellemeye çalışır.
Çalışma Prensibi
- Ağ Trafiği İzleme ve Analiz: IPS, IDS gibi ağ trafiğini izler ve analiz eder.
- Saldırı Tespit ve Önleme: Tespit edilen tehditlere karşı anında müdahale eder. Bu müdahaleler genellikle saldırganın IP adresini engelleme, şüpheli bağlantıyı sonlandırma veya belirli bir trafik türünü filtreleme gibi işlemleri içerir.
- Güvenlik Politikaları Uygulama: IPS, güvenlik politikalarını uygulayarak ağ güvenliğini sağlar ve otomatik önlemler alır.
IPS Türleri
- Ağ Tabanlı IPS (NIPS): Ağ trafiğini gerçek zamanlı olarak izler ve tehditleri önler.
- Host Tabanlı IPS (HIPS): Belirli bir cihaz veya sunucunun güvenliğini sağlamak için çalışır ve sistem çağrılarını, log dosyalarını izler.
IDS ve IPS Arasındaki Farklar
IDS ve IPS arasındaki temel farklar şunlardır:
- Tespit ve Müdahale:
- IDS: Şüpheli etkinlikleri tespit eder ve uyarı verir, ancak müdahale etmez.
- IPS: Şüpheli etkinlikleri tespit eder ve aynı zamanda müdahale ederek tehditi önler.
- Ağ Trafiği Yönetimi:
- IDS: Genellikle ağ trafiğini pasif olarak izler ve analiz eder.
- IPS: Ağ trafiğini aktif olarak izler ve gerektiğinde trafiği durdurur veya değiştirir.
- Güvenlik Politikaları:
- IDS: Güvenlik politikalarını ihlal eden durumları raporlar.
- IPS: Güvenlik politikalarını uygulayarak otomatik önlemler alır.
Kullanım Alanları
IDS Kullanım Alanları
- Ağ İzleme ve Analiz: IDS, ağ trafiğini izlemek ve analiz etmek için kullanılır.
- Anomali Tespiti: Anormal davranışları tespit etmek ve raporlamak için kullanılır.
- Güvenlik Olayı Raporlama: Güvenlik ihlallerini ve olaylarını raporlamak için kullanılır.
IPS Kullanım Alanları
- Ağ Güvenliği Sağlama: IPS, ağ güvenliğini sağlamak için kullanılır ve potansiyel tehditleri engeller.
- Gerçek Zamanlı Tehdit Önleme: Gerçek zamanlı olarak tehditleri tespit eder ve önler.
- Güvenlik Politikalarının Uygulanması: Ağ güvenliği politikalarını uygulamak ve otomatik önlemler almak için kullanılır.
| IDS ‘lerin Ürettiği Güvenlik Alarm Çeşitleri |
True – Positive (Attack – Alert) ==> Saldırı var, Alarm vermiş.
False – Positive (No Attack – Alert) ==> Saldırı yok ama alarm vermiş
False – Negative (Attack – No Alert) ==> Saldırı var ama alarm vermiyor ise
True – Negative (No Attack – No Alert) ==> Saldırı yok, alarm ‘ da yok ise bu şekilde adlandırılır.
