El documento describe los sistemas de detección de intrusos (IDS). Un IDS detecta accesos no autorizados a una red mediante el análisis del tráfico de red y la comparación con firmas de ataques conocidos. Existen dos tipos principales de IDS: los sistemas basados en host (HIDS) que detectan cambios en un equipo individual, y los sistemas basados en red (NIDS) que detectan ataques en todo un segmento de red. La arquitectura típica de un IDS incluye la recolección de datos

1. SISTEMAS DE DETECCIÓN DE
INTRUSOS
Kayving monterrey
SEGURIDAD Y PRIVACIDAD EN REDES

2. Investigue lo siguiente:
1. ¿Qué es un sistema de detección de intrusos?
2. Como es la arquitectura de un IDS
3. Clasificaciones de un IDS (Host, Red, Híbridos)
4. Encuentre un esquema de la implementación de un IDS en una red (diseño de una red).
Sistema de detección de intrusos
Un sistema de detección de intrusos (o IDS de sus siglas en inglés Intrusion Detection System) es
un programa usado para detectar accesos no autorizados a un computador o a una red. Estos
accesos pueden ser ataques de habilidosos crackers, o de Script Kiddies que usan herramientas
automáticas.
El IDS suele tener sensores virtuales (por ejemplo, un sniffer de red) con los que el núcleo del IDS
puede obtener datos externos (generalmente sobre el tráfico de red). El IDS detecta, gracias a
dichos sensores, anomalías que pueden ser indicio de la presencia de ataques o falsas alarmas.
Funcionamiento
El funcionamiento de estas herramientas se basa en el análisis pormenorizado del tráfico de red, el
cual al entrar al analizador es comparado con firmas de ataques conocidos, o comportamientos
sospechosos, como puede ser el escaneo de puertos, paquetes malformados, etc. El IDS no sólo
analiza qué tipo de tráfico es, sino que también revisa el contenido y su comportamiento.
Normalmente esta herramienta se integra con un firewall. El detector de intrusos es incapaz de
detener los ataques por sí solo, excepto los que trabajan conjuntamente en un dispositivo de puerta
de enlace con funcionalidad de firewall, convirtiéndose en una herramienta muy poderosa ya que se
une la inteligencia del IDS y el poder de bloqueo del firewall, al ser el punto donde forzosamente
deben pasar los paquetes y pueden ser bloqueados antes de penetrar en la red.
Los IDS suelen disponer de una base de datos de “firmas” de ataques conocidos.
Dichas firmas permiten al IDS distinguir entre el uso normal del PC y el uso fraudulento, y/o entre el
tráfico normal de la red y el tráfico que puede ser resultado de un ataque o intento del mismo.

3. Tipos de IDS
Existen dos tipos de sistemas de detección de intrusos:
HIDS (HostIDS): el principio de funcionamiento de un HIDS, depende del éxito de los intrusos,
que generalmente dejaran rastros de sus actividades en el equipo atacado, cuando intentan
adueñarse del mismo, con propósito de llevar a cabo otras actividades. El HIDS intenta detectar
tales modificaciones en el equipo afectado, y hacer un reporte de sus conclusiones.
El H-IDS se encuentra en un host particular. Por lo tanto, su software cubre una amplia gama de
sistemas operativos como Windows, Solaris, Linux, HP-UX, Aix, etc.
El H-IDS actúa como un daemon o servicio estándar en el sistema de un host. Tradicionalmente,
el H-IDS analiza la información particular almacenada en registros (como registros de sistema,
mensajes, lastlogs y wtmp) y también captura paquetes de la red que se introducen/salen del host
para poder verificar las señales de intrusión (como ataques por denegación de servicio, puertas
traseras, troyanos, intentos de acceso no autorizado, ejecución de códigos malignos o ataques de
desbordamiento de búfer).
NIDS (NetworkIDS): un IDS basado en red, detectando ataques a todo el segmento de la red. Su
interfaz debe funcionar en modo promiscuo capturando así todo el tráfico de la red.
Un N-IDS necesita un hardware exclusivo. Éste forma un sistema que puede verificar paquetes
de información que viajan por una o más líneas de la red para descubrir si se ha producido
alguna actividad maliciosa o anormal. El N-IDS pone uno o más de los adaptadores de red
exclusivos del sistema en modo promiscuo. Éste es una especie de modo "invisible" en el que no
tienen dirección IP. Tampoco tienen una serie de protocolos asignados. Es común encontrar
diversos IDS en diferentes partes de la red. Por lo general, se colocan sondas fuera de la red
para estudiar los posibles ataques, así como también se colocan sondas internas para analizar
solicitudes que hayan pasado a través del firewall o que se han realizado desde dentro.
.

4. Sistemas pasivos y sistemas reactivos
En un sistema pasivo, el sensor detecta una posible intrusión, almacena la información y manda una
señal de alerta que se almacena en una base de datos. En un sistema reactivo, el IDS responde a la
actividad sospechosa reprogramando el cortafuego para que bloquee tráfico que proviene de la red
del atacante. Un sistema que reacciona ante el ataque previniendo que este continúe, se denomina
IPS por sus siglas en inglés de "intrusion prevention system".
Comparación con Cortafuegos
Si bien ambos están relacionados con seguridad en redes de información, un IDS, difiere de un
cortafuego, en que este último generalmente examina exteriormente por intrusiones para evitar que
estas ocurran. Un cortafuegos limita el acceso entre redes, para prevenir una intrusión, pero no
determina un ataque que pueda estar ocurriendo internamente en la red. Un IDS, evalúa una
intrusión cuando esta toma lugar, y genera una alarma. Un IDS además observa ataques que se
originan dentro del sistema. Este normalmente se consigue examinando comunicaciones, e
identificando mediante heurística, o patrones (conocidos como firmas), ataques comunes ya
clasificados, y toma una acción para alertar a un operador.
Mecanismos de detección de un ataque
Un IDS usa alguna de las dos siguientes técnicas para determinar que un ataque se encuentra en
curso:
Heurística
Un IDS basado en heurística, determina actividad normal de red, como el orden de ancho de banda
usado, protocolos, puertos y dispositivos que generalmente se interconectan, y alerta a un
administrador o usuario cuando este varía de aquel considerado como normal, clasificándolo como
anómalo.
Patrón
Un IDS basado en patrones, analiza paquetes en la red, y los compara con patrones de ataques
conocidos, y pre configurados. Estos patrones se denominan firmas. Debido a esta técnica, existe un
periodo de tiempo entre el descubrimiento del ataque y su patrón, hasta que este es finalmente
configurado en un IDS. Durante este tiempo, el IDS será incapaz de identificar el ataque.
2. ¿Cómo es la Arquitectura de un IDS?

5. Un IDS es una herramienta de seguridad que intenta detectar o monitorizar los eventos ocurridos en
un determinado sistema informático en busca de intentos de comprometer la seguridad de dicho
sistema.
Las arquitecturas que implementan sistemas de detección de intrusos han ido modificándose y
mejorando con el paso del tiempo y con la experiencia. Los primeros IDS eran herramientas
software rígidos, diseñados y realizados bajo la supervisión de un experto en seguridad de redes y
basándose en la experiencia personal. Eran verdaderos sistemas rígidos, dónde la actualización ante
nuevos tipos de ataques requería verdaderos esfuerzos de análisis y programación, además de
contar con un solo programa que realizaba todo el trabajo, sin pensar en sistemas distribuidos.
Actualmente, las arquitecturas empleadas para el desarrollo de herramientas IDS, se basan
fundamentalmente en dos principios básicos, la utilización de Agentes autónomos que recogen
información por separado, para luego analizar una parte de esta información ellos y la otra una
entidad central coordinadora, y las arquitecturas basadas en la exploración de los datos en tiempo
real. Y como ocurre en el mundo de la informática, se dan arquitecturas híbridas en busca de la
mejor solución posible.
Normalmente la arquitectura de un IDS, a grandes rasgos, está formada:
1. La fuente de recogida de datos. Estas fuentes pueden ser un log, dispositivo de red, o como
en el caso de los IDS basados en host, el propio sistema.
2. Reglas que contienen los datos y patrones para detectar anomalías de seguridad en el
sistema.
3. Filtros que comparan los datos “snifados” de la red o de logs con los patrones almacenados
en las reglas.
4. Detectores de eventos anormales en el tráfico de red.
5. Dispositivo generador de informes y alarmas. En algunos casos con la sofisticación suficiente
como para enviar alertas vía mail, o SMS.
Esto es a modo general. Cada IDS implementa la arquitectura de manera diferente.
Ya sea un IDS, IPS o APS, todas estas soluciones son construidas usando, más o menos, la misma
arquitectura funcional. Varios modelos genéricos han sido propuestos, como el Common Intrusion
Detection Framework (CIDF), por el Intrusion Detection Working Group (IDWG). Yendo a través de
estas arquitecturas, podemos ver que las principales diferencias están relacionadas en el nombrado
de los componentes, pero siempre encontramos los mismos bloques funcionales. En primer lugar,

6. coleccionamos datos, a continuación los procesamos usando diferentes algoritmos y técnicas, y
realizamos acciones como su registro en una base de datos, envío de correo electrónico, interacción
con un firewall, etc…
Recolección de Datos
La recolección de datos es la piedra angular de un APS. Su objetivo es conseguir, de una manera
eficiente, todos los datos necesarios durante el proceso de detección de intrusos. Históricamente, el
proceso de recolección define el nombre IDS:
NIDS: Los Sistemas de Detección de Intrusos de Red controlan el tráfico del cable o, en caso
de una red inalámbrica, el enlace de radio. Examinan los paquetes a fin de detectar patrones de mal
uso o ataques.
HIDS: Los productos Host IDS emplean un agente que reside en cada equipo que tiene que
ser monitorizado. El agente puede escudriñar los registros del sistema, los mensajes del kernel,
ficheros críticos del sistema y otros recursos auditables.
NNIDS: Los Nodos de Red IDS trabajan de una manera similar a los NIDS. También toman
paquetes de la red y efectúan análisis de protocolos y/o los comparan sus firmas. Sin embargo, los
NNIDS sólo están interesados en paquetes directamente destinados a ellos y no al segmento entero
de red (por tanto, no operan en modo promiscuo).
DIDS: Un IDS Distribuido consiste en múltiples IDSs sobre una red extensa. Todos ellos se
comunican conjuntamente, o con un servidor central que facilita la monitorización avanzada de la red
y el análisis de incidentes.
Procesamiento de Datos para la Detección
El procesamiento de datos para detección es el 'corazón' de un APS. Usando todos los datos
recolectados, el APS los procesará usando diferentes algoritmos a fin de detectar una 'anomalía'.
Existen varias técnicas de análisis. A pesar de soluciones emergentes tales como la detección de
anomalías estrictas, análisis integral o algoritmos genéticos, la mayoría de las técnicas actuales caen
principalmente en las siguientes dos categorías: Detección de Mal Uso y Detección de Anomalías.
Detección de Mal Uso (o Análisis Basado en Escenario)
La Detección de Mal Uso es el método más antiguo para reconocer intrusos. Este procedimiento usa
una aproximación de asociación de patrones. El sistema compara los datos recogidos con firmas de

7. ataques en una base de datos. Si la comparación resulta positiva, el sistema reconoce una anomalía
y reacciona como corresponde. La detección de mal uso continúa siendo el procedimiento más
común usado en los sectores comerciales y no comerciales. El procedimiento es fácil de implementar
y usar, y no es muy propenso a las falsas alarmas (falsos positivos). Sin embargo, tiene un principal
inconveniente: este método reconoce sólo ataques conocidos. Por consiguiente, patrones de un
nuevo ataque que no han sido todavía añadidos a la base de datos no desencadenan una alarma
(falso negativo) y de esta manera no es notificada.
Detección de Anomalías (o Análisis de Comportamiento)
La Detección de Anomalías está basada en la premisa de que cualquier cosa fuera del dominio del
comportamiento "normal", es, por definición "anormal" (es decir. es una anomalía), y por tanto
constituye un ataque. Comparada con la anterior, la ventaja de este método es la habilidad para
reconocer nuevos ataques, ya que se definen como comportamientos anormales. Además, no hay
necesidad de implementar y mantener una base de datos de patrones de ataques. No obstante, la
detección de anomalías viene con su propio conjunto de problemas que impiden significativamente
su uso en el sector comercial. El procedimiento de detección de anomalías debe primero adquirir
conocimiento de qué constituye un comportamiento "normal" para una red o sistema, creando
perfiles de usuarios y sistemas. Esta fase por si sola es un obstáculo y podría ser aprovechada por
un oponente, quien podría enseñar al IDS a clasificar ataques como comportamientos normales. De
esta manera, en el futuro, el sistema ID podría no reconocer un tipo de ataque como una intrusión no
autorizada. Otro inconveniente es el alto índice de falsos positivos provocados por disfunciones de
las actividades normales del sistema, que no son ataques realmente. Además, comparada con la
detección de mal uso, la implementación de la detección de anomalías es más difícil de implementar,
ya que el último método implica procedimientos más complejos.
Alarmas, Registros, Acciones
Una vez que se detecta una anomalía, el APS puede ejecutar varias acciones (enviar una alarma,
escribir información importante en la base de datos, lanzar una regla en el firewall, etc.). Mientras
todas las medidas reactivas ejecutadas pueden tener formas diferentes, que generalmente encajan
en alguna de las categorías siguientes:
Acciones Pasivas: no tendrán impacto directo en el entorno. Esto significa que un operador
tiene que recibir o consultar el resultado de la acción pasiva, decidir qué tiene que hacer con él y

8. tomar las correspondientes acciones "activas". Las acciones pasivas pueden ser: enviar un E-Mail;
enviar mensajes a un buscador o móvil; registrar las intrusiones en la base de datos; etc.
Acciones Activas: Como una alternativa a las acciones pasivas, las acciones activas significan
una implementación directa para interactuar con el sistema de información. Pueden tratar la decisión
de apagar sistemas y servicios críticos, personalizar las reglas de filtrado para firewalls, lanzar
contadores de ataques, etc.
3. Clasificaciones de un IDS (Host, Red, Híbridos)
Entender que es un IDS y las funciones que proporciona, es clave para determinar cuál será el tipo
apropiado para incluir en una política de seguridad de computación. Esta sección discute los
conceptos detrás de los IDSes, las funcionalidades de cada tipo de IDS y la aparición de los IDSes
híbridos, que emplean varias técnicas de detección y herramientas en un sólo paquete.
Algunos IDSes están basados en conocimiento, lo que alerta a los administradores de seguridad
antes de que ocurra una intrusión usando una base de datos de ataques comunes. Alternativamente,
existen los IDS basados en comportamiento, que hacen un seguimiento de todos los recursos
usados buscando cualquier anomalía, lo que es usualmente una señal positiva de actividad
maliciosa.
Algunos IDSes son servicios independientes que trabajan en el fondo y escuchan pasivamente la
actividad, registrando cualquier paquete externo sospechoso. Otros combinan las herramientas de
sistemas estándar, configuraciones modificadas y el registro detallado, con la intuición y la
experiencia del administrador para crear un kit poderoso de detección de intrusos. Evaluando las
diferentes técnicas de detección de intrusos lo ayudará a encontrar aquella que es adecuada para su
organización.
Los tipos más importantes de IDSes mencionados en el campo de seguridad son conocidos como
IDSes basados en host y basados en red. Un IDSes basado en host es el más completo de los dos,
que implica la implementación de un sistema de detección en cada host individual. Sin importar en
qué ambiente de red resida el host, estará protegido. Un IDS basado en la red filtra los paquetes a
través de un dispositivo simple antes de comenzar a enviar a host específicos. Los IDSes basados
en red a menudo se consideran como menos completos puestos que muchos host en un ambiente
móvil lo hacen indisponible para el escaneo y protección de paquetes de red.

9. IDS basados en Host
Un IDS basado en host analiza diferentes áreas para determinar el uso incorrecto (actividades
maliciosas o abusivas dentro de la red) o alguna intrusión (violaciones desde afuera). Los IDSes
basados en host consultan diferentes tipos de registros de archivos (kernel, sistema, servidores, red,
cortafuegos, y más) y comparan los registros contra una base de datos interna de peculiaridades
comunes sobre ataques conocidos. Los IDSes basados en host de Linux y Unix hacen uso extensivo
de syslog y de su habilidad para separar los eventos registrados por severidad (por ejemplo,
mensajes menores de impresión versus advertencias importantes del kernel).
El comando syslog está disponible cuando se instala el paquete sysklogd, incluido con Red Hat
Enterprise Linux. Este paquete proporciona el registro de mensajes del sistema y del kernel. Los
IDSes basados en hosts filtran los registros (lo cual, en el caso de algunas redes y registros de
eventos del kernel pueden ser bastante detallados), los analizan, vuelven a etiquetar los mensajes
anómalos con su propia clasificación de severidad y los reúne en su propio registro para que sean
analizados por el administrador.
Los IDSes basados en host también pueden verificar la integridad de los datos de archivos y
ejecutables importantes. Funciona verificando una base de datos de archivos confidenciales (y
cualquier archivo añadido por el administrador) y crea una suma de verificación de cada archivo con
una utilidad de resumen de archivos de mensajes tal como md5sum (algoritmo de 128-bit) o
sha1sum (algoritmo de 160-bit). El IDS basado en host luego almacena las sumas en un archivo de
texto plano y periódicamente compara las sumas de verificación contra los valores en el archivo de
texto. Si cualquiera de estas sumas no coinciden, el IDS alertará al administrador a través de un
correo electrónico o a un mensaje al celular.
IDS basados en Red
Los sistemas de detección de intrusos basados en la red operan de una forma diferente que aquellos
IDSes basados en host. La filosofía de diseño de un IDS basado en la red es escanear los paquetes
de red al nivel del enrutador o host, auditar la información de los paquetes y registrar cualquier
paquete sospechoso en un archivo de registros especial con información extendida. Basándose en
estos paquetes sospechosos, un IDS basado en la red puede escanear su propia base de datos de
firmas de ataques a la red y asignarles un nivel de severidad para cada paquete. Si los niveles de
severidad son lo suficientemente altos, se enviará un correo electrónico o un mensaje de pager de
advertencia a los miembros del equipo de seguridad para que ellos puedan investigar la naturaleza
de la anomalía.

10. Los IDSes basados en la red se han vuelto muy populares a medida en que la Internet ha crecido en
tamaño y tráfico. Los IDSes que son capaces de escanear grandes volúmenes de actividad en la red
y exitosamente etiquetar transmisiones sospechosas, son bien recibidos dentro de la industria de
seguridad. Debido a la inseguridad inherente de los protocolos TCP/IP, se ha vuelto imperativo
desarrollar escáneres, husmeadores y otras herramientas de auditoria y detección para así prevenir
violaciones de seguridad por actividades maliciosas en la red, tales como:
• Engaño de direcciones IP (IP Spoofing)
• Ataques de rechazo de servicio (DoS)
• Envenenamiento de caché arp
• Corrupción de nombres DNS
• Ataques de hombre en el medio
La mayoría de los IDSes basados en la red requieren que el dispositivo de red del sistema host sea
configurado a modo promiscuo, lo cual permite al dispositivo capturar todos los paquetes que pasan
por la red.
Los IDS son sistemas que ayudan a reforzar un esquema coherente de seguridad en una red. No
deben ser usados solos como único medio de guardar la seguridad, pues no en todos los casos
pueden defender la red y se hace necesario que el administrador de ésta intervenga.
Esta herramienta es valiosa para el administrador de red, pues le ayuda a mejorar la gestión de
seguridad. Es importante revisar el conjunto de reglas de estos, para que puedan detectar el mayor
número de ataques posible y así se minimice la posibilidad que se realicen intrusiones.
El sensor Cisco Secure IDS 4230 es un miembro de la familia de productos Cisco Secure IDS, líder
del mercado.
El sensor Cisco Secure IDS 4230 es un "dispositivo" de seguridad de red que detecta la actividad no
autorizada que la atraviesa, como por ejemplo ataques por parte de hackers, mediante el análisis del
tráfico en tiempo real, y permite a los usuarios responder con rapidez a las amenazas de seguridad.
Cuando se detecta una actividad no autorizada, el sensor puede enviar alarmas a la consola de
administración con detalles de la actividad y puede controlar otros sistemas, como los routers, para
terminar las sesiones no autorizadas.

11. Aplicación
El sensor Cisco Secure IDS 4230 se ha optimizado para el control de los entornos de 100 Mbps y
resulta ideal para el control del tráfico de puertos SPAN (Switched Port Analyzer) y segmentos Fast
Ethernet. También se recomienda para el control de múltiples entornos T3.
Los sensores pueden colocarse en lugares en los que otros dispositivos de seguridad no son útiles,
por ejemplo:
• Segmentos internos de red
• Delante de un firewall
• Detrás de un firewall
• Detrás de un servidor de modems para acceso telefónico
• En conexiones extranet
Los sensores pueden colocarse en casi todos los segmentos de la red de la empresa donde se
requiera visibilidad de la seguridad.
Características y Ventajas Principales
• Forma parte del modelo SAFE para el comercio electrónico: el sensor es un componente
necesario para una estrategia de defensa en profundidad y eficaz, y para complementar otros
mecanismos de seguridad implantados (por ejemplo, firewalls, cifrado y autenticación). Como
componente dinámico de seguridad de la línea de productos de seguridad de Cisco, el IDS puede
funcionar en entornos Internet e intranet para proteger toda la red de la empresa.
• Detección y respuesta a las intrusiones en tiempo real: el sensor proporciona control y
detección del mal uso de la red en tiempo real, utilizando para ello a la propia red como fuente de
datos (esto es, capturando paquetes directamente de la red). Responde de forma activa a la
actividad no autorizada, bloqueando el acceso a la red o terminando las sesiones dañinas.
• Completa cobertura de reconocimiento de ataques/firmas: el sensor detecta una amplia
variedad de ataques. También incluye un sofisticado re ensamblaje de fragmentación IP y
capacidades de detección anti-IDS "Whisker".
• Rendimiento de alta velocidad: el sensor es especialmente recomendable para el control de
entornos de 100 Mbps.

12. • Dispositivo integrado de seguridad IDS: el sensor conforma una solución completa "llave en
mano" y "plug-and-play". Todo el paquete hardware y software se fabrica, prueba y mantiene por un
solo fabricante.
• Bajo costo de propiedad: el sensor es sencillo de instalar, configurar y mantener.
• Sencilla instalación: la instalación del sensor es rápida y sencilla, ya que requiere sólo siete
parámetros de direccionamiento y no es necesaria una formación especial. Cuando el sensor se
encuentra ya instalado, como un dispositivo autónomo con una potente configuración
predeterminada, empieza a realizar su tarea de control inmediatamente.
• Funcionamiento transparente: el sensor no está diseñado para afectar al rendimiento de la red
y es totalmente transparente al usuario final. Se incorpora a la red y es completamente invisible a los
usuarios finales, lo que incrementa el nivel de seguridad sin afectar al rendimiento o la funcionalidad.